WP HealthKit

@wphealthkit/mcp-server v0.4.0

AI アシスタントが WP HealthKit のプラグイン監査 API に直接アクセスできる MCP（Model Context Protocol）サーバーです。設定すると、Claude Desktop、Claude Code、Cursor などのツールから、チャットインターフェースを離れることなくセキュリティ監査の実行、検出結果の取得、AI ですぐに使える修正プロンプトの取得、プラグインディレクトリ全体の一括監査、誤検知の報告ができます。

セットアップ

必須の環境変数

WPHK_API_KEY=your_api_key_here

wphealthkit.com/dashboard から API キーを取得してください。

Claude Desktop

claude_desktop_config.json（macOS では通常 ~/Library/Application Support/Claude/claude_desktop_config.json）に次の内容を追加します。

{
  "mcpServers": {
    "wphealthkit": {
      "command": "npx",
      "args": ["-y", "@wphealthkit/mcp-server"],
      "env": {
        "WPHK_API_KEY": "your_api_key_here"
      }
    }
  }
}

Claude Code

プロジェクトの .mcp.json に追加します。

{
  "mcpServers": {
    "wphealthkit": {
      "command": "npx",
      "args": ["-y", "@wphealthkit/mcp-server"],
      "env": {
        "WPHK_API_KEY": "your_api_key_here"
      }
    }
  }
}

Cursor

Cursor Settings > MCP > Add Server を開き、次の内容を使用します。

{
  "wphealthkit": {
    "command": "npx",
    "args": ["-y", "@wphealthkit/mcp-server"],
    "env": {
      "WPHK_API_KEY": "your_api_key_here"
    }
  }
}

---

利用可能なツール

ツール	説明
audit_plugin	wp.org のプラグインをスラッグで指定してセキュリティ監査を実行します。監査 ID を返します。
audit_plugin_zip	ローカルの ZIP ファイルから監査を実行します。監査 ID を返します。
audit_plugins_bulk	ローカルディレクトリ内のすべてのプラグイン ZIP ファイルを監査します。10 件ずつ送信し、監査が完了するたびに結果をストリーミングし、リスクの内訳と重要な検出結果へのリンクを含む最終サマリーを出力します。
get_report	監査 ID を指定して、監査のステータスと全結果をポーリングします。
get_findings	重大度とカテゴリで任意に絞り込みながら、ページ分割された検出結果を取得します。
get_fix_prompt	監査の検出結果に対する、AI ですぐに使える修正プロンプトを重大度別にまとめて取得します。
check_plugin	ディレクトリからプラグインのセキュリティグレード、リスクレベル、検出結果の件数を確認します。
list_usage	今月の監査使用数、プラン、上限など、現在の使用状況を確認します。
flag_finding	検出結果を誤検知として報告します。報告は WP HealthKit チームに送られてレビューされます。パターンが誤検知と確認された場合、スキャナールールが更新され、以後のすべての監査でそのパターンが検出されなくなります。

---

ツールリファレンス

audit_plugin

wp.org でホストされている任意のプラグインのセキュリティ監査を実行します。

パラメーター

パラメーター	型	必須	説明
slug	string	はい	wp.org のプラグインスラッグ（例："contact-form-7"）。
engines	string[]	いいえ	実行する監査エンジン。デフォルトではすべてのエンジンを実行します。

例

audit_plugin({ slug: "contact-form-7" })
// Returns: { auditId: "abc-123", status: "queued" }

---

audit_plugin_zip

ローカルの ZIP ファイルから監査を実行します。wp.org に登録されていないプラグインやリリース前のビルドに便利です。

パラメーター

パラメーター	型	必須	説明
path	string	はい	ディスク上の ZIP ファイルの絶対パス。
engines	string[]	いいえ	実行する監査エンジン。デフォルトではすべてのエンジンを実行します。

例

audit_plugin_zip({ path: "/Users/me/plugins/my-plugin.zip" })
// Returns: { auditId: "def-456", status: "queued" }

---

audit_plugins_bulk

ローカルディレクトリ内のすべてのプラグイン ZIP ファイルを監査します。ファイルは 10 件ずつまとめて送信されます。各監査が完了するたびに結果がストリーミングされ、最終的にリスクの内訳と重要な検出結果へのリンクを含むサマリーテーブルが出力されます。

パラメーター

パラメーター	型	必須	説明
directory	string	はい	プラグインの ZIP ファイルが含まれるディレクトリの絶対パス。
engines	string[]	いいえ	実行する監査エンジン（例：["performance"]）。デフォルトではすべてのエンジンを実行します。
pattern	string	いいえ	ファイルに一致させる Glob パターン。デフォルトは "*.zip" です。

例

audit_plugins_bulk({ directory: "/Users/me/plugins", engines: [] })

出力

各プラグインの監査が完了するたびに、結果が会話にストリーミングされます。すべての監査が終わると、ツールはサマリーテーブルを出力します。

Plugin                  Risk      Findings   Report
----------------------  --------  ---------  ----------------------------------------
my-plugin.zip           CRITICAL  14         https://wphealthkit.com/report/abc-123
another-plugin.zip      LOW       2          https://wphealthkit.com/report/def-456
legacy-plugin.zip       HIGH      7          https://wphealthkit.com/report/ghi-789

Summary: 3 plugins audited — 1 CRITICAL, 1 HIGH, 0 MEDIUM, 1 LOW

---

get_report

監査のステータスと全結果をポーリングします。audit_plugin または audit_plugin_zip の実行後に呼び出すと、完了を待ってレポートを取得できます。

パラメーター

パラメーター	型	必須	説明
auditId	string	はい	audit_plugin または audit_plugin_zip が返した監査 ID。

例

get_report({ auditId: "abc-123" })
// Returns: { status: "completed", grade: "C", riskLevel: "HIGH", findingsCount: 7, reportUrl: "..." }

---

get_findings

完了した監査の検出結果をページ分けして返します。重大度とカテゴリによる絞り込みに対応しています。

パラメーター

パラメーター	型	必須	説明
auditId	string	はい	監査 ID です。
severity	string	いいえ	重大度で絞り込みます。指定できる値は "CRITICAL"、"HIGH"、"MEDIUM"、"LOW" です。
category	string	いいえ	カテゴリで絞り込みます（例："xss"、"csrf"、"performance"）。
page	number	いいえ	ページ分けに使用するページ番号です。デフォルトは 1 です。

例

get_findings({ auditId: "abc-123", severity: "CRITICAL" })

---

get_fix_prompt

監査の検出結果に対する、AI ですぐに使える修正プロンプトを重大度ごとにグループ化してまとめて返します。出力をそのままコーディングアシスタントに渡すと、パッチを生成できます。

パラメーター

パラメーター	型	必須	説明
auditId	string	はい	監査 ID です。
severity	string	いいえ	プロンプトを特定の重大度に限定します。

例

get_fix_prompt({ auditId: "abc-123", severity: "HIGH" })

---

check_plugin

新たな監査を開始せずに、WP HealthKit ディレクトリからプラグインの現在のセキュリティ評価、リスクレベル、検出結果数を取得します。

パラメーター

パラメーター	型	必須	説明
slug	string	はい	wp.org のプラグインスラッグです。

例

check_plugin({ slug: "woocommerce" })
// Returns: { grade: "B", riskLevel: "MEDIUM", findingsCount: 3, lastAudited: "2026-04-20" }

---

list_usage

現在の請求期間の使用状況（消費した監査数、プラン、残りの利用枠）を返します。

パラメーター

なし。

例

list_usage()
// Returns: { auditsUsed: 47, auditsLimit: 100, tier: "pro", resetsAt: "2026-05-01" }

---

flag_finding

検出結果を誤検知として報告します。レポートは WP HealthKit チームが確認します。誤検知であることが確認された場合、今後のすべての監査で同じ結果が表示されないように、スキャナーのルールが更新されます。

パラメーター

パラメーター	型	必須	説明
auditId	string	はい	検出結果を含む監査の UUID です。
findingId	string	はい	報告する検出結果の ID です（例："finding-12"）。
findingTitle	string	はい	レポートに表示されている検出結果のタイトルです。
reason	string	いいえ	誤検知である理由の説明です。

例

flag_finding({
  auditId: "abc-123-def-456",
  findingId: "finding-5",
  findingTitle: "Named arguments used in internal function call",
  reason: "These are positional args — the scanner is misidentifying the call signature"
})
// Returns: { flagged: true, reviewTicket: "FP-2891" }

---

使用例

単一のプラグインを監査して修正プロンプトを取得する

audit_plugin({ slug: "my-plugin" })
  → get_report({ auditId: "..." })          // poll until status === "completed"
  → get_findings({ auditId: "...", severity: "CRITICAL" })
  → get_fix_prompt({ auditId: "..." })

ローカルディレクトリ内のすべてのプラグインを監査する

audit_plugins_bulk({ directory: "/Users/me/plugins" })
  // streams per-plugin results as they complete
  // prints final summary table with risk breakdown

インストール前にプラグインを確認する

check_plugin({ slug: "advanced-custom-fields" })
  // returns grade, risk level, and findings count without consuming an audit credit

検出結果を確認した後に誤検知を報告する

get_findings({ auditId: "...", severity: "HIGH" })
  → flag_finding({
      auditId: "...",
      findingId: "finding-12",
      findingTitle: "Unescaped output in template",
      reason: "Output is escaped upstream via wp_kses before reaching this call"
    })

---

環境変数

変数	デフォルト	説明
WPHK_API_KEY	—	必須です。WP HealthKit API キーです。
WPHK_API_URL	https://wphealthkit.com/api/v1	セルフホスト可能なインスタンスまたはステージングインスタンスを指定する場合に上書きします。

---

ライセンス

MIT