mcpField
A
Auditra

Auditra

リモート
macronimous.comセキュリティ03 週間前に更新
リポジトリ公式サイト

Auditra について

Auditraは、サイトやプラグインの監査データをMCP対応AIクライアントに公開する読み取り専用WordPressプラグインです。評価や推奨は行わず、収集した事実の解釈をクライアントに委ねます。

主な機能

  1. 01プラグイン一覧とサイト情報の確認
  2. 02オプション、Cron、テーブル、機能使用状況の収集
  3. 03確度レベル付きのプラグイン帰属
  4. 04キャッシュされた外部情報による補完
  5. 059種類の読み取り専用MCPツール

活用シーン

  1. 01既知の脆弱性があるプラグインの確認
  2. 02肥大化につながる自動読み込みオプションの特定
  3. 03Cronジョブとデータベーステーブルの調査
  4. 04削除済みプラグインの残存データ追跡

MCP 対応

WordPress RESTエンドポイントを通じて、MCP over JSON-RPC 2.0の読み取り専用ツールを9種類公開します。MCPクライアントはサイトやプラグインのデータを照会でき、応答にはカバレッジと鮮度のメタデータが含まれます。

設定

リモートサーバーはインストール不要です。クライアントを選んで設定をコピーするか、ワンクリックで導入できます。

エンドポイントhttps://{site_domain}/wp-json/auditra/v1/mcp/{token}
インストールコマンドをコピー
Claude CodeTerminal
Cursor.cursor/mcp.json
VS Code.vscode/mcp.json
Claude Desktopclaude_desktop_config.json
Windsurf~/.codeium/windsurf/mcp_config.json

コマンドはターミナルで実行し、JSON は各クライアントの MCP 設定に貼り付けて再起動します。認可が必要なサーバーは初回接続時にログインを求めます。

ツール

詳細

Auditra

インストール先のサイトを読み取り専用のMCPサーバーに変えるWordPressプラグインです。MCP対応のAIクライアント（Claudeのカスタムコネクターなど）が、そのサイトにあるプラグインの状況を平易な言葉で調査し、分析できるようになります。

「脆弱性のあるプラグインはどれ？」「optionsテーブルを肥大化させているものは？」「削除したプラグインは何を残した？」と尋ねると、サイトの実際の状態に基づいた回答が得られます。

仕組み

1つのプラグイン内に3つのレイヤーを備え、RESTルートは1つ、実行時の依存関係はありません。

  • トランスポート — POST /wp-json/auditra/v1/mcp/{token}で、JSON-RPC 2.0上のMCPを提供します（通常のJSONレスポンス、ステートレス）。リクエストごとに判定し、2世代のプロトコルに対応します。リビジョン2026-07-28（リクエストごとのメタデータ、server/discover、Mcp-*ヘッダーの検証）と、initializeハンドシェイクを使うリビジョン2025-11-25／2025-06-18／2025-03-26を提供します。交換可能なインターフェースの背後にあるトークンパス認証、Origin検証、レート制限、認証失敗のログ記録を備えています。
  • コレクター — WordPressから直接情報を読み取ります。インベントリー、サイトコンテキスト、自動読み込みオプション、cron、データベーステーブル、コンテンツ機能の使用状況に加え、オプション／テーブル／フックを所有プラグインに対応づける3段階の帰属エンジンを備えています。信頼度は明示され（high＝整備済み、medium＝推定、または未帰属と明示）、判定されます。
  • エンリッチメント — wordpress.orgとWPVulnerabilityの2つの外部サービスを利用します。どちらもAPIキー不要で、キャッシュされ、ソースごとのカバレッジ報告と、失敗時の段階的なバックオフ（15分→24時間）を行いながら、エラーを表に出さずに動作します。PHP、MySQL、MariaDBのサポート期間終了日は取得しません。各ベンダーが公開しているポリシーから作成したデータをincludes/data/lifecycle.jsonに同梱しています。

9つのツールがあり、すべてのレスポンスに_meta（合計数、切り詰めの有無、利用できないソース、タイムスタンプ）が含まれ、20 KBの上限内に収まります。サーバーが報告するのは事実だけで、判定はしません。スコアリングやアドバイスは意図的に行いません。それはAIクライアントの役割だからです。設計の全記録はdocs/DECISIONS.mdにあります。

AIクライアントへの接続

  1. wp-adminのツール → Auditraで、エンドポイントを有効にし、トークンを生成して、接続URLをコピーします。
  2. Claudeで、設定 → コネクター → カスタムコネクターを追加を選び、URLを貼り付けます（https://である必要があります）。
  3. 質問します。「このサイトのプラグインについて何がわかりますか？」から始めてみましょう。

サイトはHTTPS経由でパブリックにアクセス可能で、パーマリンクが有効になっている必要があります。リビジョン2026-07-28のクライアントには、tools/listで24時間の鮮度ヒントが返されるため、プラグインの更新で追加されたツールは1日以内に自動的に表示されます。それより古いリビジョンには有効期限の通知がないため、新しいツールを反映するには、更新後にコネクターを再接続してください。

コントリビューション

実用性の高いコントリビューションとして最も手軽なのは、includes/data/prefix-overrides.jsonへのプルリクエストです。これは、プラグインのスラッグと、実際に使用するオプション／テーブルのプレフィックス（Contact Form 7 → wpcf7_）の対応をまとめた整備済みマップです。項目を追加するたびに、すべてのユーザーの帰属精度が向上します。CONTRIBUTING.mdを参照してください。

開発

composer install   # dev-only: PHPCS + WordPress Coding Standards (pinned)
composer lint
php tests/mcp-client.php https://example.com/wp-json/auditra/v1/mcp/{token}

tests/mcp-client.phpは、AIクライアントを介さずにエンドポイントをテストするCLIハーネスです。tests/seed-conditions.shは意図的に乱雑なテストサイトを構築し、teardown-conditions.shはそれを完全に元の状態に戻します。CIでは、PHP lintのバージョンマトリックス（7.4～8.4）、PHPCS、およびプラグインのコードに書き込み操作が現れた場合にビルドを失敗させるgrepゲートを実行します。

セキュリティ

対応バージョンと、脆弱性を非公開で報告する方法についてはSECURITY.mdを参照してください。

ライセンス

GPL-2.0-or-later。

コメント

Markdown 対応

MCP は初めてですか？

プロトコルの概要から最初のサーバーの導入まで、よくある疑問にまとめて答えます。

AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。