Modelo de seguridad para integraciones
POM AI aplica controles tanto en el límite de la interfaz de WordPress como en el del servicio remoto.
Solicitudes de funcionalidades de WordPress
Los controladores AJAX que modifican estados verifican un nonce específico para cada propósito y la capacidad de WordPress correspondiente, como editar entradas o subir archivos. Las entradas se sanean, se comprueban el tipo y el tamaño de los archivos cuando corresponde, y las respuestas remotas se normalizan antes de escribir contenido o medios locales.
Las solicitudes salientes al servicio de POM AI se firman sobre el método HTTP exacto, la ruta, la marca de tiempo, el nonce y el cuerpo transmitido, usando la licencia actual del producto. Esto proporciona integridad de la solicitud y protección frente a repeticiones sin exponer la clave en el contenido de la página.
Solicitudes MCP
MCP añade cuatro comprobaciones independientes:
- autenticación y ámbitos OAuth requeridos;
- la capacidad del usuario de WordPress asignado;
- la puerta de escritura controlada por el administrador para el área del producto;
- el esquema de la herramienta y las listas de permitidos del servidor.
La ejecución en seco no omite estas comprobaciones. Las operaciones destructivas siguen identificadas explícitamente mediante su contrato de herramienta.
Guía para extensiones
Utiliza los ayudantes y filtros existentes. Verifica los nonces antes de leer los datos de la solicitud, comprueba las capacidades antes de actuar, sanea los valores en la entrada, escápalos en la salida y no coloques nunca licencias ni secretos de MCP en los registros. No debe introducirse una nueva superficie de escritura genérica solo para dar soporte a una funcionalidad; mantén la operación acotada y guiada por el esquema.
Guías relacionadas: autorización de MCP, registro de licencias y hooks públicos.