Novamira : connecter Claude ou ChatGPT à WordPress, testé (et les droits que vous lui donnez vraiment)

Depuis quelques semaines, tout le monde parle de Novamira. L’extension promet de brancher Claude, ChatGPT, Gemini ou Cursor sur un site WordPress en quelques minutes, pour lui demander en français de créer une page, de corriger un réglage ou d’écrire une petite fonction. Les démonstrations sont bluffantes.

Ce que les démonstrations montrent moins, c’est ce que l’IA reçoit le jour où vous cochez la case. Nous avons installé Novamira 1.12.15 (la version du 6 novembre 2026) sur une boutique WooCommerce de test, en français, et nous l’avons interrogée comme le ferait une IA connectée. Résultat :

• l’installation et l’activation prennent moins de 5 minutes ;
• en une seule requête, l’IA a lu le mot de passe de la base de données du site ;
• en une autre, elle s’est créé un compte administrateur, sans rien demander à personne ;
• les garde-fous existent, mais le plus complet, le mode lecture, est réservé à la version payante, et l’éditeur lui-même écrit que ce n’est « pas une fonction de sécurité ».

Rien de caché là-dedans : l’éditeur le dit noir sur blanc dans sa documentation. Mais il vaut mieux le savoir avant de connecter son site en ligne.

Transparence : certains liens vers Novamira Pro dans cet article sont des liens d’affiliation. Si vous achetez après avoir cliqué, webypress touche une commission, sans surcoût pour vous. Le test a été fait sur la version gratuite, et rien dans cet article n’a été relu par l’éditeur.

Novamira, c’est quoi exactement ?

Novamira est une extension WordPress gratuite et open source (licence AGPL), éditée par Ovation S.r.l., la société italienne derrière Dynamic.ooo. Elle transforme votre site en serveur MCP : le protocole qui permet à une IA comme Claude ou ChatGPT d’utiliser des outils extérieurs, ici votre WordPress.

Concrètement, une fois connectée, l’IA peut :

• exécuter du code PHP sur le serveur, avec tout WordPress chargé (base de données, extensions, thème) ;
• lancer des commandes WP-CLI, si votre hébergeur l’installe ;
• lire, écrire et supprimer des fichiers du site ;
• écrire du contenu dans l’éditeur de blocs, gérer des « skills » (des consignes réutilisables) et un système de design ;
• utiliser les capacités que d’autres extensions déclarent : sur notre boutique, les 8 capacités de WooCommerce (rechercher des commandes, créer ou supprimer un produit, changer l’état d’une commande) sont apparues toutes seules.

Quelques repères pratiques :

• elle n’est pas sur le répertoire WordPress.org : on télécharge le fichier ZIP sur novamira.ai ou sur GitHub, où le projet compte environ 765 étoiles ;
• elle demande WordPress 6.9 et PHP 8.0 au minimum ;
• son interface est en anglais uniquement, même sur un site en français ;
• la connexion est directe entre votre IA et votre site : rien ne transite par les serveurs de Novamira.

Installer et connecter Novamira (5 minutes)

L’installation est celle de n’importe quelle extension, puis tout se passe dans le menu Novamira > Configuration.

1. Téléchargez le ZIP de la dernière version (pas l’archive « Source code » de GitHub, à qui il manque des fichiers), puis Extensions > Ajouter une extension > Téléverser.
2. Dans Novamira > Configuration, cochez Turn on AI Abilities for this site et enregistrez. Tant que cette case n’est pas cochée, aucune IA ne peut se connecter.
3. Choisissez votre outil dans la liste : Claude Desktop, Claude.ai, ChatGPT, Gemini Desktop, Cursor, Claude Code, Codex et bien d’autres.
4. Choisissez la méthode de connexion. Novamira n’affiche que celles qui marchent pour votre outil (détail juste en dessous).
5. Posez une première question à votre IA (« quelles extensions sont installées ? ») pour vérifier que la connexion marche.

Les trois méthodes de connexion proposées :

• OAuth : vous collez une adresse dans les « connecteurs personnalisés » de Claude ou de ChatGPT, puis vous validez depuis votre compte WordPress. Pas de mot de passe à copier ;
• mot de passe d’application : Novamira en génère un et vous donne le texte à coller dans votre outil ;
• Novamira CLI, pour les outils qui tournent dans un terminal.

Le piège des hébergeurs. Avec OAuth, c’est le serveur de l’IA (chez Anthropic ou OpenAI) qui appelle votre site, pas votre navigateur. Beaucoup de pare-feu prennent ces appels pour des robots et les bloquent avant même WordPress. La documentation de Novamira cite Hostinger, Cloudflare, Kinsta, WP Engine, SiteGround et Pantheon parmi les protections qu’elle détecte, et une extension de sécurité comme Wordfence peut faire de même. Deux solutions :

• passer par un mot de passe d’application : la connexion part alors de votre ordinateur, et elle passe ;
• pour Claude.ai, qui n’accepte qu’OAuth : la page Configuration fournit un message tout prêt à envoyer au support de l’hébergeur, pour qu’il laisse passer le chemin /wp-json/.

Ce que l’IA peut vraiment faire : notre test

Une fois la connexion établie, nous avons envoyé au site les mêmes requêtes que celles qu’enverrait une IA. Pas de piratage, pas d’astuce : uniquement les capacités que Novamira propose, avec un compte connecté normalement.

Lire le mot de passe de la base de données

Première requête, avec la capacité « exécuter du PHP » : renvoyer l’e-mail de l’administrateur, le nombre de produits et les identifiants de la base de données. Réponse en 1 milliseconde.

Sur notre boutique de test, ces identifiants sont factices. Sur un vrai site, ce sont les vrais. La capacité « lire un fichier » donne d’ailleurs le même résultat en ouvrant directement wp-config.php.

Se créer un compte administrateur

Deuxième requête : créer un utilisateur « assistant-ia » avec le rôle administrateur. Il apparaît aussitôt dans Comptes, et rien ne vous prévient.

Les garde-fous qui existent (et ce qui les contourne)

Novamira a bien des protections, et elles marchent :

• les capacités de fichiers sont limitées au dossier de WordPress. Quand nous avons demandé la liste des fichiers à la racine du serveur, la réponse a été un refus : « Path « / » is outside the allowed base directory » ;
• les dossiers essentiels sont protégés contre la suppression. Supprimer wp-admin : refusé ;
• le code PHP qu’écrit l’IA dans des fichiers est rangé dans un dossier à part (wp-content/novamira-sandbox/), et Novamira se remet en mode sans échec si ce code fait planter le site.

Le problème, c’est que la capacité « exécuter du PHP » passe au-dessus de tout ça. La même liste de la racine du serveur, refusée par la capacité de fichiers, s’est affichée sans difficulté en une ligne de PHP. La documentation le dit elle-même : ces restrictions « ne s’appliquent pas à l’exécution de PHP », et le dossier à part est « une commodité, pas une frontière de sécurité ».

Ce n’est pas un défaut caché, c’est le principe de l’outil : donner à l’IA un accès complet pour qu’elle puisse vraiment construire des choses. Novamira l’affiche d’ailleurs à chaque étape : « For development and staging environments only. Always keep backups. » Autrement dit : pour un site de développement ou une copie de test, avec des sauvegardes.

Comment brider Novamira

Si vous voulez vous en servir quand même, voici ce qui marche, du plus simple au plus solide.

1. Couper l’exécution de PHP dans l’Abilities Hub (gratuit)

Le menu Novamira > Abilities Hub liste toutes les capacités offertes à l’IA, rangées par famille, avec un bouton Disable sur chacune. Sur notre boutique, une fois « execute-php » désactivé, la capacité a disparu de la liste que voit l’IA, et l’appel a échoué.

Pour un usage prudent, désactivez au minimum :

• execute-php et run-wp-cli, qui contournent toutes les autres limites ;
• create-admin-access-link, qui fabrique un lien de connexion à l’administration ;
• delete-file, si l’IA n’a pas à supprimer de fichiers.

L’IA garde alors la lecture des fichiers, l’éditeur de blocs et les capacités de WooCommerce. Attention : elle peut toujours lire wp-config.php avec la capacité de lecture de fichiers.

2. Le mode lecture (Read Mode), réservé à Novamira Pro

C’est le seul réglage pensé pour un site en ligne : l’IA peut tout consulter (fichiers, articles, utilisateurs, base de données en lecture), mais plus rien modifier. Il demande Novamira Pro avec une licence active. La version gratuite affiche la page, mais pas l’interrupteur.

Même ainsi, l’éditeur prévient que ce n’est pas une fonction de sécurité : l’IA se connecte toujours avec un compte administrateur, elle peut tout lire, et d’autres outils de votre IA (un navigateur, un autre connecteur) restent capables de modifier le site s’ils sont activés.

3. Les règles qui comptent plus que les réglages

• Travaillez sur une copie. La plupart des hébergeurs proposent un site de test (« staging ») en un clic. Bonne nouvelle : les capacités IA sont liées à l’adresse du site. Si vous copiez la copie de test vers le site en ligne, elles restent coupées sur le site en ligne tant que vous ne les réactivez pas.
• Faites une sauvegarde avant chaque séance. Novamira ne sauvegarde rien et n’annule rien.
• Validez chaque action dans votre IA. Claude Desktop, Claude Code et Cursor demandent une confirmation avant chaque appel d’outil : gardez-la, et lisez ce que l’IA s’apprête à faire.
• Un seul site connecté à la fois. Le vrai risque, selon l’éditeur lui-même, est de confondre deux connexions et de lancer sur le site en ligne une commande prévue pour la copie.
• Décochez la case après la séance. Décocher « Turn on AI Abilities » coupe toutes les connexions immédiatement, sans rien perdre.
• Méfiez-vous du contenu que lit l’IA. Un commentaire ou une fiche produit peut contenir des instructions cachées destinées à l’IA (ce qu’on appelle une injection de consignes). Avec un accès PHP complet, les conséquences peuvent être sérieuses.

Si vous avez une boutique, cette règle vaut double en ce moment : pas de séance d’IA sur le site en ligne pendant les soldes, comme pour toute autre modification (voir notre checklist Black Friday WooCommerce).

Novamira gratuit ou Novamira Pro ?

La version gratuite fait déjà tout ce que nous avons testé, sur un nombre de sites illimité. Novamira Pro ajoute :

• des spécialisations pour Elementor, Bricks, ACF, JetEngine, Meta Box, WooCommerce et d’autres, qui permettent à l’IA de travailler avec ces extensions sans passer par du PHP ;
• des capacités pour créer et modifier articles et pages directement ;
• une mémoire d’une séance à l’autre, pour ne pas réexpliquer votre site à chaque fois ;
• le mode lecture pour les sites en ligne, et un mode fantôme qui masque Novamira aux autres administrateurs (pratique pour une agence).

Prix relevés sur novamira.ai le 13/11/2026, remise appliquée automatiquement au paiement.

Notre conseil : commencez par la version gratuite sur une copie de votre site. Si vous voulez qu’une IA consulte votre site en ligne (pour un audit, un inventaire de contenu, une question sur la configuration), c’est le mode lecture qui justifie Novamira Pro, et la formule Starter suffit pour un ou deux sites.

Et pour une boutique WooCommerce ?

Depuis WooCommerce 11.3, l’accès MCP intégré à WooCommerce a disparu : il faut passer par une extension MCP. Novamira en est une, et elle embarque déjà l’adaptateur MCP officiel de WordPress : sur notre boutique, les 8 capacités de WooCommerce (commandes, produits, notes de commande) étaient disponibles sans rien installer d’autre.

C’est pratique pour demander « liste-moi les commandes en attente de paiement » ou « crée un produit à partir de cette fiche ». Mais sur une boutique, une erreur coûte vite cher (une commande annulée, un prix à zéro). La règle reste la même : une copie de test, une sauvegarde, et une confirmation avant chaque action.

En résumé

• Novamira relie Claude, ChatGPT, Gemini ou Cursor à WordPress en quelques minutes, gratuitement, sans intermédiaire.
• La version gratuite donne à l’IA un accès administrateur complet : dans notre test, elle a lu le mot de passe de la base et s’est créé un compte administrateur en deux requêtes.
• Les protections de fichiers existent, mais l’exécution de PHP les contourne : désactivez-la dans l’Abilities Hub si vous n’en avez pas besoin.
• Le mode lecture, seule option pensée pour un site en ligne, est réservé à Novamira Pro (49 €/an au lieu de 69 € jusqu’au 30 novembre), et ce n’est pas une barrière de sécurité.
• Le bon usage : une copie de test, une sauvegarde, une confirmation avant chaque action, et la case décochée à la fin de la séance.

Test réalisé le 13/11/2026 avec Novamira 1.12.15, WordPress 7.1.4 et WooCommerce 11.3.0, sur une boutique de test en local (WordPress Playground).