Jak połączyć AI z WordPressem? Hasła aplikacji krok po kroku

Podsumowanie

• AI podłączysz do WordPressa bez klucza API. Wystarczy subskrypcja Claude albo ChatGPT, którą pewnie już płacisz.
• Całe „połączenie” to jedno hasło aplikacji z profilu WordPressa. Robisz je w minutę, agent dostaje je w zdaniu.
• Test połączenia i całą robotę zlecasz agentowi. Ty nie wpisujesz żadnych komend.
• Cztery zdania, które mówisz agentowi, żeby nie rozwalił Ci gotowych wpisów.
• Błąd 401 ma cztery przyczyny i jeden komunikat. MCP? Policzyłem na żywej instalacji: na razie nie potrzebujesz.

„Jak połączyć AI z WordPressem” brzmi jak pytanie o wtyczkę. Nie jest. Cokolwiek podpinasz, Claude, ChatGPT, n8n czy własny skrypt, po stronie WordPressa zawsze stoi to samo: hasło aplikacji z rdzenia. Kto to ogarnia, ma integrację w pięć minut. Kto nie, walczy z błędem 401, który nic nie mówi. Ten poradnik jest dla osób nietechnicznych, bez gimnastyki w terminalu.

Najpierw ustal, w którą stronę ma płynąć rozmowa

Są dwa różne scenariusze i wymagają zupełnie różnych rzeczy. Mylenie ich to najczęstsza przyczyna zmarnowanego popołudnia.

Jedno pytanie: kto wysyła żądanie. Jeśli narzędzie AI puka do Twojej strony, potrzebujesz hasła aplikacji z WordPressa. Jeśli Twoja strona woła model, potrzebujesz klucza API od OpenAI albo Anthropic i wklejasz go w panelu.

Ten poradnik jest o pierwszej drodze. Nic nie kosztuje ponad abonament i przeszedłem ją od początku do końca. Drugą opisuję krótko na końcu.

Subskrypcja to nie klucz API

Powszechne nieporozumienie: Claude Pro, Claude Max ani ChatGPT Plus nie dają klucza API. To osobne produkty i osobne rachunki. Subskrypcja kupuje czat i narzędzia typu Claude Code. API to usługa rozliczana za tokeny. Nie ma przełącznika z jednego na drugie.

W praktyce: kiedy agent pracuje na Twojej stronie, model chodzi po stronie narzędzia, które już opłacasz. Do WordPressa leci tylko hasło aplikacji. Zero dodatkowych kosztów. Jedyny haczyk: agent przelatujący sto wpisów zje kawał limitu Twojej subskrypcji. Przy pojedynczych zadaniach tego nie zauważysz.

Czego potrzebujesz, zanim zaczniesz

Zanim zaczniesz cokolwiek konfigurować, powiem wprost, bo większość poradników to przemilcza. Potrzebne są trzy rzeczy:

• WordPress na HTTPS i dostęp do panelu, żeby utworzyć hasło aplikacji.
• Subskrypcja, którą pewnie już masz: Claude Pro lub Max albo ChatGPT Plus.
• Agent, czyli narzędzie, które umie wyjść z czatu do Twojej strony.

Trzeci punkt to haczyk, na którym odbija się najwięcej osób. Samo okno czatu w przeglądarce nie sięgnie do Twojego WordPressa. Potrzebujesz agenta, który w Twoim imieniu wysyła żądania. Sprawdziłem dwa, oba to osobne programy instalowane obok subskrypcji:

Instalujesz raz, logujesz swoim kontem i gadasz z nimi w terminalu jak w czacie. Tyle że mogą działać na plikach i w sieci. Jeśli nigdy nie odpalałeś terminala, to jedyna nowość w tym poradniku i sprowadza się do wklejania zdań.

Inni klienci AI z obsługą własnych serwerów MCP zadziałają na tym samym haśle aplikacji. Nie testowałem ich, więc nie obiecuję.

Hasło aplikacji, czyli całe połączenie

Hasło aplikacji to osobne poświadczenie, które WordPress generuje dla konkretnego programu. W rdzeniu od wersji 5.6, zero wtyczek. Trzy fakty:

• Nie loguje do panelu. W formularzu logowania nie zadziała i o to chodzi.
• Osobne dla każdej aplikacji. Unieważnisz jedno, reszta działa.
• Wymaga HTTPS. Bez certyfikatu sekcja się nie pokaże.

Krok 1: utwórz hasło

Wchodzisz w Użytkownicy, Profil, zjeżdżasz na sam dół do Hasła aplikacji. Wpisujesz nazwę, po której poznasz, do czego jest to hasło. To tylko etykieta, ale za pół roku sobie podziękujesz.

Klikasz i WordPress pokazuje hasło. Widzisz je raz. Potem da się je tylko unieważnić i wygenerować nowe.

Format: sześć grup po cztery znaki. Spacje możesz zostawić albo skasować, WordPress łyka obie wersje.

Gdzie je trzymać (i dlaczego nie ma co panikować)

Kopiujesz do menedżera haseł, zapisujesz jako nowy wpis: nazwa strony, login, hasło aplikacji. Tyle. To jest jego dom.

I teraz najważniejsze zdanie tej sekcji, bo widziałem, jak ludzie zatrzymują się tu na godzinę: hasło aplikacji to nie hasło do konta. Nie da się nim zalogować do panelu. Wycieknie, zgubisz, agent je gdzieś zapisze? Wchodzisz w profil, klikasz „Unieważnij”, generujesz nowe. Dwadzieścia sekund, hasło do konta nietknięte. Traktuj je jak klucz do jednych drzwi, który wymieniasz w każdej chwili. Nie jak klucz do banku.

Żeby to było bezpieczne, wystarczą dwie zasady, obie rozpisuję niżej w sekcji o higienie: osobny użytkownik z rolą redaktora zamiast admina i osobne hasło dla każdego narzędzia.

Krok 2: daj hasło agentowi i sprawdź połączenie

Odpalasz Claude Code albo Codex i piszesz normalnie, po polsku:

Moja strona to twojadomena.pl, użytkownik redaktor_ai, hasło aplikacji: xxxx xxxx xxxx xxxx xxxx xxxx. Sprawdź, czy połączenie działa: odpytaj /wp-json/wp/v2/users/me i powiedz, co wróciło.

Agent poprosi o zgodę na uruchomienie polecenia (normalne), wyśle żądanie z Twojego komputera i odpowie po ludzku: rozpoznany jako właściwy użytkownik albo błąd. Pod spodem robi dokładnie to:

curl -u "redaktor_ai:HASLO_APLIKACJI" https://twojadomena.pl/wp-json/wp/v2/users/me

Jeśli wraca JSON z Twoim id i nazwą, połączenie działa:

{"id":5,"name":"redaktor_ai","link":"https://twojadomena.pl/author/redaktor_ai/", ...}

Jeśli wraca to, idziesz do następnej sekcji:

{"code":"rest_not_logged_in","message":"Aktualnie nikt nie jest zalogowany.","data":{"status":401}}

Uczciwie: hasło wklejone w rozmowę z agentem zostaje w historii tej rozmowy, a ta leci do dostawcy modelu. Dla hasła do konta byłby to problem. Dla hasła aplikacji na koncie redaktora, które unieważniasz jednym kliknięciem, to akceptowalna cena za prostotę. Wersja pro, jeśli lubisz terminal: hasło wrzucasz do zmiennej środowiskowej (na przykład WP_PASS) i agentowi podajesz tylko jej nazwę. Wtedy wartości nie widzi nikt. Opcja, nie wymóg.

Błąd 401 znaczy cztery różne rzeczy

Tu większość ludzi odpada i moim zdaniem wina leży po stronie WordPressa. rest_not_logged_in wygląda identycznie bez względu na przyczynę. Trzeba wykluczać po kolei.

Najpierw sprawdź, czy w ogóle widzisz sekcję Hasła aplikacji w profilu. Jeśli jej nie ma, hasła aplikacji są wyłączone i żadne testy nie mają sensu. Powody są dwa: brak HTTPS albo wtyczka, która wyłączyła je filtrem wp_is_application_passwords_available. Robią tak niektóre wtyczki bezpieczeństwa, czasem w ramach domyślnej konfiguracji.

Jeśli sekcja jest, to pozostałe:

1. REST API zablokowane przez wtyczkę bezpieczeństwa? Inny objaw: wraca rest_forbidden. All In One WP Security i Wordfence potrafią odciąć REST dla programów spoza panelu. W AIOS trasa wp musi być na białej liście. Wtyczki czyste, a objaw zostaje? Pytaj hostingodawcę o zaporę przed stroną.
2. Hasło aplikacji czy hasło do konta? Banał, a najczęstszy błąd. Sam się złapałem: w jednym z naszych narzędzi tygodniami siedziało zwykłe hasło użytkownika i zwracało ciche 401. Hasło aplikacji to sześć grup po cztery znaki, bez znaków specjalnych.
3. Hasło jeszcze istnieje? Zerknij na listę w profilu. Nie ma wpisu, którego używasz? Zostało unieważnione. Generujesz nowe.
4. Serwer zjada hasło po drodze? Niektóre konfiguracje PHP gubią nagłówek z poświadczeniami, zanim dojdzie do WordPressa. Objaw: żądanie z celowo błędnym hasłem wraca dokładnie tak samo jak żądanie bez hasła. Poproś agenta, żeby porównał obie odpowiedzi. Identyczne? To nie Twoje hasło, to serwer. Zgłoś hostingodawcy.

Od tej chwili agent ma dostęp do REST API WordPressa z uprawnieniami Twojego użytkownika. I o to chodzi: tędy AI pisze i poprawia treść na Twojej stronie. Bez wtyczek.

Dalej nic nie wpisujesz. Mówisz:

Mój WordPress to twojadomena.pl, użytkownik redaktor_ai, hasło aplikacji masz wyżej. Napisz wpis o wyborze płytek do łazienki i wrzuć jako szkic.

I w kokpicie pojawia się nowy szkic. Poprawka gotowego tekstu tak samo: który wpis, co zmienić.

Cztery zdania, które musisz agentowi powiedzieć

To zdania do wypowiedzenia, nie komendy do wpisania.

1. „Nowe wpisy zawsze jako szkic.” Agent potrafi opublikować od ręki i zrobi to, jeśli nie powiesz inaczej. Dopóki nie ufasz procesowi, „wrzuć jako szkic” leci w każdym poleceniu.
2. Poprawka opublikowanego wpisu jest publiczna natychmiast. Reguła o szkicach chroni tylko nowe treści. Wpis, który wisi na stronie, po edycji dalej wisi, tylko w nowej wersji. Widzi każdy.
3. „Czytaj treść w trybie edycji, context=edit, i odsyłaj całe pole content.” Jedyna czysto techniczna pułapka i zarazem najdroższa. WordPress trzyma wpis z ukrytymi znacznikami bloków. Jeśli agent wczyta wersję wyświetlaną i odeśle ją z powrotem, znaczniki znikają, a wpis zamienia się w jeden klocek surowego HTML. Przy jednym tekście: irytacja. Przy stu hurtem: stracony tydzień.
4. Agent nadpisuje cały wpis, nie sam fragment. Musi go najpierw przeczytać, a Ty w tym czasie nie grzebiesz w edytorze. Wygrywa ostatni zapis.

Jak wskazać konkretny wpis

Podaj adres albo tytuł, resztę agent znajdzie. Chcesz mieć pewność? Otwórz wpis do edycji i przepisz numer z paska adresu, ten fragment post=1073. Powiedz też, czy to wpis na blogu, czy strona typu „Kontakt”, bo WordPress trzyma je w dwóch osobnych miejscach.

Co, jeśli AI coś zepsuje

Pytanie, które blokuje najwięcej osób. Odpowiedź: każdy zapis przez API zostawia rewizję, tak samo jak zapis z edytora. Sprawdziłem na własnej podmianie nagłówka, w historii wpisu pojawiła się nowa pozycja. Zepsutą zmianę cofasz w panelu: Rewizje, przywróć poprzednią. Razem z regułą „zawsze szkic” masz dwie siatki bezpieczeństwa, zanim cokolwiek zobaczy czytelnik.

Na tej samej zasadzie działają n8n, Make i każdy agent, który umie wysłać żądanie HTTP. Budujesz na tym coś większego? Sprawdź nasz managed VPS pod n8n, bez limitów workflow.

A co z MCP, o którym wszędzie słychać?

Jeśli szukałeś tematu, trafiłeś na skrót MCP: standard, dzięki któremu agent sam odkrywa, co potrafi dana usługa. WordPress ma pod to fundament: Abilities API w rdzeniu od wersji 6.9 i oficjalną wtyczkę MCP Adapter. Brzmi jak przełom i większość poradników na tym poprzestaje.

Policzyłem, co agent realnie dostaje do ręki. Czysty WordPress 7.0.2 z adapterem: zero zdolności. Po dołożeniu oficjalnej wtyczki AI: dwie, obie tylko do odczytu. Zapisu brak. Świetna szyna, po której na razie prawie nic nie jeździ.

Wniosek: żeby AI dziś pisało na Twojej stronie, nie potrzebujesz MCP ani żadnej wtyczki. Hasło aplikacji plus REST API i jedziesz. To się zmieni, adapter wychodzi co kilka tygodni, a pod WordPressa 7.1 leży propozycja rozszerzenia zdolności. Mechanizm połączenia zostanie ten sam.

Higiena: trzy zasady i spokój

Hasło aplikacji daje dostęp z uprawnieniami użytkownika, dla którego je zrobiłeś. Stąd trzy zasady od pierwszego dnia.

1. Nie podpinaj agentów pod admina. Zadziała i dlatego tyle integracji tak stoi: admin nigdy nie dostaje odmowy, więc nie ma czego debugować. Cena: hasło w narzędziu daje przez API tyle, co pełny dostęp do panelu, z kasowaniem wtyczek i użytkowników włącznie. Załóż osobnego użytkownika z najniższą rolą, która wystarcza. Do pisania i poprawiania wpisów spokojnie wystarczy redaktor. Które role co mogą, masz w poradniku o rolach użytkowników w WordPressie.

2. Osobne hasło dla każdej integracji. WordPress pokazuje przy każdym datę ostatniego użycia i adres IP. To Twój dziennik dostępu i jedyny sposób, żeby wiedzieć, które połączenie żyje, a które można wyłączyć.

Na zrzucie tylko jedno z trzech haseł ma wypełnione „Ostatnio użyte”, bo tylko nim łączyłem się z API. Na jednym wspólnym haśle nie odróżniłbyś niczego.

3. Nie potrzebujesz? Unieważnij. Integracja skończona, wtyczka wyrzucona, agent przestał być używany: jedno kliknięcie w profilu. Hasło do konta zostaje nietknięte.

Czy to obciąża serwer?

Pojedyncze wywołania REST kosztują tyle, co zwykłe wejście na stronę. Robi się ciekawiej przy automatyzacjach, które przelatują przez setki wpisów, bo każde żądanie to pełne załadowanie WordPressa i seria zapytań do bazy. Przy masowych operacjach warto mieć wydajny dysk i zapas mocy, żeby import nie kładł strony odwiedzającym. Na typowym blogu i stronie firmowej wystarczy dobrze skonfigurowany hosting pod WordPressa z LiteSpeed i NVMe. Przy stałych automatyzacjach chodzących w tle i większych katalogach lepiej sprawdzi się serwer VPS z dedykowanymi zasobami, gdzie nie dzielisz limitów z nikim.

Druga droga: funkcje AI wprost w edytorze

Dla porządku drugi kierunek: WordPress woła model. Robi to oficjalna wtyczka AI od współtwórców projektu, z łącznikami do Anthropic i OpenAI. Co w temacie AI dał sam rdzeń, opisałem w tekście o nowościach w WordPressie 7.0. Tu podajesz klucz API dostawcy i włączasz funkcje, które Cię interesują:

Najciekawsze trzy: generowanie metaopisów (integruje się z wtyczkami SEO), alt-teksty obrazków pisane modelem wizyjnym i notatki redakcyjne, które przechodzą wpis blok po bloku pod kątem czytelności, gramatyki i SEO.

Dwa zastrzeżenia. Tej ścieżki nie uruchamiałem, to lista z ekranu ustawień. I każda z tych funkcji wymaga Twojego klucza API i kosztuje tokeny przy każdym kliknięciu. Zacznij od hasła aplikacji. Po wtyczkę sięgnij, kiedy będziesz wiedział, że masową generację metaopisów naprawdę chcesz kupić.