Comprendre le connecteur MCP

Le connecteur MCP d'Éclair ouvre ton site à Claude ou à ChatGPT, dans leur propre application et avec ton abonnement : ils lisent tes contenus, rédigent des brouillons dans ton ton et préparent des modifications. Aucune clé d'API, aucun coût pour le site. Cette leçon explique le principe sans jargon, détaille les six outils, puis tout ce que l'IA ne peut pas faire.

Qu'est-ce que le MCP, expliqué simplement ?

Le MCP (Model Context Protocol) est un standard ouvert qui permet à une application d'IA de se brancher sur des outils et des données. Anthropic l'a publié en open source le 25 novembre 2024. Depuis décembre 2025, il est confié à l'Agentic AI Foundation, un fonds de la Linux Foundation cofondé par Anthropic, Block et OpenAI.

Imagine que tu fais appel à un rédacteur indépendant très doué : Claude ou ChatGPT. Le connecteur MCP, c'est le badge que tu lui prêtes pour ton bureau. Avec ce badge, il consulte tes dossiers, dépose des brouillons dans ta bannette et glisse des propositions de corrections sur les pages de ta vitrine. Mais il n'a pas la clé de la vitrine : c'est toi qui publies. Et tu lui reprends son badge quand tu veux, d'un clic.

« Standard » désigne la forme du badge : le même lecteur accepte Claude, ChatGPT ou un autre outil compatible. Quatre mots suffisent pour la suite :

• client MCP : l'application d'IA (Claude, ChatGPT…) ;
• serveur MCP : ton site, qui répond à l'adresse /_eclair/mcp ;
• outil : une action que ton site propose à l'IA, comme lire un contenu ou créer un brouillon ;
• OAuth : la procédure standard par laquelle tu donnes ton accord, sans jamais confier ton mot de passe à l'IA.

Assistant intégré ou connecteur MCP : lequel choisir ?

Les deux partagent le même profil éditorial, les mêmes règles d'écriture et les mêmes interdits.

Garde l'assistant pour les retouches rapides dans l'éditeur, et le connecteur pour les longues séances de travail dans Claude ou ChatGPT. Le connecteur n'a besoin d'aucune clé : le fournisseur de l'assistant peut rester sur Désactivé (voir Activer l'assistant IA intégré).

Comment le connecteur MCP relie-t-il ton IA à ton site ?

1. Tu actives Autoriser les connexions MCP dans Réglages › Assistant IA, puis Enregistrer. L'Adresse du connecteur apparaît : https://ton-site.fr/_eclair/mcp.
2. Tu colles cette adresse dans Claude ou ChatGPT.
3. L'application s'enregistre automatiquement auprès de ton site, qui lui remet un identifiant signé sans rien stocker.
4. Une page de ton site s'ouvre : tu te connectes (double authentification comprise), tu vérifies l'application et son adresse de retour, puis tu cliques sur Autoriser.
5. L'application reçoit un jeton d'accès valable une heure, renouvelé automatiquement.
6. À chaque demande, l'IA appelle les outils de ton site, qui renvoie tes données ou crée le brouillon demandé.

La page d'accord liste ce que l'application pourra faire : lire tes pages, articles, produits et ta médiathèque ; créer et modifier des brouillons ; proposer des modifications de tes contenus publiés. Et ce qu'elle ne fera jamais : publier, supprimer, toucher aux réglages et aux comptes.

Les 6 outils du connecteur

Le connecteur propose six outils : quatre pour lire, deux pour écrire. L'IA commence par get_site, qui lui donne la carte du site et ses règles d'écriture.

Le type et le paramètre product (prix, disponibilité, lien de paiement, variantes…) n'existent que si ta boutique est ouverte. Les sections de create_draft reprennent les blocs de l'éditeur : bandeau, atouts, intertitre, paragraphe, liste, encadré, FAQ, bouton, équipe, contact et derniers articles, plus produits et image si ta boutique est ouverte et ta médiathèque garnie.

Chaque brouillon revient avec ses scores SEO et GEO sur 100, ses principaux points faibles et deux liens : edit_url pour l'ouvrir dans Éclair, preview_url pour l'aperçu. Une proposition revient avec review_url.

Brouillon ou proposition : que fait update_content ?

• Un brouillon est modifié directement ; sa version précédente reste dans l'Historique des versions.
• Un contenu publié ou programmé ne change pas : review_url ouvre l'éditeur avec la modification appliquée et le message « Modification proposée par l'IA : vérifie-la, puis enregistre pour l'appliquer. » Tu enregistres, ou tu fermes et rien ne bouge.
• Une proposition périmée, parce que le contenu a changé entre-temps, est refusée. Une proposition oubliée peut être effacée au-delà de 14 jours.

Pour réécrire un passage (replace), l'IA copie le texte exact lu avec get_content. Cela fonctionne dans les paragraphes, intertitres, citations, encadrés, listes, réponses de FAQ, atouts et présentations d'équipe, mais pas dans le bandeau, les boutons ni les tableaux.

Ce que l'IA ne peut pas faire

Ces limites sont inscrites dans le code d'Éclair, pas seulement dans les consignes : les outils correspondants n'existent pas, donc même une page piégée ne peut pas les déclencher. Par le connecteur, l'IA ne peut pas :

• publier, programmer ou dépublier un contenu ;
• supprimer quoi que ce soit ;
• modifier les réglages, les menus, les redirections ou les comptes ;
• relier des traductions entre elles (champ Traduction de… de l'éditeur) ;
• créer des images, ni en envoyer dans la médiathèque : elle n'utilise que celles qui y sont déjà ;
• changer l'adresse, la catégorie ou la langue d'un contenu existant ;
• lire les messages reçus par ton formulaire de contact.

Sécurité : qui garde la main ?

• Désactivé par défaut : tant que l'interrupteur est coupé, les adresses du connecteur renvoient une page 404.
• Accord explicite : connexion à ton compte, double authentification comprise, puis Autoriser. Si ta connexion date de plus de 15 minutes, ton mot de passe est redemandé. La page n'affiche jamais l'adresse de ton administration.
• Applications identifiées : Claude et ChatGPT sont reconnus à leur adresse de retour exacte. Toute autre application est présentée par son adresse, avec l'avertissement « Application inconnue : n'accepte que si tu viens de l'ajouter toi-même. »
• Jetons courts : un jeton d'accès vaut une heure, puis il est remplacé. Après 60 jours sans usage, il faut redonner ton accord. Un jeton de renouvellement déjà remplacé, puis présenté de nouveau, coupe la connexion. Seules les empreintes des jetons sont stockées, hors des sauvegardes.
• Limites : 5 connexions par personne et 50 pour le site, les moins utilisées s'effaçant ; 60 modifications par heure et par connexion, contre les boucles.
• Mêmes droits que l'assistant : un rédacteur n'y accède que si « Les rédacteurs peuvent utiliser l'assistant » est cochée.
• Coupure : un bouton Couper l'accès par application dans Réglages › Assistant IA. Désactiver le connecteur coupe tout ; changer ton mot de passe ou déconnecter tous tes appareils coupe tes connexions.
• Traçabilité : accords et coupures apparaissent dans le Journal de sécurité (mcp_authorized, mcp_revoked).

Quelles données partent chez Anthropic ou OpenAI ?

Le connecteur transmet ce que l'IA lit pour te répondre : l'inventaire du site, ton nom et ton rôle, le profil éditorial, les règles d'écriture et le texte des contenus qu'elle ouvre. Ces données sont traitées selon les conditions de ton abonnement Claude ou ChatGPT. Ni mots de passe, ni clés d'API, ni messages du formulaire de contact ne sortent.

Les détails techniques, pour les curieux

Le serveur MCP et son autorisation tiennent en moins de 25 Ko de PHP, sans dépendance :

• Transport : « Streamable HTTP » sans session. Chaque message JSON-RPC part en POST vers /_eclair/mcp et reçoit une réponse JSON ; un GET reçoit une réponse 405. Au plus 20 messages par lot et 1 Mo par requête.
• Versions du protocole : 2025-11-25, 2025-06-18 et 2025-03-26. La spécification en est à la révision 2026-07-28, qui supprime les sessions et déconseille l'enregistrement dynamique, toujours accepté pour compatibilité.
• Découverte : /.well-known/oauth-protected-resource (RFC 9728), /.well-known/oauth-authorization-server (RFC 8414) et /.well-known/openid-configuration. Sans jeton, le point d'accès répond 401 avec un en-tête WWW-Authenticate qui y renvoie.
• Autorisation : OAuth 2.1, PKCE S256 obligatoire, client public, portée eclair, paramètre iss renvoyé (RFC 9207).
• Enregistrement dynamique (RFC 7591) sans stockage : l'identifiant contient le nom de l'application et ses adresses de retour, signés par le site. Une à cinq adresses, en https:// ou en http:// sur la boucle locale (localhost, 127.0.0.1), dont le port peut varier.
• Annotations : les quatre outils de lecture portent readOnlyHint: true ; aucun outil n'est destructeur. MCP Inspector peut interroger le serveur (voir Développement local et tests).

Extrait de la réponse de /.well-known/oauth-authorization-server :

{
  "issuer": "https://ton-site.fr",
  "authorization_endpoint": "https://ton-site.fr/_eclair/oauth/authorize",
  "token_endpoint": "https://ton-site.fr/_eclair/oauth/token",
  "registration_endpoint": "https://ton-site.fr/_eclair/oauth/register",
  "code_challenge_methods_supported": ["S256"],
  "authorization_response_iss_parameter_supported": true
}

À retenir

• Le MCP est un standard ouvert, publié par Anthropic en novembre 2024, qui relie une IA à des outils.
• Le connecteur MCP fait travailler Claude ou ChatGPT avec ton abonnement, sans clé d'API ni coût pour le site.
• Six outils : quatre pour lire, create_draft et update_content pour écrire en brouillon ou en proposition.
• Jamais de publication, de suppression, de réglage, d'image générée ni de liaison de traductions.
• Désactivé par défaut, accord explicite, jetons d'une heure, accès coupé d'un clic.

Pour aller plus loin

• Connecter Claude à ton site : le pas à pas complet, offres et dépannage compris.
• Connecter ChatGPT à ton site : plugins, OAuth et espaces de travail.
• 40 usages du MCP, avec les consignes : des demandes prêtes à copier, classées par besoin.
• Sécurité avancée et maintenance : révoquer les accès et surveiller ton site.
• Sources officielles : annonce du Model Context Protocol par Anthropic et versions de la spécification MCP.

Toutes les leçons du parcours