WooCommerce 11.3 elimină endpointul /wp-json/woocommerce/mcp și autentificarea cu cheie REST API WooCommerce. Conexiunile MCP se mută pe pluginul WordPress MCP Adapter, cu parolă de aplicație WordPress. Dacă un client AI era legat la vechiul endpoint, trebuie reconfigurat înainte de upgrade, altfel cererile întorc HTTP 410. Esti afectat dacă ai un client AI conectat la magazin sau dacă extensia ta înregistra abilități pe vechiul endpoint.

Ce s-a schimbat concret în WooCommerce 11.3

Anunțul din 21.10.2026, semnat de Darren Ethier pe blogul pentru dezvoltatori WooCommerce, mută centrul de greutate al integrării AI în magazin. Până acum, WooCommerce avea endpoint propriu MCP, cu autentificare proprie prin cheie REST și cu un set de unelte derivate din REST. De la 11.3, abilitățile de produse și comenzi din nucleu sunt active implicit, dar au nevoie de pluginul WordPress MCP Adapter pentru a stabili o conexiune MCP.

Ce dispare: endpointul vechi, headerul X-MCP-API-Key, opțiunea mcp_integration din WooCommerce > Settings > Advanced > Features, abilitățile REST-derivate din namespace-ul woocommerce/ (list, get, create, update, delete pentru produse și comenzi) și mai multe filtre care se aplicau doar acelui endpoint. Apelurile primesc acum HTTP 410, cu un mesaj JSON-RPC care explică modul de conectare prin adaptor.

Logica din spate este simplă: un singur adaptor partajat per site, nu două sisteme paralele de autentificare și două seturi de unelte. Adaptorul 0.7.0 este prima versiune publicată ca plugin pe WordPress.org și renunță la distribuirea ca librărie Composer.

De ce contează pentru un magazin care rulează agenți AI

MCP, adică Model Context Protocol, este stratul prin care un asistent AI (ChatGPT, Claude, agenți interni) poate citi și acționa într-un sistem real. Pentru un magazin online, asta înseamnă întrebări de tipul „arată-mi comenzile neexpediate de azi” sau „actualizează stocul la produsul X”, executate direct, nu prin copy-paste.

Cât timp conexiunea stătea pe un endpoint propriu WooCommerce, fiecare integrare trebuia să știe cum arată acel endpoint, ce cheie să folosească și ce unelte există. Când WooCommerce schimbă regulile, toate integrările care atârnau de endpoint se rup în același moment. Anunțul este explicit: dacă un client MCP se conectează la vechiul endpoint cu cheie REST API, trebuie actualizat înainte de testare sau upgrade la 11.3.

Aici apare și riscul de operare pe care îl semnalez mereu: actualizările se fac automat pe multe magazine. Un magazin cu update automat și cu un client AI conectat pe endpointul vechi se poate trezi cu integrarea moartă fără ca cineva să fi atins ceva manual.

Ce trebuie să facă un magazin: checklist de migrare

Pașii din materialul sursă, tradusi in actiuni concrete:

  1. Instalează și activează pluginul MCP Adapter. Comanda indicată este wp plugin install mcp-adapter --active.
  2. Creează o parolă de aplicație WordPress pentru un utilizator care are doar capabilitățile de care are nevoie clientul. Nu da administrator complet unui client AI care trebuie doar să citească comenzi.
  3. Indica în clientul MCP noul endpoint: /wp-json/mcp/mcp-adapter-default-server, cu utilizatorul și parola de aplicație.
  4. Revocă cheile REST API WooCommerce create special pentru vechiul endpoint. Dacă rămân active, sunt chei care nu mai deservesc nimic și care lărgesc suprafața de atac.
  5. Verifică dacă magazinul avea activată funcția MCP. Cei care o aveau văd o notificare în admin după update, cu link către documentație și buton de instalare sau activare a adaptorului.

Pentru dezvoltatorii de extensii, cerințele sunt la fel de concrete. Abilitățile se înregistrează prin Abilities API din WordPress, cu metadate mcp de tipul public => true și type => tool. Abilitățile custom care apăreau în endpointul eliminat nu se transferă automat. Adaptorul expune doar abilitățile cu meta.mcp.public setat pe true (sau meta.public la nivel superior). Clasele interne eliminate nu produc eroare fatală, dar metodele lor nu mai fac nimic în afară de a afișa un mesaj cu indicații de migrare.

Un detaliu tehnic pe care multi developeri îl ratează: WooCommerceRestTransport nu mai extinde HttpTransport din adaptor. Codul care verifică tipul sau face instanceof pe HttpTransport nu îl va mai accepta, iar trimiterea lui către create_server() eșuează.

Ce înseamnă pentru tine, antreprenor sau marketer în România

Dacă ai un magazin pe WooCommerce și nu ai conectat niciodată un asistent AI la el, probabil crezi că subiectul nu te privește. Greșit, dar nu dramatic. Te privește indirect, pentru că schimbarea arată direcția în care merge comerțul: magazinele devin puncte de acces pentru agenți, nu doar pagini pentru oameni. Cine construiește acum procese curate de acces, cu permisiuni minime și autentificare separată, va putea adăuga automatizări fără să refacă totul peste șase luni.

Concret, pentru un operator român:

Pentru echipa de marketing, subiectul se leagă direct de felul în care vor fi citite magazinele de către agenții AI. Dacă vrei context pe partea de comerț pentru agenți, am scris despre WebMCP pe Cloudflare și comerțul pentru agenți AI. Iar dacă întrebarea ta este cum apare brandul tău în răspunsurile generate de AI, ai în ghidul despre AI Overview greșit despre brand pașii de corecție.

Un aspect de securitate pe care nu îl ignor: un endpoint MCP este, prin definiție, o poartă de execuție. Dacă autentificarea e slabă sau permisiunile sunt largi, poarta devine vulnerabilitate. Cazul cheilor UpdraftCentral furate, cu 400.000 de site-uri WordPress expuse, arată cât de repede se transformă o cheie uitată într-un incident. Nu susțin că acest update are legătură cu acel incident, sunt două subiecte separate, dar principiul e același: cheile vechi se revocă, nu se lasă de decor.

Limitele anunțului și ce nu știm încă

Anunțul spune clar ce se elimină și ce trebuie făcut. Nu spune câte magazine sunt afectate, nu dă un termen de grație după 11.3 și nu promite un calendar pentru extinderea abilităților. Formularea despre „mai multe abilități în nucleu și extensii” este o direcție, nu o livrare. Trateaz-o ca atare.

De asemenea, nu avem date despre cât de des folosesc magazinele din România MCP în producție. Nu avem un studiu propriu pe tema asta și nu voi inventa unul. O verificare corectă începe cu întrebarea: ce clienți AI sau extensii ating acest magazin și prin ce endpoint? Dacă răspunsul nu poate fi dat din documentație și din loguri, verificarea este incompletă, nu dovada că nu există nimic conectat.

Un alt lucru de reținut: faptul că adaptorul expune implicit abilitățile înregistrate de alte pluginuri de pe site înseamnă că suprafața expusă crește, nu scade. Fiecare plugin care înregistrează abilități publice le face vizibile adaptorului. Merită inventariat ce pluginuri fac asta înainte de a activa adaptorul pe un magazin cu multe extensii.

Un scenariu de lucru, explicit ipotetic

Să presupunem un magazin cu 4.000 de SKU-uri, cu un asistent intern care răspunde echipei de vânzări la întrebări despre stoc și comenzi. Astăzi, asistentul se conectează prin endpointul WooCommerce și o cheie REST. După 11.3, conexiunea moare.

Planul pe care l-as propune: instalarea adaptorului pe un mediu de test, crearea unui utilizator dedicat cu rol de citire pe comenzi și produse, generarea unei parole de aplicație, mutarea clientului pe noul endpoint și testarea întrebărilor reale din operare. Abia după ce răspunsurile sunt corecte, se aplică în producție și se revocă cheia veche. Nu e un proces greu, dar are ordine. Cine sare peste pasul de test descoperă problema în mijlocul unei zile aglomerate.

FAQ

Trebuie să fac ceva dacă nu am conectat niciodată un client MCP la magazin? Nu ai o conexiune de migrat, dar verifică dacă vreo extensie înregistra abilități pe vechiul endpoint. Dacă da, acea extensie are nevoie de actualizare din partea dezvoltatorului.

Pot păstra cheia REST API WooCommerce pentru noul endpoint? Nu. Noul endpoint folosește parolă de aplicație WordPress. Cheile create pentru vechiul endpoint pot fi revocate.

Ce se întâmplă dacă rulez update-ul la 11.3 fără să migrez? Cererile către vechiul endpoint întorc HTTP 410, cu un mesaj care indică modul de conectare prin adaptor. Integrarea nu mai funcționează până la reconfigurare.

AI-ul ajută, dar decizia și execuția rămân umane

Un asistent AI poate face inventarul conexiunilor, poate citi documentația de migrare și poate propune pașii. Poate chiar să scrie verificările care confirmă că noul endpoint răspunde. Ce nu poate face singur: să decidă ce capabilități primește fiecare client, să stabilească ordinea în care se aplică schimbarea în producție și să răspundă când ceva nu se comportă ca în test. Acolo intervine media buyer-ul sau operatorul tehnic care cunoaște magazinul.

Pasul concret îl face ALLSoft Agency: inventarul integrărilor, planul de migrare, testarea pe mediu separat și verificarea după update. Fără hype, cu priorități clare și cu cheile vechi revocate la final.