Royal MCP – Secure AI Connector for Claude, ChatGPT & Gemini

変更履歴

1.4.40

• New: Every write tool re-reads modified fields after the write and returns the actual saved values.
• New: Undo tokens now cover wp_delete_post, wp_delete_term, and wp_delete_menu_item, restoring deleted objects within 72 hours via mcp_undo_last_operation.
• New: wp_update_post preserves the WooCommerce product_type when generic post updates would otherwise reset it to Simple.
• New: wc_get_order returns fee_lines, shipping_lines, and the raw payment method ID for full write-verification.
• New: wp_get_seo_meta and wp_update_seo_meta now support AIOSEO and SEObolt alongside Yoast and Rank Math.
• New: wp_get_widgets returns widget instance content and parsed block markup for before/after diffs.
• New: OAuth endpoint paths (authorize/token/register) are filterable via royal_mcp_oauth_rewrite_paths.
• New: Admin notice detects when a published page shadows an OAuth endpoint.
• Enhancement: wp_get_posts + wp_count_posts accept non-public post types when the caller has edit capability.
• Enhancement: Option writes require opt-in to the read allowlist first; admin_email + default_role + mailserver_* permanently denylisted.
• Enhancement: JSON-RPC envelope hardening re-forces “2.0” against edge-layer transformations.
• Enhancement: Royal MCP Pro promotion refreshed for post-launch with a green Upgrade to Pro link in the sidebar.
• Fix: elementor_replace_text is now multi-byte and case-insensitive.
• Fix: Uninstalling the free plugin no longer removes data used by Royal MCP Pro when Pro is installed on the same site.
• Fix: seo_audit_meta_tags now counts characters instead of bytes so titles and descriptions containing non-ASCII content are measured correctly.

1.4.39

• 新規: Royal MCP Pro がすでに有効な場合、無料版プラグインは有効化を拒否。
• 新規: OAuth セッション長の設定を追加。AI セッションが再認可を求められるまで接続を維持する時間をサイト所有者が選択可能。
• 新規: 「設定 → OAuth」からすべての有効な AI セッションを失効可能に。
• 新規: 投稿コンテンツ内をリテラルで検索置換する wp_replace_in_post ツールと wp_replace_in_page ツールを追加。ドライラン、想定件数による安全確認、書き込み後の読み取り検証に対応。
• 新規: フィルターのコードを書かずに、サードパーティ製プラグインのオプションを wp_update_option の許可リストへ追加できるセクションを設定ページに追加。
• 新規: ウィジェット関連ツールを追加。ウィジェットインスタンスの一覧表示 (サイドバーによる絞り込みも可能)、サイドバーの一覧表示、ウィジェットコンテンツの更新に対応。書き込みはテーマ外観の管理トグルで制御。
• 新規: wp_reorder_menu_items が取り消しトークンを返すように変更。72時間以内であれば mcp_undo_last_operation がこのトークンを消費して直前の並び順を復元可能。
• 新規: mcp_undo_last_operation ツールを追加。取り消しトークンを消費して、そのトークンを生成した操作を元に戻す。
• 新規: seo_audit_meta_tags を追加。投稿の実際にレンダリングされた HTML を取得し、title、meta description、canonical、viewport、Open Graph、Twitter Card の各タグを報告。配信された出力にしか現れない競合を検出。
• 新規: WooCommerce の注文書き込みツール (wc_create_order、wc_update_order、wc_add_order_note) を追加。B2B、卸売、電話注文、サポートメモの履歴に対応。
• 修正: elementor_replace_text が Blockquote ウィジェットのフィールド (著者名と引用本文) も走査するように修正。
• 改善: OAuth セッションのデフォルトを24時間に変更。
• 改善: 管理画面が BitNinja WebShield による OAuth ディスカバリーの妨害を自動検出し、ホスティング事業者へ問い合わせるための手順を表示。
• 改善: 「アクティビティログ」に /authorize、/token、/register の診断情報を追加。
• 改善: readme で、Royal MCP と併用して HTTP レイヤーの AI ボットを可視化する連携プラグインとして Royal AI Firewall を紹介。

1.4.38

• 機能: WP 6.9 以降ではすべてのツールが WordPress のアビリティとして登録され、ネイティブの MCP エンドポイントに加えて WP Abilities REST API と WordPress MCP Adapter からも利用可能に。
• 機能: Redirection プラグインとの統合により、リダイレクトの一覧表示、作成、更新とグループの一覧表示を行う4ツールを追加。
• 機能: Google Site Kit の GA4 設定を、機密キーを伏せた状態で AI エージェントから参照可能に。
• 機能: royal_mcp_connection_health ツールが有効なページビルダーのバージョン (Divi、Elementor、WordPress コア) を返すようになり、エージェントは事前の探索呼び出しなしに複数ステップの操作を計画可能に。
• 機能: Claude Desktop へワンクリックでインストールできる .mcpb バンドルを追加。
• 機能: 近日公開の Royal MCP Pro に向けた Founding Members ウェイトリストの通知を追加。

1.4.37

• 機能: Royal AI Firewall の新しい6ツールを追加。ダッシュボードの統計、直近のボットアクセス、ボットごとのポリシー、ポリシーの更新、日次集計、全 AI ボットの一括ブロックに対応。
• 機能: 「Royal Tools」管理画面を追加。無料の Royal Plugins ファミリーをすべて一覧表示し、ワンクリックのインストールリンクを提供。
• 機能: 診断ツール royal_mcp_connection_health を追加。認証済みの呼び出し元に対してルート、認証方式、セッション ID、バージョン情報を返す。
• 機能: elementor_get_widget_settings ツールを追加。Elementor のウィジェット、コンテナ、セクション、カラムを ID 指定で、その設定全体を読み取る。
• 機能: Elementor 自身の MCP モジュールも有効な場合に、Elementor ツールの説明へルーティングのヒントを表示する共存検出を追加。
• 機能: すべての Royal MCP 管理画面に、「ドキュメントを表示」と「サポート」のボタンを備えた独自のトップヘッダーバーを表示。
• 改善: 軽量な管理画面フッターに Royal Plugins ファミリーのリンクと現在のプラグインバージョン表示を追加。
• 改善: wp_update_post と wp_update_page が menu_order、post_parent、password、comment_status、ping_status、excerpt、post_author の各フィールドを受け付け、実際に保存された値を返すように変更。WordPress による値の暗黙的な破棄が隠れずに表面化。
• 改善: 新しい royal_mcp_tool_context フックを追加。従来の royal_mcp_tool_called アクションと並行して発火し、後段のファイアウォール統合向けに情報を拡充したペイロードを渡す。
• 修正: wp_get_seo_meta が Rank Math のサイトで noindex の状態を正しく報告するように、また wp_update_seo_meta のレスポンスがリクエストされた値ではなく実際に保存された値を反映するように修正。

1.4.36

• 機能: wp_get_site_status ツールを追加。WordPress、PHP、MySQL、プラグイン、テーマ、環境の情報を1回の呼び出しで返す。
• 機能: wp_get_error_log_tail ツールを追加。デバッグログの末尾の行を返し、キーワードによる絞り込みも可能。
• 機能: wp_get_cron_schedule ツールを追加。スケジュール済みのイベントをすべて一覧表示し、次回実行時刻と実行遅延フラグを返す。
• 修正: 投稿メタ、タームメタ、タームの説明、コメント、注文メモ、投稿と固定ページの抜粋、クーポンの説明で HTML が保持されるように修正。
• 機能: royal_mcp_meta_value_sanitizer フィルターを追加。サイトごとにキー単位のサニタイズをカスタマイズ可能。
• 機能: Imunify360 が OAuth ディスカバリーのエンドポイントを横取りしていることを検出し、対処方法の記事へリンクする管理画面通知を追加。
• 機能: サイトが「基本」パーマリンクを使用していることを検出し、「設定 -> パーマリンク」へ直接リンクする管理画面通知を追加。
• 改善: 複数の読み取り系ツールの説明文を改良。
• 改善: wp_get_terms と wc_get_orders の一覧レスポンスに total_count フィールドを追加。

1.4.35

• 修正: OAuth で認証した MCP セッションがアクセストークンのローテーション後も有効なままになるように修正。

1.4.34

• 機能: wp_update_post_meta が任意の JSON 型 (文字列、数値、真偽値、配列、オブジェクト) を受け付けるように変更。
• 機能: wp_add_post_meta ツールを追加。同じキーの既存の値を上書きせずにメタ行を追加する。
• 機能: wp_get_terms ツールを追加。登録済みの任意のタクソノミーのタームをページ送り付きで一覧表示する。
• セキュリティ: メタ書き込み系ツールが、PHP のシリアライズ済みペイロードとみられる文字列をスキーマの境界で拒否。

1.4.33

• 機能: wp_create_post、wp_update_post、wp_create_page、wp_update_page が予約投稿と日付のさかのぼり用に date パラメーターを受け付けるように変更。
• 機能: 投稿作成と固定ページ作成のステータス列挙に future、pending、private を追加。
• 機能: royal_mcp_tool_called アクションフックを追加。MCP ツールの呼び出しごとに (tool_name, status, error_message) を伴って発火する。
• 機能: 「アクティビティログ」ページに、HTTP レイヤーの AI ボットを可視化する無料プラグイン Royal AI Firewall への案内を表示。

1.4.32

• 機能: wp_search が抜粋付きの結果を返すための snippet と per_page を任意パラメーターとして受け付けるように変更。
• 機能: wc_get_orders が page パラメーターを受け付け、{orders, page, per_page, total, total_pages} を返すように変更。
• ドキュメント: readme 全般のクリーンアップと更新。

1.4.31

• 堅牢化: wp_delete_post の権限チェックを投稿の存在確認より先に実行するように変更。
• 堅牢化: wp_get_post_meta が保護されたメタキー (アンダースコアで始まるもの) に対して edit_post 権限を必須化。
• 堅牢化: 更新系ツールに空文字列のテキストフィールドを渡した場合、既存の値を空にせず保持するように変更。
• 改善: 投稿を指定するすべてのツールが id と post_id のどちらでも受け付けるように変更。
• UX: 設定ページに wp.org のレビュー依頼バナーを追加。プラグインのバージョンごとに非表示にできる。

1.4.30

• 機能: elementor_add_widget ツールを追加。Elementor のページをウィジェット単位で構築でき、よく使うウィジェットタイプ11種類にはショートカットを、それ以外には生データのパススルーを用意。
• 堅牢化: elementor_add_widget が未知のウィジェットタイプのスラッグを境界で拒否。
• 堅牢化: 統合ツールのラッパー6件で権限チェックの順序を厳格化。

1.4.29

• 修正: 実行時の DB マイグレーションが、すべてのインストール環境でセッションテーブルと OAuth テーブルを確実に作成するように修正。
• 修正: OAuth テーブルが存在しない場合に /register が自動で復旧するように修正。
• 修正: 再インストール時に完全にまっさらな状態にするため、uninstall.php が royal_mcp_db_version オプションも削除するように修正。

1.4.28

• 機能: MCP クライアントが、従来の X-Royal-MCP-API-Key ヘッダーに加えて標準の Authorization: Bearer ヘッダーでも API キーを送信可能に。
• 機能: wp_get_seo_meta と wp_update_seo_meta が既存の SEO フィールドに加えて投稿の URL スラッグにも対応。

1.4.27

• 信頼性: MCP のセッション状態を専用の wp_royal_mcp_sessions テーブルへ移動。
• クリーンアップ: 未使用の管理画面 AJAX ハンドラーを削除。
• コンプライアンス: プラグイン説明の一部を書き換え。

1.4.26

• セキュリティ: コンテンツ、ユーザー、ターム、コメント、統合のすべてのツールにツール単位の WordPress 権限チェックを追加し、ステータスの絞り込みを許可リスト方式に変更。

1.4.25

• UX: すべてのクライアント共通の受信用 URL として、「MCP サーバー URL」を「一般設定」の先頭に表示。
• 機能: Claude.ai、ChatGPT、Claude Desktop、Cursor に対応した「MCP クライアントセットアップガイド」のアコーディオンをプラグイン内に追加。
• UX: 「送信側 AI プロバイダー設定」の名称を変更し、受信側の MCP 設定から分離。
• UX: 従来の「REST API ベース URL」と手動設定の「OAuth クライアント ID / シークレット」を「詳細設定」のサブセクションへ移動。
• 改善: 管理画面のアイコン配置を全体で統一、設定ページのボタンにキーボードフォーカスリングを追加、補助テキストのコントラストを改良。

1.4.24

• 機能: Advanced Custom Fields との統合として4ツール (acf_get_field、acf_get_fields、acf_update_field、acf_get_field_groups) を追加。
• 修正: wc_create_product が type 引数に従い、対応する WooCommerce の商品クラス (シンプル、バリエーションあり、グループ化、外部) を作成するように修正。
• ドキュメント: 「説明」と「インストール」のセクションから初回セットアップの解説へリンク。

1.4.23

• 修正: 「AI プラットフォーム」のモデル選択ドロップダウンを Claude、OpenAI、Gemini、Groq、Bedrock で最新化。

1.4.22

• 修正: 「AI プラットフォーム」の Claude の「接続テスト」が、ドロップダウンで選択したモデルを使用するように修正。
• 修正: 手動設定した OAuth のクライアント ID とシークレットを UI から消去できるように修正。
• 堅牢化: OAuth ルートのリライトルールが、末尾スラッシュの有無どちらにも一致するように変更。
• 機能: POST /register に対するホスト側の 301 リダイレクトを検出する管理画面通知を追加。
• 機能: .well-known/ のセルフチェックを追加。プラグインやテーマがディスカバリーのエンドポイントを HTML ページで横取りしている場合に検出する。

1.4.21

• 修正: Gutenberg のブロックコンテンツが投稿書き込み系ツールを通してもバイト単位で同一のまま往復するように修正。

1.4.20

• 修正: WooCommerce の注文ツールが返金レコードの処理でハングしないように修正。

1.4.19

• 機能: Elementor の複製とカスタマイズを行う6ツール (elementor_clone_page、elementor_replace_text、elementor_replace_image、elementor_get_page_outline、elementor_list_local_templates、elementor_import_template) を追加。
• 機能: 古い静的な .well-known/oauth-authorization-server ファイルを検出する管理画面通知を追加。
• ドキュメント: ページビルダーのセクションに Elementor の扱いを明記。

1.4.18

• 修正: MCP エンドポイントへの認証済み GET が、Anthropic のセッション探索に対応して User-Agent を判別するように修正。
• 修正: wp_update_menu_item と wp_reorder_menu_items が更新に含まれなかったフィールドを保持するように修正。
• ドキュメント: DB 復元後の復旧、OAuth エンドポイントの場所、トラブルシューティングの FAQ 項目を追加。

1.4.17

• 修正: 認可コードを専用の wp_royal_mcp_oauth_auth_codes テーブルへ移し、1行単位でアトミックに消費するように修正。
• 機能: 管理画面に「OAuth の状態をリセット」ボタンを追加。登録済みクライアント、トークン、保留中の認可コードをワンクリックで消去する。
• 機能: MCP の tools/call リクエストが、呼び出しごとに構造化された「アクティビティログ」エントリーを記録 (引数のキーは記録し、値は除外)。
• 修正: 「アクティビティログ」の「詳細を表示」モーダルがリクエスト / レスポンスの JSON を表示するように修正。
• 改善: プラグイン管理画面の CSS / JS でコンテンツハッシュによるキャッシュバスティングを使用。

1.4.16

• 機能: OAuth フローが /token、/register、/authorize の失敗ごとに構造化された「アクティビティログ」エントリーを記録 (認可コード、PKCE の verifier、シークレット、トークンは除外)。

1.4.15

• 修正: 「API キーを再生成」ボタンが確実に新しいキーを発行するように修正。
• 改善: 新しい API キーを32文字の小文字16進数文字列に変更し、見間違いによる転記ミスを解消。既存のキーはそのまま使用可能。
• 改善: MCP セッションで、アクセスのたびに延長される24時間の TTL を使用。
• 堅牢化: /wp-json/royal-mcp/* のすべてのレスポンスで Cache-Control: no-store, no-cache, must-revalidate, private を送信。
• 堅牢化: 無効な API キーに対して、RFC 7235 に従い WWW-Authenticate: Bearer を伴う HTTP 401 を返すように変更。

1.4.14

• 修正: MCP エンドポイントへの未認証の GET が、RFC 9728 に従い WWW-Authenticate: Bearer resource_metadata="..." を伴う HTTP 401 を返すように修正。Web ベースの MCP クライアントが OAuth ディスカバリーを正しく開始できるように。
• 機能: ホストが /.well-known/oauth-authorization-server をブロックしていることをセルフチェックで検出し、手動での対処方法を記載した非表示可能な管理画面通知を表示。

1.4.13

• 堅牢化: OAuth エンドポイントのレスポンス (/register、/token、/authorize) がデフォルトで Cache-Control: no-store を送信。
• 機能: WooCommerce のバリエーションと属性向けに10ツールを追加。CRUD、一括操作、属性タームの管理に対応。
• 機能: WooCommerce のクーポン管理向けに7ツールを追加。CRUD 一式に加えてゴミ箱への移動と完全削除に対応。

1.4.12

• 改善: 現在の Claude Desktop のビルドに合わせて MCP の protocolVersion を 2025-11-25 に更新。
• 修正: MCP の GET ストリームが Allow: POST, DELETE, OPTIONS を伴う HTTP 405 を返すように修正。
• 改善: wp_get_taxonomies が slug フィールドのエイリアスを返し、wp_get_term_meta が他のタームメタ系ツールと揃った構造化レスポンスを返すように変更。

1.4.11

• 機能: wp_update_term、wp_get_term_meta、wp_update_term_meta、wp_delete_term_meta、wp_get_taxonomies の各ツールを追加。
• 改善: wp_create_term、wp_delete_term、wp_add_post_terms が登録済みの任意のタクソノミーを受け付けるように変更。
• 改善: wp_create_term が任意指定の slug を、wp_create_post と wp_update_post が post_author のユーザー ID を受け付けるように変更。

1.4.10

• 機能: Royal Ledger 統合 (4ツール)、ForgeCache 統合 (3ツール)、Royal Links 統合 (3ツール) を追加。いずれも連携先プラグインが有効なときに自動で読み込まれる。
• 機能: SEO メタツール (wp_get_seo_meta、wp_update_seo_meta) を追加。有効な SEO プラグインを自動検出し、タイトル、説明、フォーカスキーワード、robots、OG の各フィールドを読み書きする。
• 機能: パーマリンク構造ツールと投稿リビジョンツール (履歴の読み取りと復元) を追加。

1.4.9

• 機能: テーマ外観ツール (有効なテーマ、テーマ設定値、追加 CSS の読み書き) を追加。管理トグルと royal_mcp_writable_theme_mods の許可リストフィルターで制御。
• 機能: メニュー項目の CRUD (作成、更新、削除、並べ替え) とコメントのモデレーション (承認待ちの一覧、承認、スパム、ゴミ箱) を追加。

1.4.8

• 修正: 初期ビルドから更新したサイトで、無効化と再有効化をしなくてもカスタムコネクターのセットアップが成功するように修正。
• 修正: DB への書き込みが失敗した場合に、動的クライアント登録 (POST /register) が原因のエラーを含む本来の 500 を返すように修正。

1.4.7

• 機能: wp_get_plugin_settings ツールを追加。プラグインのスラッグに一致する wp_options を、機密キーを伏せた状態で返す。
• 機能: wp_update_option ツールを追加。管理トグル (デフォルトはオフ)、royal_mcp_writable_options フィルター、機密性の高いオプション名の強制拒否リストで制御。
• セキュリティ: wp_get_option が機密キーを伏せるように変更。外向き HTTP のタイムアウトを10秒に短縮。
• ドキュメント: プラグインディレクトリのバナーとタグを刷新。

1.4.6

• 機能: wp_upload_media_from_url (SSRF 対策済み)、wp_upload_media (base64)、wp_set_featured_image、wp_update_media の各ツールを追加。
• 改善: wp_create_post と wp_update_post が featured_media の添付ファイル ID を受け付けるように変更。
• 改善: 管理者しか取得できないキーの信頼レベルに合わせ、API キーで認証したリクエストを管理者権限で実行するように変更。

1.4.5

• 機能: プラグインの掲載ページから WordPress Playground のライブプレビューを利用可能に。
• 機能: プラグインの掲載ページに操作解説動画を埋め込み。

1.4.4

• 機能: カスタム投稿タイプに対応。wp_get_posts と wp_create_post が post_type を受け付け、新しい wp_get_post_types ツールが登録済みの公開投稿タイプをすべて検出する。

1.4.3

• セキュリティ: MCP REST API エンドポイントにアクセス制御を追加。すべてのツール呼び出しに、認証済みの API キーまたは OAuth Bearer が必要。

1.4.2

• セキュリティ: すべての MCP リクエストで認証を必須化し、セッションを認証済みの資格情報に紐付け。

1.4.1

• 修正: WordPress 7.0 での有効化時に発生する致命的エラーを解消。

1.4.0

• 機能: OAuth 2.0 認可サーバーを追加。動的クライアント登録 (RFC 7591)、PKCE で保護された認可コードフロー、ローテーション付きのトークンリフレッシュ、WordPress ログインの同意画面、/.well-known/oauth-authorization-server でのディスカバリーに対応。
• セキュリティ: アクセストークンを SHA-256 ハッシュで保存、認可コードは10分で失効する使い捨てに変更、PKCE (S256) を必須化、リダイレクト URI を localhost または HTTPS に限定。

1.3.0

• 機能: WooCommerce 統合 (9ツール)、GuardPress 統合 (7ツール)、SiteVault 統合 (6ツール)。
• セキュリティ: MCP エンドポイントで API キー (X-Royal-MCP-API-Key ヘッダー) を必須化。IP あたり毎分60リクエストのレート制限と、タイミング攻撃に強い比較を追加。

1.2.3

• セキュリティ: 外向き URL の SSRF 対策、テキストドメインの royal-mcp への変更、wp.org のガイドライン準拠のためのメニュースラッグ更新。

1.2.2

• 機能: 「プラグイン」ページにドキュメントへのリンクを、設定ページにドキュメントのバナーを追加。

1.2.1

• 修正: Claude Connector のセットアップガイドへのリンクが正しく表示されない問題を解消。

1.2.0

• セキュリティ: DNS リバインディング対策の Origin ヘッダー検証、セッション ID の形式検証、MCP 2025-03-26 の Streamable HTTP 仕様への準拠、royal_mcp_allowed_origins フィルターを追加。

1.1.0

• 機能: マルチプラットフォームの AI 対応 (Claude、OpenAI、Gemini、Groq、Azure、Bedrock)、Claude Desktop の MCP コネクター、アクティビティのログ記録、接続テストを追加。

1.0.0

• 初回リリース。