Applicatiewachtwoorden uitgelegd: het enige wat je op je WordPress-site nodig hebt voor Claude

Applicatiewachtwoorden (application passwords) zijn het enige wat de WordPress-add-on op je site nodig heeft. Ze zitten sinds versie 5.6 in WordPress zelf, dus er is geen plugin om te installeren. Je maakt er een aan voor een WordPress-gebruiker, plakt het in MCP Self-hosted, en Claude kan de REST API van je site bereiken met de rechten van die gebruiker.

De meest gestelde vraag vóór het instellen van de add-on is “moet ik iets op mijn site installeren?” Het antwoord is nee. Dit artikel legt uit waarom, en hoe je een applicatiewachtwoord veilig instelt.

Wat zijn applicatiewachtwoorden in WordPress?

Een applicatiewachtwoord is een apart wachtwoord voor één gebruikersaccount, bedoeld voor externe apps die met de WordPress REST API praten. Het is niet je inlogwachtwoord en je kunt er niet mee inloggen op wp-admin. Elk applicatiewachtwoord heeft een naam, zodat je ze uit elkaar houdt, en je kunt er een intrekken zonder de andere of je eigen wachtwoord aan te raken.

De WordPress-add-on voor MCP Self-hosted stuurt de gebruikersnaam en het applicatiewachtwoord mee met elk request. WordPress controleert ze en behandelt het request als die gebruiker. Dat is de hele verbinding aan de kant van je site. Wat Claude daarna met je site doet, lees je in Claude koppelen aan WordPress.

Waarom niet gewoon je inlogwachtwoord gebruiken?

Je gewone wachtwoord zou dan in een configuratiebestand belanden, en de enige manier om de koppeling te verbreken zou zijn om je login overal te wijzigen waar je hem gebruikt. Applicatiewachtwoorden gelden voor één koppeling. Trek het wachtwoord met de naam “mcp-core” in en alleen die koppeling stopt; je login blijft hetzelfde.

Hoe maak je er een aan voor MCP Self-hosted?

Op je WordPress-site:

1. Ga naar Gebruikers → Profiel. Om er een voor een andere gebruiker aan te maken, open je die gebruiker onder Gebruikers → Alle gebruikers.
2. Scroll naar het onderdeel Applicatiewachtwoorden.
3. Vul een naam in bij “Nieuwe applicatiewachtwoordnaam”, bijvoorbeeld “mcp-core”.
4. Klik op “Nieuw applicatiewachtwoord toevoegen”.
5. Kopieer het wachtwoord meteen. WordPress toont het maar één keer.

Geef MCP Self-hosted daarna drie waarden. Zet ze in .env of onder het tabblad Tools van je licentie in Mijn account, waar ze versleuteld worden opgeslagen:

WORDPRESS_SITE_URL=https://www.example.com
WORDPRESS_USERNAME=claude-editor
WORDPRESS_APP_PASSWORD=xxxx xxxx xxxx xxxx xxxx xxxx

Draai docker exec mcp-core npm run refresh-license zodat de server de gegevens oppakt. De handleiding WordPress MCP instellen behandelt de rest, inclusief meerdere sites tegelijk.

Van welke WordPress-gebruiker moet het wachtwoord zijn?

De add-on kan wat die gebruiker kan, en niet meer. Applicatiewachtwoorden erven de rol van hun gebruiker. Daarmee is de gebruiker je eerste laag van rechten.

Een Redacteur kan berichten, pagina’s, media en reacties lezen en schrijven. Sommige leestools hebben meer nodig: plugins ophalen, site-instellingen lezen en menu’s lezen vragen rechten op beheerdersniveau in WordPress. Kies de laagste rol die dekt wat Claude moet doen. Een aparte gebruiker, zoals “claude-editor”, maakt de activiteit makkelijk herkenbaar en de toegang makkelijk te verwijderen.

De tweede laag is de modus van je mcp-core-connectie. Elke seat heeft per tool alleen lezen of Mag wijzigingen aanbrengen, ingesteld op het tabblad Seats van je licentie. Read-only is de standaard, en in die modus worden de schrijftools niet geregistreerd, dus Claude ziet ze niet. Met een beheerder op een seat met alleen lezen kan Claude instellingen lezen, maar niets wijzigen. Meer daarover in MCP-seats.

Wat als een applicatiewachtwoord uitlekt?

Ga terug naar het onderdeel Applicatiewachtwoorden van die gebruiker en klik op Intrekken ernaast. WordPress weigert het volgende request dat het gebruikt, dus de add-on verliest direct de toegang. Maak een nieuw wachtwoord aan, werk het bij in .env of onder Inloggegevens, en ververs de licentie.

Dat is anders dan bij een uitgelekt seat-token van mcp-core. Een ingetrokken of opnieuw gegenereerd token werkt niet meer zodra MCP Self-hosted de wijziging oppakt bij de volgende licentiecontrole, of direct na het refresh-commando.

Waarom ontbreekt het onderdeel Applicatiewachtwoorden?

WordPress biedt applicatiewachtwoorden alleen aan via HTTPS, behalve op een lokale ontwikkelsite. Draait je site op gewoon HTTP, dan verschijnt het onderdeel niet. Sommige beveiligingsplugins en hostingpartijen zetten de functie ook uit. Controleer die instellingen, of vraag het je hostingpartij, voordat je verder zoekt.

Veelvoorkomende misverstanden

“Hiervoor heb ik een plugin nodig.” Applicatiewachtwoorden zitten in WordPress zelf. Geen plugin, tenzij iets op je site de functie heeft uitgezet.

“Hiermee krijgt Claude mijn accountwachtwoord.” Het is een aparte inloggegeven voor API-toegang. Je kunt er niet mee inloggen op wp-admin.

“Eén wachtwoord werkt op al mijn sites.” Elk wachtwoord hoort bij één gebruiker op één site. Voor meerdere sites maak je er per site een aan en voeg je elke site toe op het tabblad Tools.

Veelgestelde vragen

Moet de gebruiker beheerder zijn?
Alleen voor plugins, instellingen en menu’s. Voor contentwerk is een Redacteur genoeg.

Kan ik zien welke applicatiewachtwoorden er zijn?
Ja. Hetzelfde onderdeel toont elk wachtwoord met naam, aanmaakdatum, datum van laatste gebruik en laatste IP-adres.

Slaat MCP Self-hosted het wachtwoord op?
Het leest het uit .env op je server, of haalt het op uit het tabblad Tools van je licentie, waar het versleuteld is opgeslagen.

Tot slot

Applicatiewachtwoorden houden de WordPress-kant van de installatie klein: één wachtwoord, één gebruiker met de juiste rol, met één klik in te trekken. De rest gebeurt in mcp-core. Bekijk wat de add-on WordPress MCP-server kan lezen en schrijven, en volg daarna de handleiding WordPress MCP instellen.