{"id":81432,"date":"2026-07-14T12:09:29","date_gmt":"2026-07-14T16:09:29","guid":{"rendered":"https:\/\/memberpress.com\/docs\/ai-foundation-safety-measures\/"},"modified":"2026-07-14T12:09:29","modified_gmt":"2026-07-14T16:09:29","slug":"ai-foundation-safety-measures","status":"publish","type":"ht_kb","link":"https:\/\/memberpress.com\/de\/docs\/ai-foundation-safety-measures\/","title":{"rendered":"MemberPress AI Foundation \u2013 Sicherheitsma\u00dfnahmen f\u00fcr Agenten"},"content":{"rendered":"

MemberPress AI Foundation wendet bei Schreibvorg\u00e4ngen im Rahmen des Model Context Protocol (MCP) vier Sicherheitsma\u00dfnahmen an. Diese Ma\u00dfnahmen sch\u00fctzen eine Instanz vor unbeabsichtigten oder unbefugten \u00c4nderungen, wenn sich ein KI-Client \u00fcber den MCP-Server verbindet. Sie wirken zusammen. Ein einzelner Schreibaufruf durchl\u00e4uft m\u00f6glicherweise Bereichspr\u00fcfungen, Standardwerte in der Vorschau, eine Best\u00e4tigungssperre und den Kill-Switch, bevor er Daten \u00e4ndert.<\/p>\n\n\n\n

In dieser Anleitung werden die einzelnen Ma\u00dfnahmen erl\u00e4utert, wovor sie sch\u00fctzen und wie der MCP-Server sie durchsetzt. Zwei Ma\u00dfnahmen greifen, wenn ein KI-Client ein Tool aufruft: Best\u00e4tigungstoken und Dry-Run-Standardwerte. Eine Ma\u00dfnahme regelt, welches Bereichsvokabular ein Verbindungstoken enth\u00e4lt: granulare Bereiche. Eine Ma\u00dfnahme erm\u00f6glicht es einem Administrator, jeden sch\u00e4dlichen Schreibvorgang sofort zu stoppen: der Kill-Switch.<\/p>\n\n\n\n

So funktioniert die Sicherheitsschicht<\/a><\/h2>\n\n\n\n

Die vier Kennzahlen beziehen sich auf vier unterschiedliche Fragen zu einem Schreibvorgang:<\/p>\n\n\n\n

Ma\u00dfnahme<\/th>Name<\/th>Die Frage, die damit beantwortet wird<\/th><\/tr><\/thead>
A<\/td>Best\u00e4tigungstoken<\/td>Was kann ein Token tun, wenn ein destruktives Tool ausgef\u00fchrt wird?<\/td><\/tr>
B<\/td>Standardwerte f\u00fcr Testl\u00e4ufe<\/td>In welchem Modus wird ein Schreibwerkzeug standardm\u00e4\u00dfig aufgerufen?<\/td><\/tr>
C<\/td>Detaillierte Geltungsbereiche<\/td>Welchen Geltungsbereich hat das Vokabular eines Verbindungstokens?<\/td><\/tr>
D<\/td>Not-Aus-Schalter<\/td>Kann ein Administrator jeden sch\u00e4dlichen Schreibvorgang sofort unterbinden?<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Die Ma\u00dfnahmen A, B und D werden zum Zeitpunkt des Tool-Aufrufs ausgef\u00fchrt. Der MCP-Server wertet sie innerhalb von Server::handle_tool_call<\/code><\/strong> bei jeder Schreibanforderung. Ma\u00dfnahme C greift an zwei Stellen ein. Zum Zeitpunkt des Tool-Aufrufs gleicht der Server den vom Tool ben\u00f6tigten Geltungsbereich mit den durch das Token gew\u00e4hrten Geltungsbereichen ab. Zum Zeitpunkt der Token-Ausstellung begrenzt die standardm\u00e4\u00dfige Zugriffsobergrenze, welche Geltungsbereiche eine neue Verbindung erh\u00e4lt.<\/p>\n\n\n\n

Alle vier Ma\u00dfnahmen sind in der MemberPressAI\\MCP<\/code><\/strong> Namensraum und werden serverseitig ausgef\u00fchrt. Ein KI-Client kann diese nicht umgehen, indem er eine Anfrage anders formuliert, da die \u00dcberpr\u00fcfung erst erfolgt, nachdem die Anfrage den Server erreicht hat, und nicht bereits auf dem Client.<\/p>\n\n\n\n

Ma\u00dfnahme A \u2013 Best\u00e4tigungs-Token<\/a><\/h2>\n\n\n\n

Best\u00e4tigungstoken sch\u00fctzen destruktive Vorg\u00e4nge durch einen obligatorischen Ablauf mit zwei Aufrufen. Ein destruktives Tool kann nicht mit einem einzigen Aufruf ausgef\u00fchrt werden. Der erste Aufruf gibt eine Vorschau sowie ein Einmal-Token zur\u00fcck; der zweite Aufruf muss dieses Token enthalten, um ausgef\u00fchrt zu werden.<\/p>\n\n\n\n

Es gibt eine einzige, eng gefasste Ausnahme: Umkehrbare Aktionen \u00fcberspringen das Tor.<\/strong> memberpress_manage_subscription<\/code> mit Aktion: \"Fortsetzen\"<\/code> und memberpress_manage_sub_account<\/code> mit Aktion: \"Hinzuf\u00fcgen\"<\/code> R\u00fcckg\u00e4ngig machen statt l\u00f6schen, und ohne Token ausf\u00fchren. Eine einzige gemeinsame Zulassungsliste regelt die Ausnahmeregelung sowohl auf dem MCP-Endpunkt als auch auf der WordPress-Funktionsoberfl\u00e4che, sodass die beiden Kontrollpunkte nicht auseinanderdriften k\u00f6nnen. Jeder andere destruktive Aufruf erfordert das Token.<\/p>\n\n\n\n

Sechs Werkzeuge sind destruktiv und erfordern diesen Ablauf:<\/p>\n\n\n\n

Werkzeug<\/th>Was es bewirkt<\/th><\/tr><\/thead>
memberpress_delete_member<\/code><\/strong><\/td>L\u00f6scht ein Mitglied<\/td><\/tr>
memberpress_refund_transaction<\/code><\/strong><\/td>Storniert eine Transaktion<\/td><\/tr>
memberpress_delete_webhook<\/code><\/strong><\/td>L\u00f6scht einen Webhook<\/td><\/tr>
memberpress_reset_course_progress<\/code><\/strong><\/td>Setzt den Kursfortschritt eines Teilnehmers zur\u00fcck<\/td><\/tr>
memberpress_manage_sub_account<\/code><\/strong><\/td>Verwaltet ein Unterkonto des Unternehmens<\/td><\/tr>
memberpress_manage_subscription<\/code><\/strong><\/td>Verwaltet ein Abonnement<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

So funktioniert der \u201eTwo-Call\u201c-Ablauf<\/a><\/h3>\n\n\n\n
    \n
  1. Der KI-Client ruft das L\u00f6schwerkzeug mit seinen Argumenten auf. Der Server gibt eine Vorschau des Ergebnisses sowie ein Best\u00e4tigungstoken zur\u00fcck.<\/li>\n\n\n\n
  2. Der KI-Client ruft dasselbe Tool erneut mit denselben Argumenten sowie einem best\u00e4tigen.<\/code><\/strong> Der Parameter wird auf den Wert des Tokens gesetzt. Der Server \u00fcberpr\u00fcft das Token und f\u00fchrt den Vorgang aus.<\/li>\n<\/ol>\n\n\n\n

    Das Token verf\u00fcgt \u00fcber drei Schutzma\u00dfnahmen. Es l\u00e4uft nach 60 Sekunden<\/strong> (das TTL<\/code><\/strong> Konstante in Best\u00e4tigungstoken<\/code><\/strong>). Es handelt sich um ein Einmal-Token \u2013 der Server verbraucht es bei der Ausf\u00fchrung des Aufrufs. Der Server bindet es an die genaue Kombination aus Tool-Name, Argumenten und Benutzer-ID. Ein f\u00fcr einen Vorgang ausgegebenes Token kann keinen anderen Vorgang autorisieren.<\/p>\n\n\n\n

    Die Begr\u00fcndung des Entwicklungsteams f\u00fcr dieses Design lautet: \u201cDie blo\u00dfe \u00dcbergabe eines booleschen Werts reicht als Einwilligung f\u00fcr eine Aktion, die nicht r\u00fcckg\u00e4ngig gemacht werden kann, nicht aus.\u201d Ein Best\u00e4tigungstoken belegt, dass der Aufrufer die spezifische Vorschau f\u00fcr den jeweiligen Vorgang gesehen hat, bevor er diesen best\u00e4tigt hat.<\/p>\n\n\n\n

    Das ist wichtig:<\/strong> Destruktive Werkzeuge akzeptieren kein ausf\u00fchren<\/code><\/strong> Parameter. Der Best\u00e4tigungstoken-Ablauf ist die einzige M\u00f6glichkeit, diese auszuf\u00fchren. Die \u00dcbergabe von ausf\u00fchren: true<\/code><\/strong> hat keine Auswirkungen auf ein zerst\u00f6rerisches Werkzeug.<\/p>\n\n\n\n

    Die Erstreaktion<\/a><\/h3>\n\n\n\n

    Der erste Aufruf liefert eine Vorschau des Effekts, die nur einmal verwendet werden kann Best\u00e4tigungs-Token<\/code><\/strong>, sowie die verbleibende G\u00fcltigkeitsdauer des Tokens. Im Folgenden finden Sie die Antwort von einem memberpress_refund_transaction<\/code><\/strong> Vorschau-Anruf:<\/p>\n\n\n\n

    {\n  \"preview\": {\n    \"dry_run\": true,\n    \"action\": \"refund_transaction\",\n    \"preview\": {\n \"transaction_id\": 432,\n \"amount\": \"100,00\",\n \"total\": \"100,00\",\n      \"user_id\": \"\",\n \"product_id\": 2332,\n \"subscription_listing_may_show_inactive\": true,\n \"subscription_listing_note\": \"Wenn dies die letzte Transaktion war, auf der das Abonnement basierte, wird das Abonnement in der WP-Admin-Liste \"Abonnements\" als \\\"Aktiv: Nein\\\" angezeigt \u2013 diese Spalte leitet sich vom Status der letzten Transaktion ab, nicht vom Abonnementdatensatz selbst. Der Abonnementdatensatz bleibt unver\u00e4ndert, es sei denn, Sie haben im Rahmen dieser R\u00fcckerstattung die K\u00fcndigung des Abonnements gew\u00e4hlt.\"\n    }\n  },\n  \"confirmation_token\": \"ct_\",\n  \"expires_in\": 60,\n  \"next_step\": \"Rufen Sie `memberpress_refund_transaction` erneut mit denselben Argumenten sowie dem Parameter `confirm: \\\"ct_\\\"` auf, um den Vorgang auszuf\u00fchren.\"\n}<\/code><\/pre>\n\n\n\n
    Das Token kommt in Best\u00e4tigungs-Token<\/code><\/strong>. Die expires_in<\/code><\/strong> Das Feld gibt die verbleibende Lebensdauer in Sekunden an. Das n\u00e4chster_Schritt<\/code><\/strong> Das Feld gibt genau vor, wie die Ausf\u00fchrung erfolgen soll. Das innere Vorschau.Vorschau<\/code><\/strong> Das Objekt beschreibt die Wirkung der Operation; seine Felder variieren je nach Werkzeug. Das Abonnement_Angebot_*<\/code><\/strong> Die hier angezeigten Felder beziehen sich speziell auf R\u00fcckerstattungen \u2013 Einzelheiten zu R\u00fcckerstattungsantworten finden Sie in den Dokumenten \u201eTools-Referenz\u201c und \u201eFehler\u201c.<\/p>\n\n\n\n
    Wenn ein Token ung\u00fcltig ist<\/a><\/h3>\n\n\n\n
    Ein Token, dessen G\u00fcltigkeit abgelaufen ist, das bereits verwendet wurde oder das mit ge\u00e4nderten Argumenten \u00fcbermittelt wird, f\u00fchrt zu einem einzigen Fehler. Der Server unterscheidet nicht zwischen diesen drei Ursachen:<\/p>\n\n\n\n
    {\n  \"code\": -32603,\n  \"message\": \"Das Best\u00e4tigungstoken ist ung\u00fcltig, abgelaufen oder die Argumente haben sich ge\u00e4ndert. Rufen Sie das Tool ohne `confirm` auf, um eine neue Vorschau und ein neues Token zu erhalten.\",\n  \"data\": {\n    \"mp_error_code\": \"CONFIRMATION_INVALID\"\n  },\n  \"request_id\": \"req_\"\n}<\/code><\/pre>\n\n\n\n
    Spiel am data.mp_error_code<\/code><\/strong> (BEST\u00c4TIGUNG_UNG\u00dcLTIG<\/code><\/strong>), nicht das generische JSON-RPC -32603<\/code><\/strong> Code. Der Wiederherstellungspfad ist immer derselbe: Rufen Sie das Tool erneut auf, ohne best\u00e4tigen.<\/code><\/strong> um eine aktuelle Vorschau und ein neues Token zu erhalten.<\/p>\n\n\n\n
    Ma\u00dfnahme B \u2013 Standardwerte f\u00fcr Testl\u00e4ufe<\/a><\/h2>\n\n\n\n
    Schreibwerkzeuge sind standardm\u00e4\u00dfig auf \u201eVorschau\u201c eingestellt. Ein Schreibwerkzeug \u00e4ndert keine Daten, es sei denn, der Aufrufer gibt ausdr\u00fccklich die Zustimmung zur Ausf\u00fchrung. Dies sch\u00fctzt davor, dass ein KI-Client eine \u00c4nderung durchf\u00fchrt, die eigentlich nur zur \u00dcberpr\u00fcfung gedacht war.<\/p>\n\n\n\n
    Schreibwerkzeuge lassen sich in zwei Formen unterteilen:<\/p>\n\n\n\n
    Zerst\u00f6rungsfreie Schreibvorg\u00e4nge (9 Werkzeuge)<\/strong> mit sich f\u00fchren ausf\u00fchren<\/code><\/strong> Parameter. Das Tool zeigt standardm\u00e4\u00dfig eine Vorschau an und gibt eine Vorschau-Nutzlast zur\u00fcck, ohne diese dauerhaft zu speichern. Die \u00dcbergabe von ausf\u00fchren: true<\/code><\/strong> leitet den Betrieb in Echtzeit. Zu diesen Tools geh\u00f6ren memberpress_create_member<\/code><\/strong>, memberpress_update_member<\/code><\/strong>, memberpress_create_coupon<\/code><\/strong>, memberpress_create_subscription<\/code><\/strong>und memberpress_create_webhook<\/code><\/strong>und andere.<\/p>\n\n\n\n
    Destruktive Schreibvorg\u00e4nge (6 Werkzeuge)<\/strong> keines von beiden mit sich f\u00fchren ausf\u00fchren<\/code><\/strong> noch einen veralteten Testparameter. Sie werden standardm\u00e4\u00dfig in der Vorschau angezeigt und erfordern die Ausf\u00fchrung des Best\u00e4tigungs-Token-Ablaufflusses nach \u201eMeasure A\u201c. Der Zwei-Aufruf-Gate ist ihr einziger Ausf\u00fchrungsmechanismus.<\/p>\n\n\n\n
    Durch diese Unterteilung kann ein Leser das Risikoniveau eines Tools anhand seiner Parameter erkennen. Ein Tool mit ausf\u00fchren<\/code><\/strong> ist reversibel; ein Werkzeug ohne ausf\u00fchren<\/code><\/strong> und eine Best\u00e4tigungsanforderung ist kontraproduktiv.<\/p>\n\n\n\n
    Anmerkung:<\/strong> Dieses Dokument beschreibt den MCP-Endpunkt (\/wp-json\/mp-mcp\/v1\/mcp<\/code>). Schreibwerkzeuge am MCP-Endpunkt stellen keine Trockenlauf<\/code><\/strong> Parameter. Zerst\u00f6rungsfreie Werkzeuge verwenden ausf\u00fchren<\/code><\/strong>; Destruktive Tools nutzen den Best\u00e4tigungs-Token-Ablauf. Es gibt keine andere M\u00f6glichkeit, einen Schreibvorgang \u00fcber MCP auszuf\u00fchren. Die WordPress-Funktionsoberfl\u00e4che erm\u00f6glicht dieselben Vorg\u00e4nge mit einer anderen Mechanik \u2013 siehe Die M\u00f6glichkeiten von WordPress<\/a><\/strong> unten.<\/p>\n\n\n\n
    Die Form der zerst\u00f6rungsfreien Vorschau<\/a><\/h3>\n\n\n\n
    Ein nicht-destruktives Schreibwerkzeug, das ohne ausf\u00fchren: true<\/code><\/strong> gibt eine flache Vorschau-Nutzlast zur\u00fcck. Im Folgenden finden Sie die Antwort von einem memberpress_create_member<\/code><\/strong> Vorschau-Anruf:<\/p>\n\n\n\n
    {\n  \"dry_run\": true,\n  \"action\": \"create_member\",\n  \"preview\": {\n    \"email\": \"mcp-preview-test@example.com\",\n    \"username\": \"mcppreviewtest\",\n    \"first_name\": \"MCP\",\n    \"last_name\": \"PreviewTest\"\n  },\n  \"validation\": \"passed\"\n}<\/code><\/pre>\n\n\n\n
    Dieser Umschlag ist flach: Trockenlauf<\/code><\/strong>, Aktion<\/code><\/strong>, Vorschau<\/code><\/strong>und Validierung<\/code><\/strong> befindet sich auf der obersten Ebene, und es gibt kein Best\u00e4tigungstoken. Dies unterscheidet sich von einer destruktiven Vorschau, bei der die Vorschau<\/code><\/strong> Das Objekt ist eine Ebene tiefer verschachtelt (Vorschau.Vorschau<\/code><\/strong>) und ein Best\u00e4tigungs-Token<\/code><\/strong> ist vorhanden. Das Validierung<\/code><\/strong> Das Feld gibt an, ob die in der Vorschau angezeigte Eingabe bei der Ausf\u00fchrung die Validierung bestehen w\u00fcrde.<\/p>\n\n\n\n
    Ma\u00dfnahme C \u2013 Detaillierte Anwendungsbereiche<\/a><\/h2>\n\n\n\n
    Verbindungstoken verf\u00fcgen \u00fcber bestimmte G\u00fcltigkeitsbereiche und gew\u00e4hren keinen pauschalen Zugriff. Ein Token, dessen G\u00fcltigkeitsbereich auf das Lesen von Mitgliedern beschr\u00e4nkt ist, kann keine Abrechnungsdaten schreiben. Dadurch wird der Wirkungsbereich einer einzelnen Verbindung genau auf die Vorg\u00e4nge beschr\u00e4nkt, die im Rahmen ihres G\u00fcltigkeitsbereichs zul\u00e4ssig sind.<\/p>\n\n\n\n
    Begriffsbestand zum Thema \u201eScope\u201c<\/a><\/h3>\n\n\n\n
    Der MCP-Server definiert die folgenden Bereiche in ScopeMatcher<\/code><\/strong>:<\/p>\n\n\n\n
    Umfang<\/th>Zusch\u00fcsse<\/th><\/tr><\/thead>
    lesen<\/code><\/strong><\/td>Lesezugriff auf alle Daten \u00fcber Lesetools<\/td><\/tr>
    write:content<\/code><\/strong><\/td>Schreibzugriff auf Inhalte: Zugriffsregeln und Gutscheine<\/td><\/tr>
    Schreibe: Mitglieder<\/code><\/strong><\/td>Schreibzugriff auf Elemente<\/td><\/tr>
    Schreiben: Rechnungsstellung<\/code><\/strong><\/td>Schreibzugriff auf die Abrechnung: Abonnementverwaltung und R\u00fcckerstattungen von Transaktionen<\/td><\/tr>
    write:imports<\/code><\/strong><\/td>Schreibzugriff auf Member-Importe<\/td><\/tr>
    Schreiben: Webhooks<\/code><\/strong><\/td>Schreibzugriff auf Webhooks und E-Mail-Erinnerungen<\/td><\/tr>
    Schreiben: Kurse<\/code><\/strong><\/td>Schreibzugriff auf Kursfunktionen<\/td><\/tr>
    vollst\u00e4ndig<\/code><\/strong><\/td>Alle Schreibbereiche (erf\u00fcllen eine beliebige spezifische schreiben:*<\/code><\/strong> Anforderung)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
    Die lesen<\/code><\/strong> Der Geltungsbereich ist bei jedem Token implizit gegeben. Der Server gleicht den vom Tool ben\u00f6tigten Geltungsbereich vor der Weiterleitung mit den dem Token gew\u00e4hrten Geltungsbereichen ab, und zwar \u00fcber Server::current_token_has_scope<\/code><\/strong>.<\/p>\n\n\n\n
    Der Geltungsbereich allein ist nicht die einzige H\u00fcrde. Jedes Schreib-Tool gibt zudem die WordPress-F\u00e4higkeit an, die es ben\u00f6tigt (zum Beispiel, Benutzer anlegen<\/code><\/strong> oder Benutzer bearbeiten<\/code><\/strong>), und der Server \u00fcberpr\u00fcft diese Berechtigung vor der Weiterleitung. Ein Token mit vollst\u00e4ndig<\/code><\/strong> Der Bereich kann weiterhin keine Benutzer anlegen, wenn dem Token-Besitzer die Benutzer anlegen<\/code><\/strong> F\u00e4higkeit. Die beiden Pr\u00fcfungen geben unterschiedliche Fehlermeldungen aus, wobei die Scope-Pr\u00fcfung zuerst ausgef\u00fchrt wird: Ein fehlender Scope f\u00fchrt zu einem Fehler mit SCOPE_INSUFFICIENT<\/code><\/strong>; eine fehlende Funktion f\u00fchrt zu einem Fehler mit F\u00c4HIGKEIT_UNZUREICHEND<\/code><\/strong>.<\/p>\n\n\n\n
    Standard-Zugriffsobergrenze<\/a><\/h3>\n\n\n\n
    Die Standard-Zugriffsobergrenze begrenzt den Umfang der Berechtigungen, die der Server f\u00fcr eine neue Verbindung vergeben kann. Ein Administrator legt diese \u00fcber die \u201cMaximale Zugriffsebene f\u00fcr neue Verbindungen\u201d<\/strong> Einstellung auf der MCP-Einstellungen<\/strong> Registerkarte. Die Obergrenze legt den maximalen Umfang fest, den jedes neue Token abdeckt, unabh\u00e4ngig davon, was der verbundene Client anfordert.<\/p>\n\n\n\n
    F\u00fcr diese Einstellung gibt es zwei Optionen: Nur Lesen<\/strong> und Voller Zugriff<\/strong>.<\/p>\n\n\n\n
    Bei der Einstellung auf Nur Lesen<\/strong>, blendet der Assistent die Kontrollk\u00e4stchen f\u00fcr den Schreibzugriff vollst\u00e4ndig aus \u2013 sie werden nicht ausgegraut angezeigt \u2013 und der Server beschr\u00e4nkt jede neue Verbindung auf den Lesezugriff. Im Schritt \u201eZugriff\u201c des Assistenten wird nur der stets gew\u00e4hrte Lesezugriff angezeigt, zusammen mit folgendem Hinweis:<\/p>\n\n\n\n
    \n
    Der Website-Administrator hat die maximale Zugriffsebene auf \u201eNur Lesen\u201c festgelegt. F\u00fcr neue Verbindungen k\u00f6nnen keine Schreibberechtigungen vergeben werden, bis diese Einstellung in den MCP-Einstellungen angehoben wird.<\/p>\n<\/blockquote>\n\n\n\n
    Bei der Einstellung auf Voller Zugriff<\/strong>, im Schritt \u201eZugriff\u201c des Assistenten werden die Kontrollk\u00e4stchen f\u00fcr den Schreibbereich angezeigt, die bereits vorab aktiviert sind, und der Administrator deaktiviert diejenigen, die f\u00fcr eine Verbindung nicht erforderlich sind. Eine neue Verbindung erh\u00e4lt dann Schreibrechte in dem Umfang, den die WordPress-Berechtigungen des sich verbindenden Benutzers zulassen.<\/p>\n\n\n\n
    Die Obergrenze wird serverseitig an vier Pfaden zur Token-Ausstellung durchgesetzt. Eine manuell erstellte Anfrage kann die Assistentenoberfl\u00e4che nicht umgehen, um einen gr\u00f6\u00dferen Geltungsbereich anzufordern:<\/p>\n\n\n\n
      \n
    1. Erstellung von Zauberer-Token;<\/li>\n\n\n\n
    2. OAuth \/autorisieren<\/code><\/strong>;<\/li>\n\n\n\n
    3. OAuth \/token<\/code><\/strong> Austausch;<\/li>\n\n\n\n
    4. Dynamische Client-Registrierung (RFC 7591).<\/li>\n<\/ol>\n\n\n\n
      Das ist wichtig:<\/strong> Die Obergrenze gilt ausschlie\u00dflich zum Zeitpunkt der Ausgabe. Eine Anhebung der Obergrenze hat keine Auswirkungen auf bereits ausgegebene Token. Um den Geltungsbereich eines bestehenden Tokens einzuschr\u00e4nken, m\u00fcssen Sie diesen widerrufen und einen neuen ausgeben.<\/p>\n\n\n\n
      Die Obergrenze ist eine Erweiterung des Geltungsbereichsvokabulars und kein eigenst\u00e4ndiger Mechanismus. Sie existiert nur, weil Ma\u00dfnahme C die Geltungsbereiche definiert, f\u00fcr die sie gilt.<\/p>\n\n\n\n
      Ma\u00dfnahme D \u2013 Not-Aus-Schalter<\/a><\/h2>\n\n\n\n
      Mit dem Kill-Switch kann ein Administrator jeden sch\u00e4dlichen Schreibvorgang sofort unterbinden. Ist er aktiviert, lehnt der Server jeden Aufruf eines sch\u00e4dlichen Tools ab und gibt die WRITES_PAUSED<\/code><\/strong> Fehler, unabh\u00e4ngig von den G\u00fcltigkeitsbereichen des aufrufenden Tokens oder einem g\u00fcltigen Best\u00e4tigungstoken.<\/p>\n\n\n\n
      Ein Administrator stellt den Schalter von der Mit MCP verbundene Clients<\/strong> Admin-Seite. Das Steuerelement ist ein Alle Schreibvorg\u00e4nge anhalten<\/strong> Schaltfl\u00e4che. Solange destruktive Schreibvorg\u00e4nge aktiv sind, zeigt die Seite diesen Status an:<\/p>\n\n\n\n
      \n
      Destruktive Schreibvorg\u00e4nge sind aktiv \u2013 R\u00fcckerstattungen, Stornierungen, L\u00f6schungen und Massenimporte werden f\u00fcr alle verbundenen Clients vor\u00fcbergehend ausgesetzt. Lese-Tools funktionieren weiterhin.<\/p>\n<\/blockquote>\n\n\n\n
      Die Einstellung bleibt auch nach dem Speichern der regul\u00e4ren Einstellungen erhalten, sodass sie bei einer routinem\u00e4\u00dfigen Aktualisierung der Einstellungen nicht automatisch deaktiviert wird. Der Server protokolliert admin.writes_paused<\/code><\/strong> und admin.writes_resumed<\/code><\/strong> Ereignisse im Pr\u00fcfprotokoll, wenn der Schalter seinen Zustand \u00e4ndert.<\/p>\n\n\n\n
      Der Kill-Switch ist die umfassendste Ma\u00dfnahme. Die Ma\u00dfnahmen A, B und C schr\u00e4nken einzelne Vorg\u00e4nge ein; der Kill-Switch hebt sie alle in einem einzigen Schritt bei sch\u00e4dlichen Aufrufen au\u00dfer Kraft. Er ist die geeignete Reaktion, wenn ein Administrator den Verdacht hat, dass sich eine Verbindung unerwartet verh\u00e4lt, und alle sch\u00e4dlichen Aktivit\u00e4ten vor der Untersuchung unterbinden m\u00f6chte.<\/p>\n\n\n\n
      Anmerkung:<\/strong> Der Kill-Switch unterbricht ausschlie\u00dflich destruktive Schreibvorg\u00e4nge. Lesetools und nicht-destruktive Schreibvorschauen funktionieren auch w\u00e4hrend seiner Aktivierung weiterhin.<\/p>\n\n\n\n
      Die Antwort \u201eWRITES_PAUSED\u201c<\/a><\/h3>\n\n\n\n
      Solange der Kill-Switch aktiv ist, schl\u00e4gt jeder Aufruf eines destruktiven Tools mit dieser Antwort fehl, unabh\u00e4ngig von den G\u00fcltigkeitsbereichen des aufrufenden Tokens oder einem etwaigen g\u00fcltigen Best\u00e4tigungstoken:<\/p>\n\n\n\n
      {\n  \"code\": -32603,\n  \"message\": \"Destruktive Schreibvorg\u00e4nge wurden von einem Administrator ausgesetzt. Versuchen Sie es sp\u00e4ter erneut oder wenden Sie sich an den Standortbetreiber.\",\n  \"data\": {\n    \"mp_error_code\": \"WRITES_PAUSED\"\n  },\n  \"request_id\": \"req_\"\n}<\/code><\/pre>\n\n\n\n
      Der Schalter steuert den gesamten Pfad f\u00fcr destruktive Schreibvorg\u00e4nge: Selbst der erste (Vorschau-)Aufruf eines destruktiven Tools gibt WRITES_PAUSED<\/code><\/strong>, sodass der Best\u00e4tigungsablauf nicht beginnen kann. Wie bei allen Tool-Fehlern erfolgt der Abgleich anhand von data.mp_error_code<\/code><\/strong> (WRITES_PAUSED<\/code><\/strong>), nicht die allgemeine -32603<\/code><\/strong>.<\/p>\n\n\n\n
      Verwandte Funktionen<\/a><\/h2>\n\n\n\n
      Die M\u00f6glichkeiten von WordPress<\/a><\/h3>\n\n\n\n
      Ab WordPress 6.9 registriert die AI Foundation Tools auch \u00fcber die WordPress-Abilities-API, die \u00fcber den WordPress.org-MCP-Adapter bereitgestellt wird. Dabei handelt es sich um eine zweite programmatische Schnittstelle, die auf dieselben zugrunde liegenden Vorg\u00e4nge zugreift wie der MCP-Endpunkt, wobei es drei technische Unterschiede gibt:<\/p>\n\n\n\n