From a9ad8c5171a4444f8486b1e28107067a00d63bcf Mon Sep 17 00:00:00 2001 From: Descomplicar Agent Date: Wed, 19 Aug 2026 06:29:12 +0100 Subject: [PATCH] =?UTF-8?q?feat(skills):=20mcp-insert-headers-footers=20?= =?UTF-8?q?=E2=80=94=20MCP=20dedicado=20ao=20Insert=20Headers=20and=20Foot?= =?UTF-8?q?ers=20(WPCode=20Lite),=20gotcha=20de=20slashing=20wp=5Funslash/?= =?UTF-8?q?wp=5Fslash,=20aviso=20de=20risco=20expl=C3=ADcito?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .../mcp-insert-headers-footers/SKILL.md | 134 ++++++++++++++++++ 1 file changed, 134 insertions(+) create mode 100644 wordpress/skills/mcp-insert-headers-footers/SKILL.md diff --git a/wordpress/skills/mcp-insert-headers-footers/SKILL.md b/wordpress/skills/mcp-insert-headers-footers/SKILL.md new file mode 100644 index 0000000..c293135 --- /dev/null +++ b/wordpress/skills/mcp-insert-headers-footers/SKILL.md @@ -0,0 +1,134 @@ +--- +name: mcp-insert-headers-footers +description: MCP dedicado multi-site (node stdio, ligação `insert-headers-footers` em ~/.omp/agent/mcp.json) para ler e escrever os 3 blocos globais de código (header/body/footer) do plugin Insert Headers and Footers (agora rebrandeado "WPCode Lite", slug `insert-headers-and-footers`) via WP-CLI/SSH. ⚠️ Superfície de risco real — estes 3 blocos injectam HTML/JS/CSS arbitrário em TODAS as páginas do site (produção incluída); uma escrita mal formada pode partir o site inteiro ou abrir um vector XSS. Site é um parâmetro em cada tool. Usar quando "insert headers and footers", "wpcode lite", "header footer mcp", "injectar script no site todo", "código global wordpress", "meta pixel site inteiro", "gtm noscript global", "ihaf mcp". +layer: wiki +--- + +# /mcp-insert-headers-footers — MCP dedicado multi-site ao Insert Headers and Footers (WPCode Lite) + +Projecto em `/media/ealmeida/Dados/Dev/mcp-insert-headers-footers/` (TypeScript, SDK MCP oficial, +stdio). Sem código PHP novo no WordPress — cada tool executa `wp eval` com um snippet PHP estático +(nunca dados do utilizador interpolados no comando) via `ssh server` sobre o WP-CLI já instalado. +**`site` é um parâmetro em cada tool**, não uma ligação fixa — o plugin está confirmado `active` +(WPCode Lite 2.3.8) nos 8 sites reais do bundle. + +## ⚠️ Superfície de risco + +Este plugin injecta os 3 blocos em **todas as páginas de todo o site**, via `wp_head`, +`wp_body_open` e `wp_footer`. Não há "sandbox" nem preview automático — o que estiver gravado sai +directamente no HTML servido a todos os visitantes assim que a cache de página for purgada (ou +imediatamente, se não houver cache activa). Riscos concretos: + +- **Quebra visual/funcional site-wide** — uma tag HTML não fechada, um `