WP-CLI-stöd för Wordfence + Abilities API i WordPress 6.9: säkerhetsjobb direkt från terminalen (och för AI-agenter)

Att sköta Wordfence via wp-admin funkar, men om du driftar flera WordPress-sajter (eller bara föredrar terminalen) blir det snabbt mycket klickande. Ett nytt open source-plugin, WP-CLI & Abilities API for Wordfence, tar ett rejält steg mot ett mer automatiserbart arbetsflöde: det ger Wordfence ett eget kommandonamnrymd i WP-CLI och implementerar dessutom den nya WordPress Abilities API som introduceras i WordPress 6.9.

Det praktiska värdet är dubbelt: du kan köra skanningar, hantera WAF-regler och följa upp hot utan att gå in i admin. Och via Abilities API blir samma funktioner upptäckbara och körbara av automationverktyg och AI-agenter genom ett standardiserat, självdokumenterande gränssnitt.

Vad pluginet faktiskt lägger till

Efter installation får du ett nytt wp wfsec-namespace i WP-CLI (kommandoradsverktyget för WordPress). Tanken är att du ska kunna göra typiska Wordfence-åtgärder som en del av drift/CI-skript, cron-jobb eller bara som ett snabbt terminalkommando när något ser misstänkt ut.

Security scanning (skanning av sajten)

• Starta snabb eller full malware-scan
• Följa skanningsprogress i realtid
• Titta på scan-historik och detaljerade loggar

Firewall management (WAF och IP-blockar)

• Blockera eller avblockera IP-adresser
• Sätta blocktid (duration) och ange anledning (reason)
• Kontrollera om en specifik IP redan är blockerad
• Slå på eller av WAF-skyddet

Issue tracking (hittade problem/hot)

• Lista alla upptäckta säkerhetsissues
• Filtrera på status (new, ignored, resolved)
• Ta bort eller hantera enskilda hot

Configuration (inställningar och licens)

• Hämta och sätta Wordfence-inställningar
• Kontrollera licensstatus
• Exportera och importera konfiguration

Snabba exempel: wp wfsec i praktiken

Här är ett gäng kommandon som visar hur arbetsflödet ser ut. Det är samma typ av operationer man annars gör i Wordfence-UI – men skriptbart och lätt att köra mot flera miljöer.

# Check overall Wordfence status
wp wfsec status

# Start a full security scan
wp wfsec scan start --type=full

# Watch scan progress
wp wfsec scan status

# List all security issues
wp wfsec issues ls --status=all

# Block an IP address for 24 hours
wp wfsec firewall block 192.168.1.100 --duration=86400 --reason="Brute force attempt"

# Check license status
wp wfsec license status

# Check overall Wordfence status
wp wfsec status

# Start a full security scan
wp wfsec scan start --type=full

# Watch scan progress
wp wfsec scan status

# List all security issues
wp wfsec issues ls --status=all

# Block an IP address for 24 hours
wp wfsec firewall block 192.168.1.100 --duration=86400 --reason="Brute force attempt"

# Check license status
wp wfsec license status

En detalj som gör stor skillnad i automation är att kommandona stödjer --format=json. Det gör det enklare att parsa output i shell-skript, CI eller övervakningsjobb (t.ex. för att trigga alerts när en scan hittar nya issues).

Det nya: WordPress Abilities API (WordPress 6.9) + Wordfence

Det mest intressanta i pluginet är att det är bland de tidiga implementationerna av WordPress Abilities API i WordPress 6.9. Med “abilities” menas i praktiken ett standardiserat sätt för WordPress att beskriva och exponera funktionalitet så att externa verktyg (inklusive AI-agenter) kan upptäcka vad som går att göra och hur det ska anropas – utan att du skriver specialintegration för varje plugin.

I stället för att din agent/automation måste känna till pluginets interna endpoints och payloads, kan den arbeta mot en självbeskrivande och schema-validerad yta där abilities går att lista och anropa på ett mer enhetligt sätt.

De 7 abilities som exponeras

• scan-status – hämta aktuell scan-state och progress
• scan-start – starta security scans programmatiskt
• issues-list – hämta upptäckta security issues
• issues-count – hämta antal issues per severity
• firewall-status – kontrollera WAF-läge/state
• firewall-block – blockera IP via API
• license-status – hämta licensinformation

Det här öppnar upp för ganska konkreta use cases: AI-baserad säkerhetsmonitorering, egna dashboards som sammanställer Wordfence-data, eller automation som kör rutinchecks och vidtar enkla åtgärder (som att blockera IP:n som just försökt en brute force-serie).

Autentisering

Autentisering sker med WordPress Application Passwords via Basic Auth. Application Passwords är WordPress inbyggda mekanism för att skapa separata inloggningsuppgifter för integrationer, vilket är praktiskt när du vill ge en agent/ett verktyg begränsad åtkomst utan att använda ditt vanliga lösenord.

Krav (versionsnivåer) att ha koll på

• WordPress 6.9+
• PHP 8.0+
• WP-CLI 2.5+
• Installerat Wordfence Security-plugin (free eller premium)

Installation och nedladdning

Senaste versionen finns som zip i GitHub-releaser. Ladda ner och ladda upp pluginet till /wp-content/plugins/ och aktivera som vanligt.

Om du kör en Bedrock-liknande setup nämns även att installation kan göras via Composer.

Summering: varför det här är värt att testa

wp wfsec gör Wordfence mer driftvänligt när du vill jobba i terminalen, särskilt om du hanterar många sajter eller vill bygga repeatable runbooks. Abilities API-delen är samtidigt en tydlig signal om vart WordPress är på väg: funktionalitet som inte bara finns i admin, utan går att upptäcka och använda på ett standardiserat sätt av automation och AI-agenter – med mindre handbyggd integration.