mmcp v1.29.7
MONA MCP cho một trợ lý AI làm việc trên site như người quản trị — nhận việc bằng lời: sửa nội dung, thay ảnh, đổi menu. Trợ lý chạy dưới tài khoản bạn cấp, việc lớn phải bạn duyệt, mọi thao tác đều hoàn tác được.
Một dòng lệnh trong ứng dụng AI bạn đang dùng là xong — không cài thêm gì lên máy, không mở cổng lạ, không dán mật khẩu đăng nhập đi đâu cả. Dùng Application Password sẵn có của WordPress, tạo ngay trong trang hồ sơ. Màn quản trị in sẵn đúng dòng lệnh cho từng ứng dụng.
Không có bảng phân quyền riêng để học. Kết nối chạy dưới một tài khoản WordPress có thật và làm được đúng những gì tài khoản đó làm được trong wp-admin — muốn AI chỉ đọc thì cấp bằng tài khoản Subscriber, muốn AI viết bài thì cấp bằng Author. Mỗi người một Application Password riêng, thu hồi từng cái trong trang hồ sơ.
Việc chạm từ 5 trang trở lên, chạm giá, hay chạm menu và thông tin liên hệ thì cổng không đổi ngay: nó trả về bảng “từ gì → thành gì”, kèm một mã xác nhận dùng một lần. Đổi tham số rồi mới xác nhận là bị từ chối.
Bảng thay đổi nào cũng có nút “Lên lịch…” bên cạnh nút duyệt. Bạn duyệt đúng bảng đang nhìn, chọn giờ, rồi đóng máy — tới giờ website tự chạy lại đúng lệnh đó, không có AI nào tham gia lần chạy. Và nếu trong lúc chờ có người sửa tay đúng chỗ ấy, việc bị bỏ qua kèm lý do chứ không ghi đè lên công của họ.
Gõ /remind để tự nhắc mình đúng giờ — mỗi ngày, mỗi tuần, hay một lần duy nhất. Hoặc đặt một câu hỏi lặp lại (“sáng thứ Hai tóm tắt đơn tuần qua”) và nhận trả lời bằng chữ: loại này chỉ được cấp công cụ đọc, tính từ mã nguồn chứ không phải từ một danh sách ai đó gõ tay, nên nó không sửa được gì kể cả khi muốn.
Application Password của WordPress vốn mở cả REST API. Một nút trong màn Kết nối khoá mật khẩu đó lại chỉ dùng được cho cổng MCP — đi đường khác là bị từ chối kèm lời giải thích, và mọi lượt từ chối đều vào nhật ký. Bạn cấp quyền cho AI mà không phải cấp luôn phần còn lại của website.
Trước mỗi lệnh ghi, cổng chụp lại hiện trạng và đặt cho nó một mã ngắn kiểu KP-0806-01. Nhắn “trả lại bản đó” là về nguyên trạng — và bản thân việc hoàn tác cũng tạo một điểm khôi phục mới, nên bạn không bao giờ kẹt.
Nhật ký chỉ hữu ích khi có người mở nó ra. Nên trợ lý làm xong việc gì là bắn một dòng vào nhóm Telegram — hoặc Slack, Discord, Google Chat qua webhook — kèm mã hoàn tác để bấm lại ngay nếu không ưng. Quan trọng hơn: nó báo cả những lệnh bị từ chối, nên có ai đó đang dò kết nối là bạn biết ngay chứ không phải tình cờ phát hiện. Chọn bật từng loại: việc đã làm, việc bị từ chối, việc đang chờ bạn duyệt, việc theo lịch hỏng. Chỉ gửi ra, không nhận lệnh vào — không ai duyệt được thay đổi bằng cách trả lời trong nhóm chat.
Ai, tài khoản nào, lệnh gì, lúc mấy giờ, kết quả ra sao — kể cả những lệnh bị từ chối. Số điện thoại và email trong nhật ký được che ngay khi ghi, và mật khẩu kết nối thì không bao giờ có mặt ở đó.
Cài thêm plugin nào của MONA thì trợ lý nhận thêm đúng nhóm việc của plugin đó: xem đơn hàng và sửa tồn kho, viết tiêu đề và mô tả SEO, tạo bản dịch, đọc liên hệ khách gửi. Cửa hàng có cổng thanh toán online hay hãng vận chuyển thì trợ lý đọc luôn mã giao dịch, mã vận đơn và tình trạng giao hàng của từng đơn — không phải cấu hình gì thêm. Thiếu plugin nào thì cổng đơn giản là nhỏ hơn — phần còn lại chạy bình thường, không lỗi, không cảnh báo. Màn Trạng thái nói rõ nhóm nào đang mở và nhóm nào còn chờ điều kiện gì.
Cổng chỉ mở đúng danh sách lệnh đã duyệt — chứ không phải chặn từng thứ một. Qua cổng không có đường nào để chạy code, sửa wp-config.php, xoá vĩnh viễn hay xuất database. Với cửa hàng: trợ lý đọc được mã giao dịch và tình trạng giao hàng, nhưng không tạo được vận đơn, không huỷ vận đơn và không hoàn tiền — những việc đặt một chuyến lấy hàng có thật hoặc chuyển tiền thật thì vẫn là một cú bấm của bạn. Nói cho đủ: Application Password là credential của WordPress nên nó cũng mở REST API chuẩn dưới quyền tài khoản đó — phạm vi thật sự do bạn chọn tài khoản nào để cấp, và đó là lý do nên cấp bằng tài khoản vừa đủ quyền.
Khung dưới đây mô phỏng tại trình duyệt đúng cách trợ lý trả lời: cùng một câu, kết quả khác nhau theo vai của tài khoản nó đang làm việc dưới đó. Có cả những việc bị từ chối — vì đó mới là phần quyết định có giao được website cho AI hay không.
Bấm một câu lệnh như thể đang nhắn cho trợ lý — khung bên phải là đúng những gì cổng MCP trả về trong tình huống đó.
Thực tế bạn không chat ở đây, cũng không chat trong wp-admin: bạn nhắn ngay trong ứng dụng AI đang chạy trên máy mình. Website chỉ mở cổng, còn thứ bạn đưa cho AI là Application Password của một tài khoản WordPress — khung dưới đây là bản dựng lại cuộc trò chuyện đó để bạn xem trước.
Không có “mức quyền” riêng nào để chọn: bạn chọn tài khoản, và cổng làm đúng những gì tài khoản đó làm được trong wp-admin. Đổi nút ở trên rồi bấm lại cùng một câu lệnh để thấy chỗ khác nhau.
Chưa có lệnh nào. Chọn một câu bên trái để bắt đầu.
Tôi đang làm việc dưới tài khoản Người đăng ký — trong wp-admin họ chỉ đọc được, nên tôi cũng vậy.
Lần thử này vẫn được ghi vào nhật ký — chủ website mở màn Nhật ký là thấy ai vừa thử làm gì. Cần sửa thật thì kết nối bằng tài khoản có quyền sửa, không phải xin nới một cài đặt nào.
Tôi đang làm việc dưới tài khoản Biên tập viên: sửa được nội dung và ảnh, nhưng menu và thông tin liên hệ toàn site thì không.
Đây là quy tắc của chính WordPress, không phải giới hạn chúng tôi thêm vào: việc này đòi quyền quản lý giao diện, mà WordPress chỉ cấp cho quản trị viên. Muốn AI làm được thì kết nối bằng tài khoản quản trị viên — và cân nhắc, vì như thế nó cũng làm được mọi việc khác của vai đó.
Trang “Chính sách thanh toán” nằm trong Vùng cấm do chủ website tự chọn.
Vùng cấm đứng trên cả vai quản trị: kết nối bằng tài khoản quản trị viên cũng không sửa được. Muốn đổi thì mở khoá trang đó trong wp-admin trước, đó là việc của người, không phải của AI.
Số hotline đang nằm ở 4 chỗ, không riêng footer. Đây là những gì tôi sẽ đổi:
| Chỗ | Đang là | Sẽ thành |
|---|---|---|
| Header — thanh trên cùng | 1900 6348 | 1900 636 648 |
| Footer — cột liên hệ | 1900 6348 | 1900 636 648 |
| Trang “Liên hệ” | 1900 6348 | 1900 636 648 |
| Schema doanh nghiệp (JSON-LD) | +842419006348 | +842419636648 |
Lệnh này chạm thông tin hiển thị toàn site nên cổng không tự đổi. Duyệt thì tôi gọi lại kèm mã xác nhận XN-4F7A — dùng một lần, hết hạn sau 5 phút, và đổi tham số rồi mới xác nhận là bị từ chối.
Đã đổi xong 4 chỗ. Điểm khôi phục của lần này là KP-0806-01 — cần trả lại thì nhắn tôi mã đó, hoặc bấm ngay dưới đây.
Cả 4 chỗ đã về lại 1900 6348. Bản thân lần hoàn tác này cũng có điểm khôi phục riêng KP-0806-02, nên đổi ý lần nữa vẫn quay lại được.
Đã bỏ qua, website giữ nguyên. Mã xác nhận XN-4F7A huỷ luôn — lần sau muốn làm thì phải xem bản mới.
Giá xuất hiện ở 2 chỗ trên trang “Bảng giá”. Tôi đã viết lại theo quy ước định dạng giá của website:
| Chỗ | Đang là | Sẽ thành |
|---|---|---|
| Bảng giá — thẻ “Cơ bản” | 6.900.000đ | 4.900.000đ |
| Bảng so sánh — dòng đầu | 6.900.000đ | 4.900.000đ |
Bạn gõ 4900000, tôi ghi 4.900.000đ — quy ước “giá luôn kèm chữ đ và dấu chấm phân cách nghìn” lấy từ màn Giới thiệu site. Mọi lệnh chạm giá đều phải duyệt, không có ngoại lệ.
Đã đổi 2 chỗ. Điểm khôi phục KP-0806-03.
Giá cũ vẫn nằm trong nhật ký, nên đối chiếu lại lúc nào cũng được — kể cả sau khi đã đổi thêm vài lần nữa.
Đã soạn bài “Dịch vụ bảo trì website hàng tháng” (mã 4172) và lưu ở dạng nháp — chưa ai ngoài site nhìn thấy.
Tôi không tự đăng bài. Đọc lại thấy được thì nhắn “đăng bài 4172” là tôi chuyển sang xuất bản; đó là một lệnh riêng, để việc đăng luôn là một quyết định có người bấm.
Ảnh mới đã vào thư viện (mã 4180) và được đặt làm banner trang chủ.
Tôi không có việc xoá — không phải tôi từ chối, mà là không tồn tại đường nào để làm việc đó, kể cả khi kết nối bằng tài khoản quản trị viên.
Việc gần nhất tôi làm được là chuyển các bài đó vào Thùng rác, và chúng vẫn khôi phục được bằng thao tác WordPress bình thường. Bạn muốn tôi liệt kê ra trước để xem có bài nào còn dùng không?
Tôi không đọc và không ghi được file nào trên server.
Tôi chỉ nhận đúng danh sách việc đã duyệt trước — chứ không phải bị chặn từng thứ một — nên chạy code, sửa file cấu hình, xuất database hay chạm vào cài đặt thanh toán đều không có lệnh tương ứng để gọi. Không tài khoản nào, không tuỳ chọn nào bật chúng lên được.
Ảnh chụp thật từ wp-admin của site này — không dàn dựng, không mockup. Bấm vào ảnh hoặc chạy tour để xem theo trình tự thao tác.
Mọi thứ trong danh sách dưới đây bật sẵn trên mọi website, không cần license và không giới hạn số site. Không có bản rút gọn, cũng không có bản cao hơn để mua thêm.
License MONA không mở thêm tính năng nào — nó là giấy tờ bản quyền đứng tên website của bạn, dùng khi hồ sơ dự án, hợp đồng bàn giao hoặc bên kiểm toán yêu cầu chứng minh nguồn gốc phần mềm. Cấp theo domain cho MONA MCP.
So sánh sòng phẳng — chỗ nào họ mạnh chúng tôi nói thẳng, và plugin MONA luôn nhường khi bạn đã chọn họ.
MONA MCP tự xin đường riêng cho mình qua filter của MONA Shield, không hạ bất kỳ lớp bảo vệ nào bạn đang bật. Với plugin bảo mật khác, màn Trạng thái tự gọi thử endpoint từ chính server và nói rõ bằng tiếng Việt đang vướng ở đâu. Cổng chỉ chạy trên HTTPS.
Không, và đây là chỗ khác nhau quan trọng nhất. Cái được lưu lại là đúng bảng thay đổi bạn đã nhìn và đã duyệt, không phải câu bạn nói và cũng không phải quyền cho AI hành động sau này. Tới giờ, website chạy lại chính bảng đó — trợ lý không được gọi, không đọc gì thêm, không quyết định gì. Nói cách khác: bạn hoãn việc, chứ không hoãn quyết định.
Việc bị bỏ qua và ghi lại lý do, không ghi đè. Trước khi chạy, website dựng lại bản xem trước một lần nữa rồi so với bản đã đóng băng: khác một chỗ là dừng cả việc, chứ không làm một nửa. Nửa thay đổi là thứ không ai duyệt bao giờ. Bạn thấy đúng chỗ nào lệch ngay trong màn đối chiếu.
Một cron thật trên máy chủ — hầu hết hosting đều có, MONA cấu hình giúp khi bàn giao. Plugin tự đo chứ không tin cấu hình: mỗi nhịp chạy đều ghi lại độ trễ, và chỉ khi vài nhịp gần nhất đều đúng giờ thì tính năng mới bật. Website chưa đủ điều kiện thì mục này ẩn đi kèm đúng hai dòng cần thêm — thà không hứa còn hơn hứa một mốc giờ rồi lỡ.
Qua cổng thì không: không có lệnh xoá. Những câu mang nghĩa xoá đều được chuyển thành đưa vào Thùng rác hoặc ẩn khỏi hiển thị, nên phục hồi được bằng thao tác WordPress bình thường. Ảnh cũng không bao giờ bị ghi đè — thay ảnh là tạo ảnh mới và giữ ảnh cũ. Cần nói rõ: mật khẩu kết nối là Application Password của WordPress nên nó cũng dùng được với REST API chuẩn, ở đó quyền xoá là quyền của tài khoản. Vì vậy hãy cấp bằng tài khoản vừa đủ quyền — đó mới là thứ quyết định phạm vi.
Vào trang hồ sơ của tài khoản đó, xoá Application Password — có hiệu lực ngay lần gọi kế tiếp. Nó chỉ hiện đúng một lần lúc tạo và WordPress lưu dưới dạng băm, nên kể cả người xem được database cũng không dựng lại được. Sai ba lần liên tiếp thì IP đó bị khoá tạm.
Thường là không. Một số host kiểu CGI nuốt mất header Authorization — khi đó màn Kết nối in sẵn dòng .htaccess cần thêm.
Chưa. Hôm nay bạn giao việc từ chính ứng dụng AI của mình — Claude hoặc công cụ nào nói được chuẩn MCP — nối vào cổng của website; mọi lớp kiểm soát ở đây (vùng cấm, duyệt tay, nhật ký, hoàn tác) áp dụng y như nhau. Ô chat ngay trong wp-admin đang được phát triển, chưa mở cho khách hàng.
Được, và dùng được toàn bộ: nội dung, ảnh, menu, thông tin liên hệ, lịch sử và hoàn tác, cùng cả bốn nhóm công cụ gắn với các plugin còn lại — cửa hàng, SEO, đa ngôn ngữ, vận hành. Nhóm nào bật hay tắt là do bạn chọn trong màn cài đặt, không phải do bản quyền. License MONA chỉ là giấy tờ bản quyền theo domain.
Gói cài đặt chính thức do MONA phát hành và ký số. Website đã cài plugin thì cập nhật thẳng trong trang quản trị — tải tệp ở đây khi cài lần đầu, hoặc khi website không gọi được ra ngoài để tự cập nhật.
mona-mcp-1.29.7.zip · 405 KB
Tệp .zip cài thẳng vào WordPress, không cần giải nén. Bản này dùng được ngay và đủ tính năng, không cần License.
Cài đè không mất dữ liệu và không phải kích hoạt lại gì. Dù vậy, hãy sao lưu trước khi thao tác trên website đang chạy.
Plugin được cập nhật định kỳ — tính năng mới, cải tiến và vá lỗi. Phiên bản hiện tại: v1.29.7.
Mỗi bản phát hành đều mang theo bản vá bảo mật, cải thiện hiệu năng và cập nhật tương thích với WordPress / PHP mới. Website còn chạy bản cũ có thể gặp lỗi hiển thị, xung đột với plugin khác hoặc rủi ro bảo mật đã được xử lý ở bản sau. MONA chỉ bảo hành và hỗ trợ kỹ thuật trên phiên bản mới nhất đang phát hành — hiện tại là v1.29.7.
Cập nhật ngay trong trang quản trị: MONA MCP → thẻ License → Kiểm tra bản mới, quá trình chỉ mất vài giây và không ảnh hưởng dữ liệu. Muốn tải tệp cài đặt về máy thì lấy ở mục Phiên bản & tải về ngay phía trên. Nếu website đang dùng bản cũ, đã tuỳ chỉnh sâu hoặc bạn gặp vướng mắc khi nâng cấp, hãy liên hệ đội kỹ thuật MONA hoặc gọi 1900 636 648 để được hỗ trợ trước khi thao tác.
Cài MONA MCP cho website của bạn, hoặc để MONA cấu hình sẵn vai, quyền và quy ước cho đội của bạn.
