Serveur MCP Sylius : ce qu'il est et à quoi il sert

Le serveur MCP de Sylius est un plugin qui décrit votre boutique sous forme d'outils qu'un modèle de langage sait appeler : chercher un produit, remplir un panier, lire une commande. Il en existe deux, officiels : le Shop MCP, qui ouvre le parcours d'achat en mode invité à un assistant comme ChatGPT ou Claude, et l'Admin MCP, qui ouvre l'API d'administration à un administrateur authentifié. Ce sont des portes d'accès, pas des agents complets.

Je suis développeur Sylius et Symfony indépendant, et j'intègre des agents IA dans des boutiques. Le sigle MCP circule beaucoup depuis un an, souvent sans explication. Cet article dit ce que c'est, ce que les deux plugins Sylius font réellement d'après leur documentation, et dans quels cas je les utilise. Pour le reste de l'écosystème, voyez l'état des lieux de l'IA dans Sylius et la page agents IA pour Sylius.

Qu'est-ce que MCP, en termes simples ?

Le Model Context Protocol a été annoncé par Anthropic le 25 novembre 2024 comme un standard ouvert pour relier les outils d'IA aux sources de données. L'idée est simple : au lieu d'écrire une intégration différente pour chaque assistant, l'application publie une fois la liste de ses outils, avec leur description et leurs paramètres. N'importe quel client compatible, comme Claude Desktop, ChatGPT ou Cursor, peut alors les découvrir et les appeler.

Un outil MCP ressemble à une fonction : « search_products » avec un mot-clé, « fetch_order » avec un numéro. Le modèle choisit l'outil, le serveur l'exécute et renvoie le résultat. C'est exactement la couche que j'appelle les outils dans ma méthode : ce que l'agent peut faire, et donc aussi ce qu'il ne peut pas faire.

Que fait le Shop MCP de Sylius ?

Le paquet sylius/mcp-server-plugin est en v0.3.0 depuis le 19 octobre 2026. Il exige PHP 8.2, Sylius 2.1 ou plus et symfony/mcp-bundle en 0.13 ; le README demande aussi MySQL 8.4 et Node.js 20. Il répond sur /mcp/shop en HTTP, et en local via la commande bin/console mcp:server.

Il expose 15 outils qui couvrent le parcours d'achat : lire le canal et la devise, chercher des produits et des variantes, créer une commande, ajouter un article, renseigner l'adresse, lister et choisir la livraison et le paiement, puis valider la commande. Le README montre son usage avec OpenAI Playground, l'API Responses, ChatGPT, et Claude Desktop pour l'affichage des images.

Deux limites sont écrites noir sur blanc. Les outils fonctionnent uniquement en mode invité, et la commande d'un client connecté n'est pas renvoyée. Et le README ne décrit aucune authentification : son exemple de configuration indique « Authentication: None ». Autrement dit, le Shop MCP sert à laisser un assistant explorer le catalogue et préparer un achat comme le ferait un visiteur anonyme, pas à répondre à un client sur son compte ou son historique.

Que fait l'Admin MCP de Sylius ?

Le paquet sylius/admin-mcp-server-plugin est en v0.2.0 depuis le 2 septembre 2026. Il expose l'API d'administration sur /mcp/admin, derrière une authentification OAuth 2.0 PKCE : seuls les administrateurs qui ont le rôle ROLE_API_ACCESS peuvent donner leur accord sur la page de consentement. Le README annonce 171 outils répartis en 34 groupes (produits, commandes, clients, promotions, livraison...), chaque groupe pouvant être désactivé.

Les clients cités sont Claude Desktop, les connecteurs personnalisés de Claude.ai (offres Pro ou Max), Claude Code et Cursor ; ChatGPT n'est pas mentionné. Pour Claude.ai, le serveur doit être public avec un certificat valide. Point à connaître avant d'installer : le README prévient que le plugin impose la collecte de télémétrie par Sylius.

À quoi sert-il concrètement pour un commerçant ?

Le Shop MCP prépare votre boutique à un monde où une partie des acheteurs demandent à leur assistant de trouver un produit. Il rend votre catalogue lisible par ces assistants, sans développement de votre part. Il ne remplace ni votre fiche produit ni votre tunnel de commande, et il n'implémente pas, d'après son README, les protocoles de commerce agentique comme ACP ou UCP.

L'Admin MCP sert le commerçant lui-même. Depuis Claude Desktop, vous pouvez demander « quelles commandes payées ne sont pas encore expédiées ? » ou « liste les variantes en rupture dans tel taxon », sans ouvrir dix écrans. C'est puissant, et c'est précisément pour cela qu'il faut le cadrer : 171 outils, dont des écritures, entre les mains d'un modèle qui peut se tromper ou être manipulé par un texte qu'il lit.

Quelles précautions avant de l'activer ?

Je ne branche jamais un serveur MCP sur une boutique en production sans quatre précautions. D'abord, ne garder que les groupes d'outils nécessaires, en commençant par la lecture seule. Ensuite, réserver le rôle ROLE_API_ACCESS à un compte dédié, avec les accès par rôle les plus étroits possible. Puis tenir Sylius à jour : la version 2.3.2 a corrigé six failles, dont une qui permettait de contourner les filtres de propriété de l'API boutique et d'accéder aux données d'autres clients. Enfin, figer les versions des plugins, puisqu'ils sont en 0.x, et rejouer des cas de test à chaque mise à jour.

Ce que l'agent ne fait jamais seul, même avec l'Admin MCP : modifier un prix, rembourser, supprimer ou valider une commande. Si l'outil d'écriture est exposé, il faut une validation humaine entre la proposition et l'exécution. Le plugin Ask AI le fait d'ailleurs pour vous ; je l'examine dans l'article sur Ask AI. Pour comparer MCP avec l'API ou le code, lisez l'article API, MCP ou code.

Si vous vous demandez s'il faut ouvrir votre boutique en MCP, et comment, je propose un diagnostic IA offert : je vous rappelle sous 24 heures ouvrées, je regarde votre version de Sylius et vos usages, et je vous propose la solution qui rentre dans votre budget.