Como revisar plugins WordPress com IA usando o Plugin Check e Agent Skills

O uso de Inteligência Artificial para escrever código já faz parte da rotina de muitos desenvolvedores. Mas existe uma diferença enorme entre pedir para uma IA “criar um plugin WordPress” e fornecer a ela contexto, critérios e ferramentas para que o código produzido siga de fato as práticas recomendadas pelo ecossistema WordPress.

Recentemente compartilhei uma dica em um grupo da comunidade WordPress carioca que acho que vale desenvolver melhor: usar o Plugin Check em conjunto com IA para revisar plugins durante o desenvolvimento.

E existe uma segunda ferramenta que complementa muito bem esse processo de criação, antes de chegar na revisão final: as Agent Skills for WordPress, mantidas dentro da organização oficial do WordPress no GitHub.

A combinação é interessante porque cada ferramenta resolve uma parte diferente do problema:

• Agent Skills dão contexto e procedimentos específicos de WordPress para a IA.
• Plugin Check verifica o código produzido em busca de problemas e violações de boas práticas.
• Revisão humana e testes → verificam se as alterações realmente fazem sentido no contexto do plugin.

Essa ordem é importante.

Antes de verificar se um plugin foi bem desenvolvido, faz sentido melhorar a forma como a IA trabalha durante o próprio desenvolvimento, e é aí que entram as Agent Skills.

O problema de simplesmente pedir para uma IA criar um plugin WordPress

Imagine que você abra seu assistente de programação favorito e peça:

Crie um plugin WordPress que faça X.

Dependendo do modelo e do contexto fornecido, você pode receber um código perfeitamente funcional.

Mas funcional não significa necessariamente bem implementado.

Uma IA pode conhecer PHP muito bem e ainda assim:

• utilizar padrões antigos do WordPress;
• esquecer verificações de permissão;
• não validar nonces corretamente;
• sanitizar dados da forma errada;
• fazer escaping no momento inadequado;
• utilizar APIs genéricas quando existe uma API específica do WordPress;
• criar consultas SQL desnecessárias;
• carregar scripts e estilos onde não são necessários;
• ignorar internacionalização;
• utilizar funções incompatíveis com a versão mínima de WordPress declarada pelo plugin;
• desconhecer ferramentas já presentes no projeto.

O problema, portanto, não é apenas a capacidade de gerar código, mas sim o contexto utilizado pela IA para tomar decisões.

Em vez de depender exclusivamente do conhecimento adquirido pelo modelo durante seu treinamento, podemos fornecer instruções específicas sobre como trabalhar com projetos WordPress.

O que são as Agent Skills for WordPress?

As skills são conjuntos de instruções, procedimentos, referências, checklists e, em alguns casos, scripts auxiliares que ajudam assistentes de programação a trabalhar de forma mais adequada com projetos WordPress.

O projeto Agent Skills for WordPress está disponível na organização oficial do WordPress no GitHub: https://github.com/WordPress/agent-skills

Elas podem ser utilizadas por ferramentas e agentes de desenvolvimento que suportem esse formato de skills.

A ideia é relativamente simples.

Em vez de dizer apenas “Este é um plugin WordPress. Trabalhe nele“, você pode fornecer ao agente regras/informações pré-estabelecidas e específicas sobre:

• como identificar o tipo de projeto que o usuário está me pedindo atraves desse prompt;
• quais APIs já existentes no WordPress devem ser consideradas;
• como trabalhar corretamente com plugins, seguindo os padrões do WordPress;
• como trabalhar com blocos;
• como analisar performance;
• como lidar com REST API e utilizar WP-CLI;
• como fazer testes;
• como preparar releases;
• como verificar aspectos de segurança.

Isso reduz a necessidade de a IA “adivinhar” qual é a melhor abordagem.

Comece pela wordpress-router

Uma das skills mais importantes do projeto é a wordpress-router

Ela funciona como uma espécie de porta de entrada para tarefas envolvendo código WordPress, e sua função é primeiro compreender o projeto.

A descrição da própria skill explica que ela deve ser utilizada quando o usuário estiver trabalhando com codebases WordPress (como plugins, temas, block themes, blocos para o editor de posts) e for necessário classificar rapidamente a tarefa e direcionar o trabalho para o workflow ou skill apropriado.

Dependendo do projeto e da tarefa, esse roteamento pode levar para áreas relacionadas a:

• blocos;
• theme.json;
• REST API;
• WP-CLI;
• performance;
• segurança;
• testes;
• empacotamento para releases.

Isso resolve um problema comum no desenvolvimento com agentes de IA: começar a modificar código antes de compreender corretamente o projeto.

Em um projeto real, essa etapa de triagem pode fazer bastante diferença.

Um plugin pode, por exemplo, utilizar Composer, PHPUnit, PHPStan, ferramentas JavaScript específicas ou APIs recentes do WordPress.

O ideal é que a IA identifique esse contexto antes de começar a alterar arquivos. E uma dica extra sobre isso, se você usa o Cursor.com, utilize o modo Plan para primeiro planejar a tarefa antes de sair “cuspindo” código. Eu normalmente utilizo as IAs mais precisas para isso (como Claude Fable ou GPT 6 Astra) para planejar, e outras IAs menos custosas como Grok ou Composer para “apenas” criar o código (dica de ouro essa).

Outras skills importantes para desenvolver plugins

O projeto possui diversas skills especializadas. Para quem trabalha especificamente com plugins WordPress, algumas são particularmente relevantes.

wp-project-triage

Ajuda a identificar características do projeto, ferramentas utilizadas, estrutura e versões relevantes. É uma boa etapa inicial antes que o agente comece a modificar código.

wp-plugin-development

É diretamente voltada para desenvolvimento de plugins.

Ela fornece orientações relacionadas a aspectos como:

• arquitetura;
• hooks;
• APIs do WordPress;
• Settings API;
• segurança;
• padrões comuns de desenvolvimento de plugins.

wp-plugin-directory-guidelines

Fornece contexto relacionado às diretrizes do WordPress Plugin Directory. Isso é especialmente útil quando o plugin será distribuído através do repositório oficial.

wp-performance

Ajuda em tarefas relacionadas a profiling, caching, banco de dados, server-timing, investigação e otimização de performance. E isso serve tanto para temas quanto para plugins.

wp-phpstan

Orienta o uso de PHPStan em projetos WordPress, levando em consideração particularidades do ecossistema.

wp-rest-api

É útil quando o plugin cria ou modifica funcionalidades relacionadas à REST API.

Pode ajudar com:

• endpoints;
• rotas;
• schemas;
• autenticação;
• permissões;
• estrutura de respostas.

wp-wpcli-and-ops

Voltada para WP-CLI e operações comuns de desenvolvimento e administração.

Isso pode incluir tarefas envolvendo:

• banco de dados;
• cron;
• cache;
• plugins;
• multisite;
• scripts de automação.

Existem ainda skills específicas para desenvolvimento de blocos, block themes, Interactivity API, Playground e outras partes do ecossistema WordPress.

Como instalar as Agent Skills

O repositório possui instruções para diferentes ferramentas compatíveis.

Uma das maneiras de trabalhar com elas é através do pacote skills.

Por exemplo, você pode listar as skills disponíveis com:

npx skills add WordPress/agent-skills --list

E adicionar uma skill específica, como a de desenvolvimento de plugins:

npx skills add WordPress/agent-skills --skill wp-plugin-development

Dependendo da ferramenta utilizada, as skills podem ser instaladas globalmente ou dentro do próprio projeto.

Essa segunda opção é particularmente interessante para equipes. Ao manter as instruções junto com o repositório, diferentes desenvolvedores e diferentes agentes de IA podem trabalhar utilizando o mesmo conjunto de orientações.

Não trate as Agent Skills como magia

As Agent Skills melhoram o contexto disponível para a IA, mas não transformam automaticamente todo código gerado em código perfeito.

Esse ponto é importante.

O próprio projeto é transparente sobre seu desenvolvimento: as skills foram inicialmente produzidas a partir de documentação do WordPress com auxílio de IA, depois revisadas e editadas por contribuidores e testadas com diferentes assistentes.

Além disso, o projeto continua evoluindo logo elas devem ser vistas como instruções especializadas para melhorar o trabalho dos agentes, não como substitutas de conhecimento técnico, testes ou revisão humana. E isso nos leva à segunda etapa do processo!

Depois que a IA recebeu melhores instruções para desenvolver o plugin, precisamos verificar o resultado.

É aí que entra o Plugin Check.

Usando o Plugin Check para validar o código produzido

O Plugin Check, também conhecido pela sigla PCP, é um plugin disponibilizado pelo WordPress.org para verificar outros plugins. Ele foi criado para executar muitas das verificações utilizadas durante o processo de análise de plugins submetidos ao diretório oficial.

Mas sua utilidade vai muito além de preparar um plugin para publicação no WordPress.org, pois também ajuda a encontrar problemas relacionados às boas práticas de desenvolvimento.

Entre as áreas analisadas estão questões relacionadas a:

• segurança;
• performance;
• internacionalização;
• acessibilidade;
• APIs do WordPress;
• consultas ao banco de dados;
• estrutura do plugin;
• cabeçalhos;
• arquivos;
• requisitos do diretório oficial.

Isso faz com que ele seja útil mesmo para plugins que nunca serão publicados no WordPress.org. Se você está desenvolvendo um plugin interno ou específico para um cliente, problemas de sanitização, escaping ou performance continuam sendo relevantes.

Como usar o Plugin Check

Depois de instalar e ativar o Plugin Check, você pode executar a análise pelo painel administrativo em:

Ferramentas > Plugin Check

Também é possível utilizá-lo através do WP-CLI:

wp plugin check meu-plugin

Isso torna a ferramenta especialmente interessante para quem já utiliza terminal durante o desenvolvimento.

Você pode desenvolver uma funcionalidade, executar os testes e depois rodar o Plugin Check antes de considerar aquela etapa concluída.

O ponto mais interessante: os prompts do Plugin Check

O Plugin Check é um projeto open source e seu código está disponível no GitHub: https://github.com/WordPress/plugin-check/

Dentro do repositório existe também uma pasta chamada prompts

Esses prompts são utilizados em análises assistidas por IA dentro do contexto do próprio projeto. E eles também podem servir como referência para melhorar a forma como você solicita uma revisão à sua própria IA.

Em vez de simplesmente pedir apenas “Revise meu plugin WordPress” você pode pedir que o agente leve em consideração os critérios utilizados pelo Plugin Check.

Isso transforma uma solicitação genérica em uma revisão orientada por critérios concretos do ecossistema WordPress. No final mostrarei um prompt para esse fim.

Note que também é possível fazer essa análise assistida por IA diretamente pelo WP-CLI, utilizando:

wp plugin check meu-plugin --ai

Eu, particularmente, prefiro fornecer os prompts e o contexto do projeto diretamente para a IA com a qual já estou desenvolvendo. Dessa forma, ela não recebe apenas o resultado isolado de uma verificação: já conhece o projeto, as decisões tomadas durante o desenvolvimento e o contexto das funcionalidades que está analisando.

E aqui existe um cuidado importante: eu não peço para a IA sair corrigindo tudo automaticamente. Essa é uma armadilha comum ao combinar IA com ferramentas de análise de código.

Primeiro peço que ela faça a análise. Leio os problemas encontrados, as explicações e as correções propostas e, somente depois de entender o que ela pretende fazer, autorizo as alterações que fizerem sentido.

Essa etapa de revisão é especialmente importante porque nem todo warning representa necessariamente um problema que deve ser “corrigido” mecanicamente.

Uma ferramenta automática trabalha com padrões e pode gerar falsos positivos.

Além disso, uma alteração feita apenas para satisfazer uma regra pode modificar o comportamento esperado do plugin.

Por isso, prefiro uma abordagem diferente.

Para cada problema encontrado pelo Plugin Check, peça que a IA responda primeiro:

1. Qual regra foi acionada?
2. Por que essa regra existe?
3. O problema realmente se aplica?
4. Existe possibilidade de falso positivo?
5. Qual é a menor alteração segura para resolvê-lo?
6. Essa alteração pode mudar o comportamento do plugin?

Só depois disso o código deveria ser modificado.

Agent Skills e Plugin Check resolvem problemas diferentes

É importante não tratar as duas ferramentas como concorrentes.

Elas atuam em momentos diferentes.

As Agent Skills ajudam a responder:

Como a IA deve compreender e trabalhar neste projeto WordPress?

O Plugin Check ajuda a responder:

O código que foi produzido apresenta problemas conhecidos ou viola práticas esperadas para plugins WordPress?

Por isso, a ordem que considero mais interessante é:

Agent Skills
     ↓
IA compreende o projeto
     ↓
Desenvolvimento
     ↓
Plugin Check
     ↓
IA interpreta os resultados
     ↓
Leitura humana
     ↓
Correções
     ↓
Revisão humana
     ↓
Testes em ambiente local
     ↓
Plugin Check novamente

Essa ordem também evita um erro conceitual comum.

O Plugin Check não deveria ser o responsável por ensinar a IA a desenvolver corretamente. Ele deveria ser uma camada posterior de validação.

Workflow mais resumido para desenvolver plugins com IA

Na prática, não precisa ser complicado. Eu resumiria o processo assim:

1. Dê acesso ao projeto e use as Agent Skills: comece pela wordpress-router para que a IA compreenda o projeto e utilize as skills adequadas durante o desenvolvimento.
2. Desenvolva e teste: use a IA normalmente, mas revise o que ela pretende fazer e execute os testes disponíveis no projeto.
3. Valide com o Plugin Check: rode o Plugin Check e use seus prompts para pedir que a IA analise os problemas encontrados.
4. Revise antes de corrigir: leia a análise e só depois autorize as alterações que fizerem sentido. Não mande a IA simplesmente eliminar todos os warnings.
5. Teste e valide novamente: revise o diff, teste o plugin e execute novamente o Plugin Check.

Em resumo:

Agent Skills → Desenvolvimento → Testes → Plugin Check → Análise → Correções → Testes

É um processo simples, mas que adiciona contexto antes da geração do código e validação depois dela.

Um prompt que você pode utilizar

Se você utiliza um agente de programação com acesso ao seu projeto, um prompt inicial pode ser parecido com este:

Analise este projeto como um projeto WordPress. Nesse primeiro prompt darei o contexto, interprete e em seguida me peça para explicar a ideia.

Antes de criar/sugerir criar qualquer código, utilize as Agent Skills do projeto WordPress, começando pela wordpress-router, para identificar o tipo de projeto, ferramentas disponíveis, versões e workflows relevantes.

Utilize as skills específicas necessárias para a tarefa, incluindo wp-plugin-development quando aplicável.

Explique brevemente:

1. como o projeto será estruturado;
2. quais arquivos serão criados;
3. quais APIs do WordPress serão utilizadas;
4. quais riscos ou efeitos colaterais existem;
5. como a aplicação deverá ser testada.

Durante o desenvolvimento, siga as práticas recomendadas do WordPress, prestando atenção especialmente a:

• capabilities e permissões;
• nonces e proteção contra CSRF;
• sanitização de entrada;
• escaping de saída;
• internacionalização;
• consultas SQL;
• APIs nativas do WordPress;
• carregamento de scripts e estilos;
• performance;
• compatibilidade com as versões declaradas.

E após criar, revisar se é o que você quer e chegar no ponto que ache que está pronto, você pode ter um prompt assim:

Terminamos a primeira etapa de implementação. Analise este plugin considerando também as regras utilizadas pelo Plugin Check, na pasta /wp-content/plugins/plugin-check/prompts. Verifique especialmente segurança, capabilities, nonces, sanitização, escaping, internacionalização, consultas SQL, performance e utilização das APIs do WordPress.

O Plugin Check garante que meu plugin será aprovado no WordPress.org?

Não, e é importante deixar isso claro.

O Plugin Check ajuda a identificar muitos dos problemas que seriam detectados durante o processo de revisão do diretório oficial, mas ele não substitui totalmente a revisão humana realizada pela equipe responsável pelo WordPress Plugin Directory.

Da mesma forma, passar no Plugin Check não significa automaticamente que um plugin não possui bugs, vulnerabilidades, tem boa arquitetura ou boa usabilidade, ou não apresenta problemas de performance.

Ele deve ser tratado como uma camada de qualidade. Não como um certificado de que o plugin está perfeito.

Conclusões:

Use IA dentro de um processo, não como um processo

Talvez essa seja a principal ideia que quero deixar.

O debate sobre IA e desenvolvimento costuma se concentrar em quanto código um modelo consegue produzir, mas, para mim, uma questão mais interessante é: como criar um processo no qual a IA consiga tomar decisões melhores?

No caso do WordPress, já temos ferramentas muito interessantes para isso, como vimos neste artigo:

• Agent Skills para fornecer contexto e instruções especializadas durante o desenvolvimento.
• Plugin Check para validar o código produzido.
• IA para ajudar a interpretar problemas e propor correções.
• Testes automatizados para verificar comportamento.
• Revisão humana para avaliar decisões e contexto.

Isso cria algo muito mais confiável do que simplesmente entregar uma tarefa para uma IA e aceitar o código produzido.

A IA não precisa saber tudo sobre WordPress

Quando utilizamos uma IA para desenvolver WordPress, não precisamos depender exclusivamente daquilo que o modelo já sabe.

Podemos fornecer contexto, documentação, skills e ferramentas específicas do ecossistema para orientar melhor suas decisões. Isso também torna o desenvolvimento menos dependente de um modelo específico, já que modelos, ferramentas, APIs e boas práticas continuarão evoluindo.

Por isso, talvez a pergunta mais útil não seja “Essa IA sabe desenvolver WordPress?” mas sim “Que contexto e ferramentas posso fornecer para que essa IA trabalhe melhor com WordPress?”

Essa mudança de abordagem é, para mim, uma das partes mais interessantes do uso de Inteligência Artificial no desenvolvimento WordPress, e mudou totalmente a forma que eu trabalho: não confiar cegamente no que a IA sabe, mas criar condições para que ela trabalhe melhor — e continuar revisando o resultado.

A inteligencia dela é artificial, a nossa não deveria ser! (frase de impacto pra fechar bem o artigo e é isso, fui).

Curtiu? Deixa o comentário abaixo vai, ajuda o pobre criador de conteúdo aqui!