Comment construire un plugin ou une application avec l'IA intégrée, par exemple en intégrant l'API Claude dans un plugin WordPress ?

Question

Accepted Answer

Vous construisez l'IA dans une application en appelant l'API du modèle **côté serveur** et en traitant sa sortie comme une entrée non approuvée. Pour Claude, cela signifie appeler l'**API Messages** depuis votre backend (PHP, pour un plugin WordPress) avec la clé API conservée sur le serveur — jamais en JavaScript côté client, où n'importe qui pourrait la voler.

## L'appel côté serveur

La règle clé : la **clé API se trouve sur le serveur**. Le navigateur parle à *votre* endpoint ; *votre* endpoint parle à Claude.

```php
<?php
// In a WordPress plugin: run this in PHP (server-side), never expose the key to JS.
$resp = wp_remote_post( 'https://api.anthropic.com/v1/messages', [
  'headers' => [
    'x-api-key'         => getenv( 'ANTHROPIC_API_KEY' ), // from env/secret store, not code
    'anthropic-version' => '2023-06-01',
    'content-type'      => 'application/json',
  ],
  'timeout' => 30,
  'body' => wp_json_encode( [
    'model'      => 'claude-sonnet-4-5',   // pick a current model id
    'max_tokens' => 1024,                   // cap output → controls cost
    'messages'   => [
      [ 'role' => 'user', 'content' => $user_prompt ],
    ],
  ] ),
] );

if ( is_wp_error( $resp ) ) { /* handle network/timeout errors, maybe retry */ }
$data = json_decode( wp_remote_retrieve_body( $resp ), true );
$text = $data['content'][0]['text'] ?? '';   // validate before trusting/displaying it
```

## Au-delà des bases

```text
- TOOL USE / FUNCTION CALLING → let the model call your functions (search, DB lookup)
- STREAMING                   → stream tokens for a responsive UI on long answers
- PROMPT CACHING              → cache a large static system prompt → cheaper, faster
- STRUCTURED OUTPUT           → ask for JSON, then parse + schema-validate it
- ERRORS & RATE LIMITS        → handle 429/5xx with backoff + retry; show a fallback
- COST                        → cap max_tokens, log token usage, set per-user limits
```

Toujours **valider la sortie du modèle avant de l'utiliser** : ne l'exécutez jamais en tant que code, ne la restituez pas sans échappement, ou ne l'écrivez pas dans votre BD sans vérification. Le modèle est un générateur de texte puissant mais faillible, pas une source de confiance.

## Pourquoi c'est important

Livrer l'IA à l'intérieur d'un vrai produit consiste surtout en l'ingénierie ennuyeuse mais critique autour de l'appel, pas l'appel lui-même. Garder la clé côté serveur prévient le vol et les factures vertigineuses ; gérer les erreurs, les limites de débit et les coûts maintient la fiabilité et l'économie de la fonctionnalité ; et valider la sortie avant d'agir dessus prévient que les erreurs du modèle ou une instruction injectée deviennent une faille de sécurité. Faire ça correctement et l'API Messages devient un élément de construction fiable ; les sauter et une démo impressionnante se transforme en clé divulguée, une facture surprise, ou une exploitation.