← Todas las entradas

Explicación

WordPress y la IA: lo que su API REST permite de verdad

La API REST de WordPress es la interfaz con la que WordPress habla consigo mismo —el editor de bloques está construido encima de ella— y es también por donde un asistente como ChatGPT o Claude puede leer y escribir en tu web. Cubre más que ninguna otra plataforma para la que hemos construido: 12 de los 14 trabajos de nuestra lista. Los dos que deja fuera son las redirecciones y el trabajo por lotes, y los dos faltan por motivos que no tienen que ver con que WordPress sea limitado.

Publicado el 20 de octubre de 2026 · Última revisión: 20 de octubre de 2026

Casi todo el mundo conoce esta API como una dirección: `/wp-json/wp/v2/posts`. En una web sin enlaces permanentes bonitos contesta en `/?rest_route=/wp/v2/posts`, y eso conviene saberlo desde el principio, porque en esas webs la primera forma devuelve un 404 y ese 404 es idéntico al de tener la API apagada.

Dónde está y cómo saber si está encendida

Abre `https://tu-web/wp-json/` en el navegador. Un muro de JSON significa que está encendida. Un 404 significa una de dos cosas —un plugin la ha apagado, o tu web no usa enlaces permanentes bonitos—, así que prueba `https://tu-web/?rest_route=/` antes de sacar conclusiones. Nuestro comprobador prueba las dos, en ese orden, exactamente por esto.

Esa respuesta lista además los espacios de nombres que WordPress tiene registrados, y la lista es más útil de lo que parece. `yoast/v1` significa que está Yoast SEO instalado; `rankmath/v1`, que está Rank Math. Nuestro adaptador la lee a propósito, porque qué plugin de SEO tiene una web es lo que decide si se pueden escribir campos de SEO: el núcleo de WordPress no tiene meta descripción propia que escribir.

Cómo se deja entrar a algo

Con una contraseña de aplicación, que es la respuesta del propio WordPress a esta pregunta y la mejor respuesta de todas las plataformas de esta lista. Es una credencial aparte, creada para una aplicación, que aparece en tu perfil y se revoca sola sin tocar tu forma de entrar.

1. En WordPress, entra en Usuarios → Perfil.
2. Baja hasta Contraseñas de aplicación y crea una, con el nombre de aquello que vaya a usarla.
3. Cópiala una vez: WordPress no volverá a enseñártela. Se muestra con espacios, y los espacios son decoración; se puede pegar tal cual.

Qué deja hacer la API a un asistente

12 de los 14 trabajos de nuestra lista. Las dos mitades de abajo las imprime el adaptador de WordPress al cargar la página, así que son los trabajos que el software intentará de verdad.

Las dos listas las genera el adaptador de esa plataforma al cargar la página, así que son lo que el software intentará y no lo que nos gustaría decir. El trabajo por lotes es la única fila vacía en todas las plataformas: ningún adaptador lo reclama todavía, y la página de automatización lo dice también.

Las tres cosas que conviene saber antes de confiar en ella

Ninguna es motivo para no usarla. Son los sitios donde "WordPress puede con todo" deja de ser cierto, y es mejor leerlos aquí que descubrirlos a mitad de algo.

• Lo que tiene una actualización pendiente no está en la API REST. No hay ninguna ruta del núcleo que diga qué plugins necesitan actualizarse. La nuestra viene de un plugin acompañante pequeño, y solo lee: en este producto nada instala, activa ni actualiza nada, y eso fue una decisión y no una función a medias.
• Las redirecciones no son de WordPress. Son del plugin que uses para ellas, y cada uno las guarda a su manera. No reclamamos nada ahí en vez de adivinar las tablas de un plugin y equivocarnos en una web que use otro.
• Los campos de SEO dependen de tu plugin de SEO. Yoast y Rank Math exponen los suyos por la API REST, y por eso importa leer esa lista de espacios de nombres. Una web sin ninguno de los dos no tiene campos de SEO donde escribir, y una herramienta que dijera lo contrario estaría escribiendo en el vacío.

El fallo que no es culpa de WordPress

Buena parte de los avisos de "la API REST está rota" son el cortafuegos del alojamiento. ModSecurity en alojamiento compartido rechaza con un 403 o un 406 las peticiones que llevan un agente de usuario de programa, o una dirección completa dentro de la consulta, y lo hace antes de que WordPress se ejecute: no aparece en ningún registro de WordPress y la web se ve perfecta en el navegador. Por eso enviamos un agente de usuario de navegador normal desde nuestro servidor y mantenemos las direcciones completas fuera de las consultas. Si una llamada funciona desde tu portátil y falla desde un servidor, esto es lo primero que hay que sospechar y lo más fácil de pasar por alto.