Imagen: jamesmarkosborne / Pixabay
Para conectar una herramienta de inteligencia artificial a WordPress sin instalar plugins pesados, usa la API REST que WordPress trae de fábrica y autentícate con una «contraseña de aplicación»: creas un usuario con permisos limitados, generas su contraseña de aplicación desde el perfil y tu script o servicio de IA envía peticiones HTTPS a /wp-json/wp/v2/ para leer, crear o editar entradas. Así evitas plugins que cargan el sitio y mantienes el control de lo que la IA puede hacer.
Qué necesitas antes de empezar
- WordPress actualizado (las contraseñas de aplicación están integradas en el núcleo desde la versión 5.6).
- Tu sitio funcionando con HTTPS: WordPress solo habilita las contraseñas de aplicación en conexiones seguras de forma predeterminada.
- Acceso de administrador para crear usuarios.
- Una herramienta para probar peticiones: la terminal con
curl, Postman o un pequeño script en Node.js o Python.
Paso 1. Comprueba que la API REST responde
Abre en el navegador: https://tusitio.com/wp-json/wp/v2/posts?per_page=1. Si ves un texto en formato JSON con tu última entrada, la API está activa. Si aparece un error, revisa si algún plugin de seguridad o el servidor bloquea /wp-json/.
Paso 2. Crea un usuario exclusivo para la integración
No uses tu cuenta de administrador. Ve a Usuarios → Añadir nuevo y crea, por ejemplo, «integracion-ia» con el rol mínimo necesario:
- Colaborador: puede crear borradores, pero no publicar. Ideal si quieres revisar todo antes de publicar.
- Autor: puede publicar sus propias entradas y subir imágenes.
- Editor: puede editar entradas de otros. Úsalo solo si realmente lo necesitas.
Paso 3. Genera una contraseña de aplicación
- Entra como administrador y edita el perfil del usuario «integracion-ia».
- Baja hasta Contraseñas de aplicación.
- Escribe un nombre descriptivo (por ejemplo, «Script de borradores IA») y pulsa Añadir nueva contraseña de aplicación.
- Copia la contraseña que aparece; WordPress no la volverá a mostrar.
Puedes revocar esa contraseña en cualquier momento sin cambiar la contraseña normal del usuario.
Paso 4. Prueba la autenticación
Desde la terminal, consulta el usuario autenticado (sustituye los datos):
curl -u "integracion-ia:xxxx xxxx xxxx xxxx xxxx xxxx" \
https://tusitio.com/wp-json/wp/v2/users/meSi la respuesta muestra el nombre del usuario, la conexión funciona.
Paso 5. Crea un borrador desde tu herramienta de IA
Este ejemplo crea una entrada en estado borrador:
curl -u "integracion-ia:xxxx xxxx xxxx xxxx xxxx xxxx" \
-H "Content-Type: application/json" \
-X POST https://tusitio.com/wp-json/wp/v2/posts \
-d '{"title":"Título generado","content":"<p>Texto del artículo</p>","status":"draft"}'El mismo principio aplica a un script en Node.js:
const usuario = "integracion-ia";
const clave = process.env.WP_APP_PASSWORD; // nunca escribas la clave en el código
const auth = Buffer.from(`${usuario}:${clave}`).toString("base64");
const respuesta = await fetch("https://tusitio.com/wp-json/wp/v2/posts", {
method: "POST",
headers: {
"Authorization": `Basic ${auth}`,
"Content-Type": "application/json"
},
body: JSON.stringify({
title: "Título generado por IA",
content: "<p>Contenido revisado</p>",
status: "draft"
})
});
console.log(respuesta.status, await respuesta.json());En un flujo real, tu script primero llama a la API del servicio de IA que uses, recibe el texto y luego lo envía a WordPress como borrador para revisión humana.
Paso 6. Exponer campos SEO de forma segura (opcional)
Los campos de Yoast SEO se guardan como metadatos protegidos y no aparecen en la API REST por defecto. Si quieres que tu integración pueda escribir el título SEO o la metadescripción, regístralos con permiso de edición. Lo más limpio es un pequeño archivo en wp-content/mu-plugins/ (un «must-use plugin»), en lugar de modificar el tema:
<?php
add_action( 'init', function () {
$campos = array( '_yoast_wpseo_title', '_yoast_wpseo_metadesc', '_yoast_wpseo_focuskw' );
foreach ( $campos as $campo ) {
register_post_meta( 'post', $campo, array(
'show_in_rest' => true,
'single' => true,
'type' => 'string',
'auth_callback' => function () {
return current_user_can( 'edit_posts' );
},
) );
}
} );Haz una copia de seguridad antes de añadir código y pruébalo primero en un sitio de pruebas.
Buenas prácticas de seguridad
- Guarda las claves en variables de entorno, nunca dentro del código ni en repositorios públicos.
- Usa permisos mínimos y una contraseña de aplicación distinta por cada integración.
- Publica primero como borrador y revisa el contenido generado por IA: verifica datos, enlaces y fuentes.
- Registra lo que hace la integración (qué creó y cuándo) para detectar errores o duplicados.
- Revoca la contraseña si dejas de usar la herramienta o sospechas una filtración.
Errores comunes
- 401 Unauthorized: usuario o contraseña de aplicación incorrectos, o el servidor elimina la cabecera
Authorization. Algunos hostings con Apache requieren ajustar el archivo.htaccesspara pasarla a PHP; consulta a tu proveedor. - 403 Forbidden: el rol del usuario no tiene permiso para esa acción, o un plugin de seguridad bloquea la petición.
- Las contraseñas de aplicación no aparecen: el sitio no usa HTTPS o un plugin las desactivó.
Preguntas frecuentes
¿Necesito un plugin para usar la API REST?
No. La API REST y las contraseñas de aplicación vienen incluidas en WordPress.
¿Puedo subir imágenes por la API?
Sí, mediante el endpoint /wp-json/wp/v2/media, con un usuario que tenga permiso para subir archivos.
Conclusión
Con un usuario de permisos limitados, una contraseña de aplicación y la API REST nativa, puedes conectar cualquier herramienta de IA a WordPress de forma ligera y segura. Si te interesa elegir el asistente adecuado, revisa nuestra comparativa Claude Pro vs. ChatGPT Plus.
Fuentes consultadas
- WordPress Developer Resources: REST API Handbook.
- WordPress Developer Resources: register_post_meta().
- Make WordPress Core: guía de integración de contraseñas de aplicación.
Actualizado: 15 de octubre de 2026.
