Usar a API REST do WordPress com um assistente de IA

A API REST do WordPress expõe endpoints estruturados que aplicações autorizadas podem usar para recuperar ou alterar recursos do WordPress. Um assistente de IA normalmente não chama esses endpoints com segurança por mágica: ele precisa de uma ferramenta, script ou conector que construa solicitações, faça a autenticação e devolva a resposta em uma forma utilizável.

O WordPress continua avaliando as capacidades do usuário autenticado. Uma credencial válida pode recuperar alguns recursos e ser recusada para outros. Comece com solicitações GET e uma identidade dedicada somente para leitura.

Em uma frase: A API REST é uma superfície de transporte; a autenticação e as capacidades do WordPress continuam sendo a autoridade sobre o que o assistente pode fazer.

O que este guia ajuda você a realizar

Este guia explica a arquitetura sem transformar o site em uma referência bruta de API. Ele mostra onde credenciais, wrappers, esquemas, paginação, erros e verificações de permissão se encaixam em um fluxo de trabalho de IA.

Um fluxo de trabalho de IA útil não é definido apenas pela qualidade da resposta. Também é definido pelos dados que o assistente pode alcançar, pelas ações que pode realizar, pelas evidências que você pode inspecionar depois e pela facilidade com que o acesso pode ser removido.

Por que isso importa

REST está amplamente disponível e é compreensível, o que a torna uma ponte prática entre assistentes e WordPress. Ela também torna fáceis atalhos inseguros: credenciais codificadas, usuários amplos, consultas sem limite e escritas diretas a partir de uma instrução não revisada.

Uma integração segura envolve a API em ferramentas restritas, valida entradas, limita saídas e deixa o WordPress realizar a verificação final de autorização.

Resultado esperado

Uma execução bem-sucedida deve produzir:

• Um endpoint REST e um método HTTP documentados para a tarefa.
• Uma credencial dedicada e um limite de capacidades do WordPress.
• Um esquema de ferramenta restrito exposto ao assistente.
• Uma resposta paginada e verificável.
• Tratamento claro para erros de autenticação, autorização e validação.

O caminho da solicitação

O assistente decide que precisa de dados, chama uma ferramenta, e a ferramenta envia uma solicitação HTTPS a um endpoint REST do WordPress. O WordPress autentica a credencial, verifica a rota e as capacidades do usuário, valida parâmetros, executa a operação e retorna uma resposta HTTP. Em seguida, a ferramenta entrega um resultado estruturado ao assistente.

Cada camada pode falhar de maneira diferente. Tratar todas as falhas como «a IA não consegue se conectar» dificulta o diagnóstico.

Use ferramentas restritas em vez de HTTP arbitrário

Uma ferramenta como list_recent_posts é mais segura que uma ferramenta genérica send_http_request. A ferramenta restrita pode impor um limite de registros, status permitidos, campos retornados e método HTTP. Ela também reduz a chance de conteúdo não confiável convencer o assistente a chamar um endpoint sem relação com a tarefa.

Autenticação e autorização

As senhas de aplicação do WordPress destinam-se ao acesso de API e podem ser revogadas individualmente. Elas autenticam um usuário do WordPress; não criam novas capacidades. A permissão efetiva ainda é determinada pelo usuário e pelo endpoint.

Use HTTPS, armazene a credencial fora do controle de código-fonte e dê a ela o nome da integração específica para que possa ser identificada depois.

Tratamento da resposta

Trate explicitamente paginação, campos ausentes, tipos de post personalizados, esquemas específicos de plugins e erros HTTP. O assistente não deve inventar registros omitidos pela paginação nem presumir que um campo ausente está vazio.

Para escritas, preserve o ID do registro, o valor anterior, o novo valor e a resposta para que a alteração possa ser revisada ou revertida.

Um fluxo de trabalho seguro

1. Identifique o recurso exato e o endpoint exigidos para a tarefa.
2. Crie uma identidade WordPress dedicada com capacidades mínimas.
3. Gere ou configure uma credencial de API revogável por HTTPS.
4. Exponha uma ferramenta restrita com entradas validadas e saída limitada.
5. Teste uma pequena solicitação GET e verifique a paginação e os campos.
6. Teste uma operação proibida e classifique a resposta HTTP.
7. Adicione registros que excluam credenciais e conteúdo desnecessário.
8. Revogue a credencial após o teste ou quando a integração for encerrada.

Receita de instrução

Antes de copiar esta instrução, substitua cada valor entre colchetes. Não cole credenciais, dados de clientes ou informações privadas na instrução.

Use a ferramenta REST do WordPress para listar posts publicados modificados após [YYYY-MM-DD].

Restrições:
- Somente leitura.
- Máximo de 25 registros por solicitação.
- Siga a paginação até não haver registros adicionais, mas pare após 100 registros no total.
- Retorne ID, título, URL, status e marca de tempo de modificação.
- Informe o total de registros recuperados e o número de solicitações de API.
- Se o endpoint ou um campo não estiver disponível, informe o erro exato. Não infira dados ausentes.

Por que a instrução é estruturada desta forma

A instrução torna explícitos a paginação e o escopo máximo. Ela pede o número de solicitações para que um operador possa detectar uma recuperação incompleta ou inesperadamente cara.

Limite de acesso recomendado

Use uma identidade somente para leitura. O assistente pode inspecionar os dados do WordPress incluídos em seu escopo, mas qualquer tentativa de criar, editar, excluir ou publicar conteúdo deve ser recusada.

Esse fluxo de trabalho pode influenciar decisões editoriais ou criar alterações não publicadas. Mantenha o escopo restrito e revise cada alteração proposta.

O nível de acesso é uma recomendação inicial, não um direito universal. As capacidades exatas do WordPress disponíveis para uma identidade devem vir da versão instalada do produto e de sua cobertura publicada, não apenas deste artigo.

O que deve permanecer fora da tarefa

• Não exponha uma ferramenta HTTP arbitrária genérica, a menos que seu risco seja governado separadamente.
• Não codifique credenciais em código, instruções ou documentação.
• Não presuma que a autenticação implica permissão para toda rota.
• Não escreva em produção antes de a mesma solicitação ter sido testada com segurança.

Como o WP Agent Control se encaixa

A pasta privada guiada para Claude Code ou Codex usa REST do WordPress e uma senha de aplicativo com perfil dedicado somente para leitura. Os perfis existentes Read Only, Draft, Content Editor e Publisher permanecem nas opções avançadas. Não são convertidos automaticamente para OAuth nem recebem o modelo remoto de tarefas e aprovação exata.

Obtenha informações estruturadas do site e inspecione páginas publicadas selecionadas após conectar. Essa leitura pública não exige tarefa temporária. Você também pode visitar páginas públicas sem o plugin; o Agent Control acrescenta acesso estruturado e continuidade para o trabalho autorizado no WordPress.

Conectar sua IA: docs first profile · Ver recursos e compatibilidade: coverage

Lista de verificação

• ☐ O endpoint e o método estão documentados.
• ☐ A ferramenta tem entradas e saídas limitadas.
• ☐ A credencial é revogável e armazenada fora do controle de código-fonte.
• ☐ A paginação está completa e limitada.
• ☐ Uma ação negada retorna a resposta de autorização esperada.
• ☐ Os registros não contêm segredo.

Modos de falha comuns

• Expor HTTP bruto: O assistente pode alcançar mais endpoints que o necessário para a tarefa.
• Ignorar a paginação: O assistente informa um conjunto de dados parcial como completo.
• Confundir 401 e 403: Problemas de autenticação e autorização exigem correções diferentes.
• Registrar cabeçalhos: A saída de depuração pode vazar senhas de aplicação ou tokens.

Nota avançada

Para produção, defina um esquema de ferramenta tipado sobre a API REST, valide os formatos de resposta e preserve IDs de solicitação ou correlação. Limites de taxa, novas tentativas e idempotência devem ser explícitos para escritas. Um modelo de linguagem genérico nunca deve ser responsável por inventar caminhos brutos de endpoints a partir de conteúdo de página não confiável.

Guias relacionados

• Senhas de aplicação do WordPress para conexões de IA
• API REST do WordPress vs MCP: qual você deve usar?
• Analisar um site com IA ou conectar a IA ao WordPress
• Erros de conexão do WordPress AI: por que 401 e 403 podem ser úteis

Continuar

Próxima etapa: abra Qual nível de acesso ao WordPress você deve dar a uma IA?, escolha o menor nível de acesso adequado e siga o guia de conexão relevante. Quando estiver pronto para criar uma identidade separada e revogável, consulte Produto ou inicie a avaliação Solo de 7 dias.