Específico de WordPress Diccionario
REST API
Definición
La REST API de WordPress es una interfaz HTTP JSON en /wp-json/ usada por el editor, apps y muchos plugins.
También se llama: WordPress REST API, WP REST API, wp-json
Última actualización
Por qué importa en WordPress
/wp-json/ es cómo el editor de bloques y un montón de plugins hablan con WordPress. También es superficie de descubrimiento: enumeración de usuarios, rutas autenticadas y endpoints de plugins que olvidan comprobaciones de capacidad. Matar toda la REST API a menudo rompe Gutenberg. El trabajo es entender qué expones, no tirar el fusible a ciegas.
Cómo se ve en la práctica
- Usuarios enumerados vía rutas públicas de autor o usuario (cuando no están restringidas)
- Fuerza bruta o stuffing contra rutas protegidas con contraseñas de aplicación
- Endpoints REST de plugins con callbacks de permiso débiles en write-ups de CVE
- Apps headless o móviles que dependen de namespaces concretos abiertos
Qué hacer
- Mantén WordPress y plugins actualizados; muchos bugs de REST son errores de permiso.
- Prefiere contraseñas de aplicación o flujos tipo OAuth a compartir la contraseña admin principal con apps.
- Limita el ritmo de intentos de auth abusivos igual que harías con
wp-login.php. - Solo desactiva rutas concretas que no necesites, y prueba el editor tras los cambios.
- Trata XML-RPC y REST como superficies hermanas: cierra lo que no uses, endurece lo que sí.
Términos relacionados
Ideas cercanas en el diccionario
- XML-RPC XML-RPC es un endpoint de API antiguo de WordPress que los atacantes suelen abusar para fuerza bruta y amplificación.
- Protección de acceso La protección de acceso es el conjunto de controles que endurecen el inicio de sesión de WordPress frente a bots y ataques de credenciales.
- Limitación de ritmo La limitación de ritmo pone tope a cuántas veces puede ocurrir una acción desde una IP o cuenta, y así frena el abuso automatizado.
- Contraseñas de aplicación Las contraseñas de aplicación son credenciales por app que WordPress puede emitir para que las integraciones se autentiquen sin usar tu contraseña principal.
