Actualizado el 20 de octubre de 2026.
Si utilizas el plugin Semly, empieza por su documentación de conexión. El diagnóstico siguiente sigue referido a la API REST estándar de WordPress; la contraseña de aplicación no es un requisito del mecanismo de emparejamiento del plugin Semly.
Documentación del plugin Semly
Este procedimiento se aplica a WordPress autoalojado y su API REST estándar. WordPress.com o un conector concreto pueden utilizar otros mecanismos.
Identificar la petición
Registra método HTTP, URL sin secretos, hora, estado, tipo de contenido y los campos code y message, cuando existan. La ruta de entradas estándar es /wp-json/wp/v2/posts. Un subdirectorio o un tipo de contenido personalizado puede cambiar la dirección.
Consulta el índice /wp-json/. La forma ?rest_route=/wp/v2/posts puede ayudar a diagnosticar la reescritura de URL. Leer una ruta no demuestra permiso para crear una entrada.
Interpretar el estado con contexto
| Estado | Comprobar |
|---|---|
| 401 | Credenciales, mecanismo de autenticación, HTTPS y transmisión de Authorization |
| 403 | Capacidades del usuario, extensión de seguridad, cortafuegos de aplicaciones o proxy |
| 404 | Dirección, método, ruta, subdirectorio e identificador de entrada |
El estado por sí solo no identifica la causa. rest_cannot_create no demuestra que la autenticación haya funcionado. Un intermediario también puede devolver JSON; contrasta el resultado con los registros del administrador.
Verificar sin revelar credenciales
Para un cliente externo compatible, utiliza sobre HTTPS una contraseña de aplicación vinculada al usuario previsto. No guardes la contraseña principal ni el valor de Authorization en registros o tickets. Comprueba que la cabecera llega sin registrar su contenido.
Leer /wp-json/wp/v2/users/me puede confirmar la identidad, pero no el permiso para crear o publicar. La autenticación por cookies y nonce es un mecanismo distinto: no mezcles sus requisitos con los de contraseñas de aplicación.
Probar un borrador
En tu propio sitio, prepara un POST a https://example.com/wp-json/wp/v2/posts, configura la autenticación en el cliente y usa Content-Type: application/json:
{"title":"API test","content":"Test","status":"draft"}
Comprueba el identificador devuelto, el estado y el borrador en la administración. Si no sabes si se creó, busca la entrada antes de repetir el POST. El criterio de éxito es un borrador guardado y legible; publicar exige capacidades adicionales.
Entregar un diagnóstico útil
Envía al responsable hora, método, URL y respuesta sin secretos. Corrige la causa confirmada. No asignes el rol de administrador ni desactives todas las protecciones solo para superar la prueba.
