Conectar una IA con WordPress no consiste en darle la contraseña del administrador y esperar que haga magia. Consiste en definir qué puede consultar, qué acciones puede ejecutar y con qué límites. Ahí entran dos piezas distintas, pero compatibles: la REST API de WordPress y MCP, un protocolo pensado para que las aplicaciones de IA se conecten con herramientas y datos externos.
La combinación permite usar WordPress como backend de un asistente que consulta artículos, prepara borradores, revisa contenido o actualiza información. Pero hay una diferencia que conviene tener clara desde el principio: la REST API ofrece las rutas para hablar con WordPress; MCP puede presentar esas capacidades a un modelo de IA de una forma más ordenada y fácil de descubrir.
La arquitectura no tiene por qué ser aparatosa. En muchos proyectos, WordPress conserva los datos y las reglas de negocio, la REST API los expone y un servidor MCP actúa como puente hacia el cliente de IA. La parte delicada no es conectar los cables. Es decidir hasta dónde queremos que llegue el asistente.
Qué significa usar WordPress como backend para IA
Un backend es el sistema que guarda y organiza datos, aplica permisos y responde a solicitudes de otras aplicaciones. WordPress puede ocupar ese lugar aunque la interfaz no sea la web tradicional: el contenido podría consultarse desde un chatbot, una herramienta interna, una aplicación móvil o un flujo automatizado.
La REST API de WordPress es la interfaz que permite a otros sistemas leer y modificar recursos mediante solicitudes HTTP y respuestas en JSON. En una instalación estándar, por ejemplo, existen rutas para consultar publicaciones, páginas, categorías y usuarios. La documentación oficial de la REST API de WordPress explica cómo se organizan esas rutas y cómo ampliar la interfaz con recursos propios.
Una IA podría utilizar esa conexión para resolver tareas concretas: buscar artículos publicados sobre un tema, recuperar metadatos, proponer un borrador o consultar el estado de una publicación. Dicho de manera sencilla: WordPress sigue siendo el sistema de gestión; la IA se convierte en otro cliente que lo utiliza, sujeto a las reglas que configuremos.
Una distinción que evita confusiones
La REST API no es un modelo de IA ni entiende instrucciones en lenguaje natural por sí sola. Expone operaciones técnicas, como consultar una colección o actualizar un recurso. MCP tampoco sustituye a WordPress: define una forma estandarizada para que una aplicación de IA descubra y utilice herramientas, recursos y otros elementos que ofrece un servidor.
Por eso, cuando se habla de WordPress y IA con MCP y REST API como backend, normalmente se habla de una arquitectura en capas, no de dos tecnologías que compitan por hacer exactamente lo mismo.
REST API: la puerta de entrada a los datos de WordPress
La REST API forma parte del núcleo de WordPress y utiliza una estructura basada en rutas. En muchos sitios, los endpoints de contenido están disponibles bajo /wp-json/wp/v2/. Una solicitud a la ruta de publicaciones, por ejemplo, puede devolver títulos, fechas, extractos y otros campos en formato JSON. La información concreta disponible depende del tipo de contenido, de su configuración y de los permisos del usuario que realiza la petición.
La API sirve tanto para leer como para escribir, pero eso no significa que cada integración deba tener acceso a todo. Una conexión que solo necesita localizar artículos puede diseñarse con permisos de lectura. Otra que crea borradores requerirá permisos adicionales. Separar esas necesidades reduce el daño posible si una credencial se filtra o una automatización se comporta mal.
Autenticación y permisos: la parte menos vistosa y más decisiva
Para contenido público, algunas consultas pueden hacerse sin iniciar sesión. Para editar publicaciones, acceder a información privada o ejecutar acciones restringidas hace falta autenticación. WordPress ofrece varios mecanismos; las contraseñas de aplicación son una opción documentada para integraciones que necesitan autenticarse mediante la API. La guía oficial sobre autenticación en la REST API detalla sus alternativas y requisitos.
Una buena práctica es crear una cuenta específica para la integración, asignarle solo las capacidades necesarias y guardar sus credenciales fuera del código público. No conviene reutilizar la cuenta personal de administración para un agente automático. Si la IA solo debe redactar, puede dejar el contenido como borrador para que una persona lo revise antes de publicarlo.
También importa el diseño de las rutas. Los tipos de contenido personalizados y sus campos no siempre quedan disponibles de forma automática: hay que registrarlos para su exposición en la API y definir qué información puede verse o modificarse. La REST API ofrece flexibilidad, pero esa flexibilidad exige tomar decisiones explícitas.
MCP: una capa de herramientas para los modelos
MCP, sigla de Model Context Protocol, es un protocolo abierto para conectar aplicaciones de IA con fuentes de datos y herramientas. Un servidor MCP puede describir capacidades disponibles para un cliente: por ejemplo, buscar contenido, recuperar una página o crear un borrador. La introducción oficial de Model Context Protocol presenta el modelo cliente-servidor y los conceptos principales.
En un proyecto con WordPress, MCP no suele reemplazar las rutas existentes. El servidor MCP puede llamar a la REST API por debajo y ofrecer al modelo funciones más claras y acotadas. En lugar de pedirle que construya una petición HTTP genérica, se le ofrece una herramienta llamada, por ejemplo, “buscar artículos publicados” con parámetros definidos y una respuesta controlada.
¿Qué aporta esa capa?
- Capacidades más comprensibles: el agente puede descubrir herramientas con nombres y descripciones orientados a tareas.
- Menos acoplamiento: el cliente de IA no necesita conocer todos los detalles internos de WordPress.
- Más control: el servidor puede validar parámetros, limitar resultados y bloquear operaciones sensibles.
- Reutilización: distintos clientes compatibles con MCP pueden conectarse a un conjunto de herramientas común.
Un detalle que suele pasarse por alto: añadir MCP no mejora automáticamente la calidad de las respuestas del modelo. Si el contenido de WordPress está desactualizado, mal etiquetado o lleno de duplicados, el asistente seguirá trabajando con ese material. MCP facilita la conexión; no ordena el archivo editorial por nosotros.
Cómo se combinan MCP y REST API en una arquitectura práctica
Una arquitectura habitual tiene cuatro piezas: WordPress, su REST API, un servidor MCP y un cliente de IA. El cliente recibe una petición en lenguaje natural; el modelo elige una herramienta disponible; el servidor MCP valida la solicitud y consulta WordPress a través de la REST API; después devuelve al cliente una respuesta preparada para continuar la conversación.
Imaginemos que alguien pregunta: “¿Qué publicamos sobre movilidad eléctrica el año pasado?”. El agente puede invocar una herramienta de búsqueda con el tema y el intervalo temporal. El servidor MCP traduce esa petición en una consulta permitida a WordPress, recupera los resultados y devuelve títulos, fechas y enlaces. Si la persona pide después “prepara un borrador con una actualización”, el agente puede usar una segunda herramienta, pero quizá solo crear un borrador, nunca publicarlo directamente.
La separación entre herramientas de lectura y de escritura ayuda a mantener el sistema bajo control. Una implementación puede empezar con consultas de solo lectura y añadir operaciones de escritura cuando exista una razón concreta. También es razonable pedir confirmación humana antes de publicar, borrar contenido o modificar datos que afecten a clientes.
Un ejemplo de reparto de responsabilidades
- WordPress: conserva entradas, páginas, usuarios, taxonomías y permisos.
- REST API: expone rutas y operaciones sobre esos recursos.
- Servidor MCP: presenta un conjunto reducido de herramientas y valida las solicitudes del modelo.
- Cliente de IA: interpreta la petición de la persona y decide qué herramienta disponible utilizar.
La clave es que el modelo no debería recibir acceso ilimitado a las capacidades de WordPress. Conviene ofrecer acciones pequeñas, previsibles y con nombres claros. “Crear un borrador en la categoría X” es más controlable que “ejecutar cualquier operación disponible en el sitio”.
Seguridad, límites y errores que conviene evitar
Una integración con IA puede amplificar errores. Un usuario puede pedir una acción inesperada; un modelo puede interpretar mal una instrucción; una respuesta externa puede incluir texto diseñado para manipular al agente. Por eso, el servidor MCP y la API deben tratar cada solicitud como entrada no confiable, aunque venga de una herramienta que hayamos configurado nosotros.
La guía de OWASP sobre riesgos de seguridad en API recoge problemas habituales como los controles de acceso insuficientes, la exposición de datos y la falta de límites de consumo. Para una conexión con WordPress, eso se traduce en medidas concretas: validar cada parámetro, comprobar permisos en el servidor, limitar el número de resultados y registrar las operaciones relevantes.
También es prudente evitar que el modelo reciba secretos, datos personales innecesarios o respuestas completas cuando solo necesita un resumen. Si una consulta devuelve cien campos y el agente requiere tres, enviar los cien no aporta inteligencia: aumenta la superficie de exposición y el ruido.
Una lista breve antes de ponerlo en marcha
- Usar HTTPS y credenciales dedicadas, con permisos mínimos.
- Separar las herramientas de lectura de las que modifican contenido.
- Limitar operaciones sensibles y solicitar aprobación humana cuando corresponda.
- Validar entradas y controlar el volumen de solicitudes y resultados.
- Guardar registros suficientes para investigar cambios sin almacenar más datos personales de los necesarios.
WordPress organiza las capacidades mediante roles y permisos. Revisar cómo funcionan los roles y capacidades de WordPress ayuda a diseñar una cuenta de integración con privilegios ajustados. Para un repaso más amplio de conceptos de API y su uso, la documentación de desarrollo de WordPress es un buen punto de partida técnico.
Dudas que suelen aparecer antes de conectar una IA
¿MCP es obligatorio para conectar una IA con WordPress?
No. Una aplicación puede comunicarse directamente con la REST API si sus necesidades son sencillas y el cliente sabe gestionar esa conexión. MCP tiene sentido cuando se quiere ofrecer un conjunto de herramientas reutilizable y compatible con clientes que entienden el protocolo.
¿WordPress ya trae MCP instalado?
La REST API forma parte del núcleo de WordPress; MCP es una capa distinta y no debe confundirse con una función equivalente integrada de serie. Para usar MCP hace falta implementar o instalar un servidor que exponga las capacidades deseadas y lo conecte con WordPress, normalmente mediante la API.
¿Puede la IA publicar artículos sin que nadie los revise?
Técnicamente, una integración con permisos de escritura puede hacerlo. Que sea una buena idea depende del tipo de contenido, del riesgo y de los controles disponibles. Para la mayoría de equipos editoriales, empezar con borradores y aprobación humana evita que un error bien redactado acabe en portada.
¿La REST API sirve también para tipos de contenido personalizados?
Sí, siempre que se registren con la configuración necesaria para exponerlos en la API y se definan sus permisos. Los campos personalizados también pueden requerir ajustes para que estén disponibles en las respuestas o puedan modificarse de forma segura.
¿Qué conviene construir primero?
Una herramienta de solo lectura que resuelva una tarea pequeña: buscar artículos, recuperar datos de una página o consultar una categoría. Así se comprueba la calidad de los resultados y el comportamiento del modelo antes de permitir cambios en el sitio.
La idea de WordPress y IA con MCP y REST API como backend funciona mejor cuando cada pieza tiene un trabajo concreto. WordPress guarda y gobierna el contenido; la REST API lo hace accesible; MCP organiza las herramientas que verá el agente. Empezar con permisos mínimos, operaciones acotadas y una persona al final del proceso no resta automatización. Evita que la automatización se convierta en una apuesta.
