Как сделать удалённый вызов REST API в WordPress с авторизацией

Автор: Владимир Громов | Опубликовано: 16.01.2026

Работа с REST API в WordPress стала стандартом для интеграции и взаимодействия с внешними сервисами и мобильными приложениями. Однако часто возникает задача сделать удалённый вызов REST API, который защищён авторизацией. В этой статье разберём, как именно можно правильно организовать удалённый вызов REST API WordPress с использованием различных методов авторизации, а также приведём примеры кода для разработчиков.

Основы REST API в WordPress и зачем нужна авторизация

WordPress REST API позволяет работать с контентом и данными сайта через HTTP-запросы. Для публичных данных, например, постов и страниц, часто авторизация не требуется. Но если нужно получить доступ к защищённым ресурсам — например, создавать, изменять или удалять записи, управлять пользователями, просматривать приватные данные — необходим механизм авторизации.

Без правильной авторизации удалённые вызовы будут получать ошибку 401 Unauthorized или 403 Forbidden. Поэтому необходимо выбрать подходящий способ аутентификации и интегрировать его в запрос.

Важные методы авторизации в WordPress REST API

Cookie Authentication — работает для вызовов с того же домена, когда пользователь уже авторизован в WordPress. Не подходит для внешних приложений.
Basic Authentication — простой метод, передающий логин и пароль в заголовке. Хорош для тестирования, но не безопасен без HTTPS.
OAuth 1.0a — стандартный безопасный протокол для авторизации, требует сложной настройки.
JWT (JSON Web Token) — современный и популярный способ, требует установки дополнительного плагина.

Пример реализации Basic Authentication для удалённого вызова

Для быстрого теста можно использовать Basic Authentication. Сначала нужно установить плагин WP Basic Auth или другой аналогичный плагин, который добавляет поддержку Basic Auth в REST API.

Далее пример PHP-кода для вызова REST API с Basic Auth, например, получение списка постов:

$url = 'https://example.com/wp-json/wp/v2/posts';
$username = 'user';
$password = 'password';

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, [
    'Authorization: Basic ' . base64_encode($username . ':' . $password)
]);

$response = curl_exec($ch);
curl_close($ch);

$data = json_decode($response, true);
print_r($data);

Этот код отправляет GET-запрос с заголовком авторизации. При успешной аутентификации вы получите массив с постами.

Использование JWT для безопасной авторизации в REST API

JWT позволяет безопасно передавать токен, который выдается при логине и используется для последующих запросов. Для этого потребуется установить плагин WP JWT Auth или аналогичный.

После настройки плагина процесс будет следующим:

Отправляем POST-запрос на получение токена с логином и паролем.
Получаем JWT-токен в ответе.
Делаем запросы к REST API с заголовком Authorization: Bearer <token>.

Пример запроса для получения JWT-токена

$url = 'https://example.com/wp-json/jwt-auth/v1/token';
$data = [
    'username' => 'user',
    'password' => 'password'
];

$ch = curl_init($url);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($data));
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);

$response = curl_exec($ch);
curl_close($ch);

$result = json_decode($response, true);
if (isset($result['token'])) {
    $token = $result['token'];
    echo "Token: $token";
} else {
    echo "Ошибка получения токена";
}

Пример вызова REST API с JWT-токеном

$url = 'https://example.com/wp-json/wp/v2/posts';

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, [
    'Authorization: Bearer ' . $token
]);

$response = curl_exec($ch);
curl_close($ch);

$data = json_decode($response, true);
print_r($data);

Создание собственного метода авторизации в WordPress (пример с nonce)

Если нужно реализовать кастомный способ авторизации для REST API, можно использовать nonce. Это токен, который генерируется на стороне WordPress и проверяется при запросах.

Например, создадим простую функцию для генерации nonce и проверки его в REST API:

function wpreg_restapi_generate_nonce() {
    return wp_create_nonce('wprest');
}

add_action('rest_api_init', function() {
    register_rest_route('wpreg/v1', '/protected', [
        'methods' => 'GET',
        'callback' => 'wpreg_restapi_protected_endpoint',
        'permission_callback' => function($request) {
            $nonce = $request->get_header('X-WP-Nonce');
            return wp_verify_nonce($nonce, 'wprest');
        }
    ]);
});

function wpreg_restapi_protected_endpoint($request) {
    return [
        'message' => 'Успешный доступ с nonce',
        'user' => wp_get_current_user()->user_login
    ];
}

Для вызова этого эндпоинта нужно передавать заголовок X-WP-Nonce с правильным значением. Такой способ подойдет для AJAX-запросов с фронтенда или интеграций, где nonce можно получить заранее.

Полезные советы и инструменты для работы с REST API и авторизацией

Для тестирования запросов удобно использовать Postman или Insomnia — там можно легко настраивать заголовки и тело запроса.
Для упрощения автоматизации можно использовать плагин Clearfy Pro, который позволяет оптимизировать безопасность и убрать лишние REST API эндпоинты.
Обязательно используйте HTTPS, особенно при Basic Auth, чтобы избежать перехвата паролей.
Для сложных проектов рассмотрите OAuth 1.0a — он встроен в WordPress, но настройка требует времени.

Итог: надежная авторизация для удалённых REST API вызовов

Удалённый вызов REST API с авторизацией — задача, требующая правильного выбора метода аутентификации. Basic Auth подходит для быстрого прототипирования, JWT — для современных приложений, nonce — для интеграций с фронтендом. Важно учитывать безопасность и удобство поддержки.

Используйте приведённые примеры и плагины с сайта WPSHOP.ru для расширения возможностей вашего WordPress и повышения безопасности при работе с REST API.