C’est quoi l’API REST de WordPress ? Votre site devient pilotable
L’API REST de WordPress est une interface qui permet à un logiciel externe (script, application, assistant IA) de lire et modifier le contenu d’un site WordPress — articles, pages, médias — sans passer par l’écran d’administration, via de simples requêtes envoyées sur internet et des réponses au format JSON.
L’API REST transforme WordPress en un service piloté par du code : un programme peut publier un article, envoyer une image ou lire des données exactement comme le ferait une personne dans l’administration.
L’API REST de WordPress, c’est quoi exactement ?
Intégrée nativement au cœur de WordPress depuis la version 4.7 (fin 2016), l’API REST expose le contenu du site via des adresses standardisées, appelées endpoints, du type /wp-json/wp/v2/posts pour les articles ou /wp-json/wp/v2/media pour les fichiers médias. Un logiciel externe interroge ces adresses avec une requête HTTP classique et reçoit une réponse structurée, sans jamais passer par l’écran de connexion.
Selon la documentation officielle des développeurs WordPress, cette API suit les standards du web (HTTP, JSON) déjà connus de la quasi-totalité des langages de programmation, ce qui la rend accessible sans outil propriétaire. C’est aussi cette API que Gutenberg, l’éditeur de blocs intégré à WordPress, utilise en coulisses pour enregistrer chaque modification apportée à un article depuis l’administration.
L’adresse qui donne accès à une ressource précise : articles, pages, médias, utilisateurs.
L’action demandée : GET pour lire, POST pour créer, PUT pour modifier, DELETE pour supprimer.
Le format de données de la réponse, lisible par n’importe quel langage de programmation.
| Ressource | Endpoint de base | Usage courant |
|---|---|---|
| Articles | /wp-json/wp/v2/posts | Lire, créer ou programmer un article |
| Pages | /wp-json/wp/v2/pages | Gérer les pages statiques du site |
| Médias | /wp-json/wp/v2/media | Uploader une image, un document |
| Utilisateurs | /wp-json/wp/v2/users | Lire ou gérer les comptes autorisés |
| Commentaires | /wp-json/wp/v2/comments | Modérer les échanges publiés sur le site |
Comment fonctionne une requête vers l’API REST ?
- 1. Le client envoie une requêteUn script ou un outil externe appelle une adresse comme
https://votresite.fr/wp-json/wp/v2/postsavec la méthode adaptée (lecture ou écriture). - 2. WordPress vérifie les droitsLa lecture de contenu public ne demande aucune authentification ; la création ou la modification exige un accès autorisé, transmis dans l’en-tête de la requête.
- 3. Le serveur traite la demandeWordPress interroge sa base de données comme il le ferait pour un affichage classique du site, en appliquant les mêmes règles de permissions.
- 4. La réponse arrive au format JSONLe client reçoit une structure de données qu’il peut exploiter dans n’importe quel programme, avec un code de statut HTTP indiquant si la requête a réussi.
Sans identifiant valide, WordPress refuse toute requête d’écriture avec une erreur 401 : la méthode recommandée pour s’authentifier est l’Application Password, jamais le mot de passe principal du compte.
À quoi sert concrètement l’API REST de WordPress ?
Au-delà de la théorie, l’API REST ouvre des usages très concrets pour qui gère un site au quotidien :
- Publication automatisée d’articles depuis un script planifié, sans ouverture manuelle de l’administration, y compris avec une date de publication programmée à l’avance.
- Synchronisation du contenu WordPress avec un CRM, un outil de gestion de stock ou un tableur externe, pour éviter une double saisie manuelle.
- Site headless, où une interface développée à part (application mobile, front-end sur mesure en React ou Vue) consomme WordPress uniquement comme réservoir de contenu, sans afficher son thème visuel classique.
- Automatisation intelligence artificielle : un assistant IA peut lire un brief, générer un contenu, puis le publier directement via l’API, une pratique de plus en plus répandue pour l’automatisation éditoriale.
Ces usages ne s’excluent pas : un même site peut cumuler une synchronisation CRM et une publication automatisée, dès lors que chaque outil dispose de son propre accès à l’API, ce qui facilite aussi le suivi de qui fait quoi en cas de problème.
Comment sécuriser l’accès à l’API REST ?
La lecture de contenu déjà public ne présente pas de risque particulier : c’est la même information que celle affichée sur le site. En revanche, toute opération de création, modification ou suppression doit être protégée par une authentification.
WordPress propose nativement, depuis la version 5.6, un mécanisme dédié à cet usage : l’Application Password. Il remplace l’ancienne pratique risquée consistant à faire circuler le mot de passe principal du compte administrateur dans un script ou un outil tiers. D’autres méthodes existent pour des besoins plus avancés, comme OAuth2 via un plugin dédié, mais elles demandent une mise en place plus lourde et ne se justifient que pour des intégrations complexes impliquant plusieurs utilisateurs tiers.
Quels sont les avantages et les limites de l’API REST ?
Avantages
- Basée sur des standards web (HTTP, JSON) connus de tous les langages de programmation courants.
- Permet des automatisations sans plugin tiers coûteux ni abonnement supplémentaire.
- Incluse nativement dans WordPress depuis 2016, sans surcoût ni installation.
Limites à connaître
- Nécessite des compétences techniques de base (requêtes HTTP, authentification, lecture de JSON).
- Mal sécurisée, elle peut exposer des opérations sensibles du site à des tiers non autorisés.
- Certains champs personnalisés nécessitent un réglage spécifique côté code pour apparaître dans les réponses.
Ce que nous observons chez les projets que nous accompagnons
Voici un exemple représentatif de notre pratique, sans donnée client ni chiffre inventé.
Cet article a été publié via l’API REST
Chez Amari Agency, on utilise l’API REST de WordPress au quotidien pour publier automatiquement les articles de ce blog : un script génère le contenu, envoie l’image mise en avant via l’endpoint des médias, puis crée l’article avec une date de publication programmée — sans jamais ouvrir l’interface d’administration. Avant chaque publication, le script vérifie aussi via l’API qu’aucun article existant ne porte déjà la même adresse, pour éviter tout doublon de contenu.
Quels contenus lire ensuite ?
Ces ressources complètent cette définition sans cibler la même requête :
Questions fréquentes sur l’API REST de WordPress
Faut-il un plugin pour activer l’API REST ?
Non, elle est intégrée nativement à WordPress depuis la version 4.7 et fonctionne sans installation supplémentaire.
Peut-on désactiver l’API REST ?
Techniquement oui via un plugin ou un filtre de code, mais cela casse l’éditeur de blocs Gutenberg qui en dépend pour fonctionner.
L’API REST est-elle sécurisée par défaut ?
La lecture publique l’est autant que le site lui-même ; l’écriture ne l’est que si elle passe par une authentification correctement configurée, comme un Application Password.
Quel langage utiliser pour appeler l’API REST ?
N’importe quel langage capable d’envoyer une requête HTTP : Python, JavaScript, PHP, ou des outils no-code comme n8n ou Make.
Où trouver la documentation officielle de l’API REST ?
Sur developer.wordpress.org/rest-api/, qui liste tous les endpoints disponibles et leurs paramètres.
L’API REST fonctionne-t-elle avec un site WordPress multisite ?
Oui, chaque site d’une installation multisite dispose de son propre jeu d’endpoints, accessible séparément avec ses propres identifiants.