Autenticazione REST API WordPress: JWT, OAuth e Application Passwords
Questo articolo fa parte del nostro cluster sulla architettura WordPress headless. Copre gli aspetti pratici dell’implementazione con codice funzionante e pattern di produzione.
3 Modi per Autenticare le Chiamate REST API
1. Application Passwords (raccomandato)
Integrato in WordPress 5.6+. Genera password dedicate per ogni applicazione, revocabili individualmente.
# Crea da wp-admin → Utenti → Profilo → Application Passwords
# Usa con Basic Auth
curl -u "username:xxxx xxxx xxxx xxxx" https://tuosito.com/wp-json/wp/v2/posts2. JWT (per SPA e app mobile)
Plugin: JWT Auth. Genera un token dopo login, usalo come Bearer token nelle richieste successive.
3. OAuth 2.0 (per integrazioni enterprise)
Plugin: WP OAuth Server. Flusso completo OAuth 2.0 con authorization code, client credentials.
FAQ
Application Passwords o JWT?
Application Passwords per server-to-server (script, cron, CI/CD). JWT per client-side (SPA React/Next.js, app mobile). Non usare Application Passwords in JavaScript client-side: la password sarebbe esposta nel codice sorgente.