Abilities API de WordPress: qué es y por qué le importa a tu web

La Abilities API de WordPress es un registro donde el núcleo de WordPress, los plugins y los temas declaran qué acciones saben hacer («crear un borrador», «consultar el stock de un producto», «listar las citas de mañana»), qué datos necesita cada acción, qué devuelve y quién tiene permiso para ejecutarla. Llegó en WordPress 6.9 (diciembre de 2025) en su versión para servidor, y WordPress 7.0 (mayo de 2026) le sumó una versión en JavaScript y la conectó con el nuevo cliente de IA del núcleo. Es la base para que asistentes de IA y automatizaciones trabajen con tu web de forma ordenada, en lugar de que cada plugin invente su propia integración.

Para el dueño de una empresa no es algo que vaya a «usar» directamente. Le importa por otra razón: define qué podrá hacer una IA dentro de su web y con qué permisos. En esta guía aclaramos la confusión sobre las versiones, explicamos cómo funciona en lenguaje simple, qué cambia para tu negocio y qué preguntarle a tu proveedor.

Actualizado: octubre de 2026

Lo esencial

• La Abilities API es un catálogo de acciones que WordPress, los plugins y los temas exponen de forma estándar, con entradas, salidas y permisos definidos.
• Se introdujo en WordPress 6.9 (2 de diciembre de 2025). WordPress 7.0 (20 de mayo de 2026) añadió la versión en JavaScript, y 7.1 (19 de agosto de 2026) amplió su ciclo de ejecución y validación.
• Cada habilidad tiene una comprobación de permisos. Si está bien hecha, una IA conectada con un usuario de rol limitado no puede hacer más de lo que ese usuario podría hacer a mano.
• Las habilidades no se exponen solas: para que una IA externa las use hace falta habilitarlas por REST o mediante el adaptador MCP, que es un paquete aparte.
• No tienes que hacer nada urgente. Sí conviene saber qué plugins registran habilidades y quién puede ejecutarlas.

Qué es la Abilities API, explicado sin código

Piensa en la carta de un restaurante. El cliente no entra a la cocina: elige un plato de la carta, el mozo verifica que se pueda servir y la cocina lo prepara. La Abilities API es esa carta para tu web. Cada plugin escribe en ella los «platos» que ofrece, con una descripción, qué datos necesita y qué entrega.

Antes, si querías que una herramienta externa hiciera algo en tu WordPress, había que programar una integración a medida para cada plugin, o usar la API REST con sus propias reglas para cada caso. Con un registro común, una herramienta (por ejemplo, un asistente de IA) puede preguntar «¿qué sabes hacer?», recibir la lista de habilidades disponibles y ejecutar una de ellas respetando los permisos.

Según la nota técnica oficial de WordPress 6.9, la API forma parte de la iniciativa de bloques de construcción de IA de WordPress, y su objetivo es que las funciones de núcleo, plugins y temas se expongan en un formato estándar que una máquina pueda leer.

¿Llegó en 6.9 o en 7.0? Aclaramos la confusión

Hay artículos en inglés que dicen una cosa y otros que dicen la otra. Las dos tienen parte de razón, porque la API llegó por etapas. Esto es lo que dicen las fuentes oficiales:

Resumen: la base llegó en 6.9; en 7.0 se volvió visible para el usuario y se conectó con la IA del núcleo. La versión estable a la fecha de esta actualización es la 7.1.3, y la 7.2 está en beta.

Cómo funciona por dentro (para que lo hables con tu proveedor)

No necesitas programar, pero estos términos te ayudan a entender lo que te proponga tu desarrollador:

• Registro de habilidades. Un plugin registra cada habilidad con la función wp_register_ability() durante el gancho wp_abilities_api_init. Le da un nombre, una descripción, un esquema de entrada y salida, y la función que la ejecuta.
• Categorías. Las habilidades se agrupan en categorías (por ejemplo, contenido o tienda) para que sea más fácil encontrarlas.
• Comprobación de permisos. Cada habilidad incluye un permission_callback, una función que decide si el usuario actual puede ejecutarla. Los ejemplos oficiales usan las capacidades de WordPress, como «puede editar entradas».
• Rutas REST opcionales. Una habilidad solo aparece en la API REST, bajo wp-abilities/v1, si quien la registra lo habilita expresamente. Todas esas rutas exigen un usuario autenticado.
• Autenticación. Para llamarlas desde fuera se usan los métodos habituales de WordPress: la sesión del navegador, las contraseñas de aplicación o plugins de autenticación.

Lo importante para ti: la API no da permisos nuevos a nadie. Aplica los permisos que ya existen en tu web. Por eso, tener usuarios y roles con mínimo privilegio es más importante que nunca.

Por qué le importa a tu negocio

Automatizaciones más simples

Hoy, conectar tu web con otra herramienta suele pasar por la API REST, por servicios como Make o Zapier, o por un desarrollo a medida. Si los plugins que usas exponen habilidades, una herramienta compatible puede descubrirlas y usarlas con menos trabajo de integración. Si ya automatizaste tu tienda, verás que la idea se parece a lo que explicamos en WooCommerce REST API para automatizar tu tienda, pero con un catálogo común.

Asistentes de IA que trabajan dentro de tu web

Las funciones de IA de WordPress 7.0 se apoyan en esta API. Un asistente puede, por ejemplo, generar un borrador o proponer textos alternativos para imágenes usando las habilidades disponibles. Y con el adaptador MCP, asistentes externos como Claude o ChatGPT pueden pedir a tu web que ejecute habilidades. Cuánto se automatiza depende de qué habilidades registren tus plugins y de qué permisos tenga la cuenta que conectes. Sobre lo que pueden hacer los agentes hoy y cuánto cuestan, revisa agentes de IA para MYPEs.

Un riesgo nuevo que gestionar

Si una IA puede ejecutar acciones en tu web, alguien tiene que decidir cuáles. Un plugin que registra una habilidad para borrar pedidos o cambiar precios es útil para automatizar, y peligroso si se ejecuta con una cuenta de administrador sin supervisión.

La relación con MCP y los asistentes de IA

MCP (Model Context Protocol) es el estándar que usan asistentes como Claude, ChatGPT o Cursor para conectarse a herramientas externas. WordPress mantiene un paquete oficial, el MCP Adapter, que traduce las habilidades registradas en herramientas que un asistente puede usar.

• El adaptador es un paquete aparte del núcleo de WordPress: tu proveedor tiene que instalarlo y configurarlo.
• Las habilidades son privadas por defecto para MCP. Solo se exponen las que se marcan expresamente como públicas.
• Cada ejecución sigue pasando por la comprobación de permisos de la habilidad y por la autenticación del servidor.

Si tienes una tienda, ya explicamos cómo funciona MCP en el contexto de WooCommerce en MCP y WooCommerce: conecta tu tienda a los asistentes de IA.

Ejemplo ilustrativo: una clínica con citas en WordPress

Supón un consultorio que gestiona citas con un plugin de reservas. Si ese plugin registrara una habilidad «consultar horarios disponibles» (solo lectura) y otra «crear una cita», el consultorio podría:

• Exponer solo la habilidad de consulta a un asistente que responde a pacientes, usando una cuenta con permisos mínimos.
• Reservar la creación de citas para el personal de recepción, que la usa desde el escritorio de WordPress con la paleta de comandos.
• Dejar fuera de cualquier asistente las habilidades que manejan historias clínicas u otros datos sensibles.

El ejemplo es hipotético: depende de que el plugin de reservas registre esas habilidades, y no todos lo hacen. Si manejas datos de salud, además, la Ley 29733 de Protección de Datos Personales te obliga a cuidar qué datos llegan a herramientas externas; lo explicamos en qué datos puedes subir a ChatGPT según la Ley 29733.

La IA de WordPress 7.0 y lo que cuesta usarla

La Abilities API no trabaja sola. En WordPress 7.0 llegaron tres piezas que se apoyan en ella, según el anuncio oficial de la versión:

• Cliente de IA en el núcleo. Permite que WordPress se comunique con modelos de IA generativa de distintos proveedores.
• Pantalla de Conectores. Un lugar central donde se configuran las conexiones con esos proveedores, con tres opciones predefinidas y la posibilidad de añadir otras.
• Plugin de IA opcional. Se instala aparte y añade generación y edición de imágenes, creación de títulos y extractos, y sugerencias de texto alternativo.

Cómo estimar el costo

WordPress no cobra por estas funciones, pero el proveedor de IA que conectes sí cobra por uso, normalmente en dólares y según la cantidad de texto o imágenes que se procesen. El costo real tiene tres partes:

1. Uso del modelo de IA: lo que factura el proveedor por cada consulta. Revisa su página de precios y pon un límite de gasto mensual en su panel.
2. Horas de configuración: conectar el proveedor, revisar habilidades y permisos, probar en una copia.
3. Mantenimiento: revisar cada cierto tiempo qué habilidades nuevas aparecen tras las actualizaciones.

Ejemplo ilustrativo: si tu equipo genera 40 textos alternativos y 20 extractos al mes, y cada uso cuesta en promedio US$ 0.01, el gasto sería 60 × 0.01 = US$ 0.60 al mes. Las cifras son supuestas; el precio por uso depende del modelo y de la longitud de cada texto. Lo que suele pesar más son las horas de configuración, no el consumo.

Riesgos que debes vigilar

• Plugins que registran habilidades sin que lo sepas. Una actualización puede añadir habilidades nuevas. Pide a tu proveedor una lista de las que existen en tu web.
• Cuentas con demasiados permisos. Si conectas un asistente con un usuario administrador, puede ejecutar todo lo que el administrador puede. Crea un usuario específico para cada integración.
• Contraseñas de aplicación olvidadas. Cada integración externa suele usar una. Revísalas en el perfil del usuario y revoca las que ya no uses.
• Comprobaciones de permisos mal hechas. La seguridad de cada habilidad depende de cómo la programó el autor del plugin. Un plugin con mala calidad puede exponer más de lo debido; mantente atento a las vulnerabilidades de plugins.
• Sin registro de actividad. Si una IA ejecuta acciones, necesitas saber cuáles, cuándo y con qué usuario. Un plugin de registro de actividad ayuda.

Qué hacer hoy según tu situación

Si tu web está en una versión anterior a 6.9

No tienes la API. Antes de pensar en IA, actualiza WordPress, el tema y los plugins siguiendo un proceso seguro, como el que describimos en actualizaciones de WordPress sin romper tu web. WordPress 7.0 requiere PHP 7.4 o superior, aunque lo recomendable es una versión actual de PHP 8.

Si ya estás en 7.0 o 7.1

• Pide a tu proveedor que revise qué habilidades están registradas y cuáles están expuestas por REST o MCP.
• Revisa los usuarios y las contraseñas de aplicación existentes.
• Decide por escrito qué acciones aceptas que haga una IA sola, cuáles con aprobación y cuáles nunca.

Si quieres conectar un asistente de IA

Empieza con habilidades de solo lectura (consultar, listar) y con un usuario de permisos mínimos, en una copia de prueba de la web. Amplía solo cuando veas que funciona y que puedes auditar lo que hace.

Preguntas para tu proveedor o agencia

1. ¿Qué versión de WordPress y de PHP tiene mi web y cuándo la actualizamos?
2. ¿Qué plugins de mi web registran habilidades en la Abilities API?
3. ¿Alguna está expuesta por REST o por MCP? ¿Con qué usuario?
4. ¿Qué contraseñas de aplicación existen y quién las usa?
5. ¿Tenemos registro de actividad de acciones automáticas?
6. Si conectamos un asistente, ¿qué puede hacer solo y qué necesita aprobación humana?

Si la respuesta a varias de estas preguntas es «no sé», no es una alarma, pero sí una tarea pendiente.

Glosario rápido

• Habilidad (ability): una acción con nombre que un plugin, tema o el núcleo ofrece, como «crear borrador».
• Esquema de entrada y salida: la descripción de qué datos necesita la habilidad y qué devuelve. Sirve para que una máquina la use sin adivinar.
• Comprobación de permisos: la regla que decide si el usuario actual puede ejecutar la habilidad.
• API REST: la forma estándar en que programas externos leen y escriben datos en WordPress por internet.
• MCP: el protocolo que usan los asistentes de IA para conectarse a herramientas externas.
• MCP Adapter: el paquete oficial de WordPress que convierte las habilidades en herramientas para asistentes compatibles con MCP.
• Contraseña de aplicación: una clave especial, revocable, para que una herramienta externa se conecte en nombre de un usuario.

Cuándo no vale la pena preocuparse

Si tu web es institucional, se actualiza pocas veces al año y no planeas conectar ninguna IA ni automatización, la Abilities API no cambia tu día a día. Mantén WordPress actualizado y los usuarios en orden, que es lo mismo que ya deberías hacer. La API importa cuando empiezas a automatizar o a conectar asistentes externos.

En KOM diseñamos y mantenemos webs en WordPress y te ayudamos a decidir qué conviene automatizar y con qué permisos, sin exponer más de lo necesario. Puedes ver nuestros planes en la página de diseño web en WordPress.

Este contenido es informativo y no reemplaza la asesoría legal o tributaria.

Preguntas frecuentes

¿La Abilities API viene activada en mi WordPress?

Si tu web está en WordPress 6.9 o una versión posterior, la API forma parte del núcleo y está disponible para que los plugins registren habilidades. Eso no significa que haya algo expuesto hacia fuera: las rutas REST de cada habilidad son opcionales y requieren usuario autenticado, y el adaptador MCP se instala aparte. Para saber qué hay registrado en tu web, pídeselo a tu proveedor.

¿Puedo desactivar la Abilities API?

No hay un interruptor en el escritorio para apagarla, porque es parte del núcleo de WordPress desde la versión 6.9. Lo que sí puedes controlar es qué se expone: no instalar el adaptador MCP si no lo necesitas, no habilitar rutas REST de habilidades, revisar las contraseñas de aplicación y limitar los permisos de cada usuario. Un desarrollador también puede quitar habilidades registradas con código.

¿Necesito la Abilities API para usar ChatGPT o Claude con mi web?

No necesariamente. Puedes usar ChatGPT o Claude para redactar textos y pegarlos en WordPress sin ninguna integración. La API es necesaria cuando quieres que el asistente actúe dentro de tu web, por ejemplo creando borradores o consultando datos, a través del adaptador MCP u otra integración compatible. Para la mayoría de MYPEs, el uso manual sigue siendo suficiente y más seguro.

¿Qué es una contraseña de aplicación de WordPress?

Es una clave especial que generas en tu perfil de usuario para que una herramienta externa se conecte a tu web sin usar tu contraseña real. Cada herramienta debería tener la suya, con un nombre que la identifique. Puedes revocarlas en cualquier momento desde el perfil. La herramienta tendrá los mismos permisos que el usuario dueño de la contraseña, así que conviene crear usuarios con permisos limitados.

¿Los plugins de WooCommerce ya usan la Abilities API?

Depende del plugin y de su versión. La API es reciente y la adopción avanza a ritmos distintos. La forma segura de saberlo es revisar la documentación y el registro de cambios de cada plugin que usas, o pedir a tu proveedor que liste las habilidades registradas en tu web. No asumas que un plugin las ofrece solo porque es popular.