Habilitar acceso a la REST API para publicar cartas (excepción Cloudflare 403) #24

New Issue

2026-06-28T19:12:57Z

rafa commented

2026-06-28 19:12:57 +00:00

Labels: area:infra

Contexto

Inma publicará la carta semanal y los artículos vía REST API de WordPress con contraseña de aplicación (rol Editor, ya lo tiene). Guía: docs/guia-publicacion-carta-inma.md.

Problema (comprobado 27/06/2026)

Cloudflare devuelve 403 "Attention Required" a toda petición no-navegador: afecta a /wp-json/*, a la home y a wp-login.php, incluso con User-Agent de navegador. Es el reto de navegador de Cloudflare, no la credencial. Mientras siga así, la API no es usable desde el asistente.

Acción (la configura Inma en el panel de Cloudflare)

Elegir una excepción, de más simple a más limpia:

Allowlist por IP de origen del asistente (WAF → Tools).
Custom Rule WAF Skip/Bypass para /wp-json/* + cabecera secreta (X-FEA-Key: <secreto>).
Subdominio solo-DNS (sin proxy), p. ej. api.feadulta.com, hacia el mismo origen.

Verificación

Tras aplicarla, probar con credencial real:
curl -u 'USUARIO:APP_PASSWORD' https://wp-nuevo.feadulta.com/wp-json/wp/v2/users/me → debe devolver 200 con los datos del usuario.

Bloquea el arranque de Inma. Relacionado: #144 (cron traducción+TTS).

**Labels:** area:infra ## Contexto Inma publicará la carta semanal y los artículos vía **REST API de WordPress** con contraseña de aplicación (rol Editor, ya lo tiene). Guía: `docs/guia-publicacion-carta-inma.md`. ## Problema (comprobado 27/06/2026) Cloudflare devuelve **403 "Attention Required"** a toda petición no-navegador: afecta a `/wp-json/*`, a la home y a `wp-login.php`, incluso con User-Agent de navegador. Es el reto de navegador de Cloudflare, no la credencial. Mientras siga así, la API no es usable desde el asistente. ## Acción (la configura Inma en el panel de Cloudflare) Elegir una excepción, de más simple a más limpia: 1. **Allowlist por IP** de origen del asistente (WAF → Tools). 2. **Custom Rule WAF Skip/Bypass** para `/wp-json/*` + cabecera secreta (`X-FEA-Key: <secreto>`). 3. **Subdominio solo-DNS** (sin proxy), p. ej. `api.feadulta.com`, hacia el mismo origen. ## Verificación Tras aplicarla, probar con credencial real: `curl -u 'USUARIO:APP_PASSWORD' https://wp-nuevo.feadulta.com/wp-json/wp/v2/users/me` → debe devolver 200 con los datos del usuario. Bloquea el arranque de Inma. Relacionado: #144 (cron traducción+TTS).

rafa commented

2026-06-28 19:28:35 +00:00

Me confirma Inma que ya tiene acceso. Se cierra.

rafa closed this issue

2026-06-28 19:28:36 +00:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: rafa/feadulta#24