REST API WordPress не поддерживает обычную Basic Auth с логином и паролем администратора «из коробки» — попытка авторизоваться так закономерно вернёт 401, и это не ошибка конфигурации, а особенность архитектуры безопасности.
Почему обычный пароль не работает для API
Основной пароль администратора защищён отдельно и не предназначен для передачи по Basic Auth в каждом запросе — это было бы небезопасно при перехвате трафика или логировании запросов.
Решение — Application Passwords
Начиная с WordPress 5.6 в профиле пользователя (Пользователи → Профиль) можно создать отдельный «пароль приложения» — специальный сгенерированный пароль именно для программного доступа через API, который можно отозвать отдельно от основного пароля в любой момент.
Альтернатива — авторизация через cookie и nonce
Для сценариев, где скрипт уже аутентифицирован как залогиненный пользователь через браузерную сессию, можно использовать cookie авторизации вместе с nonce для REST API — этот способ не требует создания отдельного пароля приложения, но требует активной сессии входа.
