Katalog pod /wp-json/ wymienia każdą zarejestrowaną trasę, także trasy każdej wtyczki. O uprawnieniach nie mówi nic: sprawdzenie tkwi w samej trasie i wykonuje się dopiero przy wywołaniu. To narzędzie robi więc obie rzeczy — czyta katalog, a potem pobiera dziesięć znanych tras bez danych logowania.
Adres, pod którym działa witryna, wraz z podkatalogiem w rodzaju /blog, jeśli taki istnieje.
Z tego serwera wychodzi jedenaście żądań odczytu: katalog i dziesięć znanych tras. Nic nie jest zapisywane, logowanie nie następuje. Zapisywane jest tylko samo zapytanie, na potrzeby limitu godzinowego.
Pięć zapytań na godzinę. Wyłącznie GET na adresy standardowe, prywatne zakresy adresów są odrzucane.