functions.php

<?php

/**
 * !@note Проверка что запрос к api был с того же источника что и сам роут
 */
function validate_request_origin(/* WP_REST_Request $request */) {
	$request_origin = isset($_SERVER['HTTP_ORIGIN']) ? $_SERVER['HTTP_ORIGIN'] : '';
	$site_url = parse_url(get_site_url());

	if (parse_url($request_origin, PHP_URL_HOST) === $site_url['host']) {
			return true;
	}

	return new WP_Error('not_found', 'Not found', array('status' => 404));
}