Después de investigar la función y el hook correspondiente que envía las cabeceras de Access-Control (CORS), pude localizar por fin una referencia que sí funciona para permitirme desarrollar una aplicación web con JavaScript en un sitio distinto que la instalación de WordPress.
Y basándome en este ejemplo, comparto la solución en formato de archivo de plugin "completo" (listo para activarse desde la interfaz de WordPress):
<?php
/**
* @wordpress-plugin
* Plugin Name: Allow GET access to world
* Plugin URI: http://bit.ly/2b1Z5sV
* Description: Allow GET access to world
* Version: 0.0.1
* Author: Jesús Franco
* Author URI: http://tzkmx.wordpress.com
* License: GPL-2.0+
* License URI: http://www.gnu.org/licenses/gpl-2.0.txt
*/
// If this file is called directly, abort.
if ( ! defined( 'WPINC' ) ) {
die;
}
add_action('rest_api_init', function() {
/* desenganchamos la función predeterminada */
remove_filter('rest_pre_serve_request', 'rest_send_cors_headers');
/* y añadimos nuestro propio filtro */
add_filter('rest_pre_serve_request', function( $value ) {
$origin = get_http_origin();
if ( $origin ) {
header( 'Access-Control-Allow-Origin: ' . esc_url_raw( $origin ) );
} else {
header( 'Access-Control-Allow-Origin: ' . esc_url_raw( site_url() ) );
}
header( 'Access-Control-Allow-Methods: GET' );
return $value;
});
}, 15);
Puedes vaciar el contenido de este snippet a una ruta como wp-content/plugins/get-rest-world-access/get-rest-world-access.php
En el código original asigna dos veces el encabezado, con lo que otros sitios vuelven a quedar fuera.
Espero sirva para quiénes han lidiado como su servidor, con este problema.