¿Cómo puedo forzar la descarga de un archivo en el backend de WordPress?

Si te entiendo correctamente, deseas tener una URL similar a la siguiente cuya respuesta al navegador será el contenido que generes, es decir, tu archivo .CSV y sin contenido generado por WordPress?

http://example.com/download/data.csv

Creo que estás buscando el hook 'template_redirect'. Puedes encontrar 'template_redirect' en /wp-includes/template-loader.php, que es un archivo que todos los desarrolladores de WordPress deberían conocer; es corto y sencillo y enruta cada carga de página que no sea de administración, así que asegúrate de echarle un vistazo.

Solo añade lo siguiente al archivo functions.php de tu tema o en otro archivo que incluyas en functions.php:

add_action('template_redirect','yoursite_template_redirect');
function yoursite_template_redirect() {
  if ($_SERVER['REQUEST_URI']=='/downloads/data.csv') {
    header("Content-type: application/x-msdownload",true,200);
    header("Content-Disposition: attachment; filename=data.csv");
    header("Pragma: no-cache");
    header("Expires: 0");
    echo 'data';
    exit();
  }
}

Observa la comprobación de la URL '/downloads/data.csv' mediante la inspección de $_SERVER['REQUEST_URI']. También observa el añadido de ,true,200 a tu llamada header() donde estableces el Content-type; esto es porque WordPress habrá establecido el código de estado 404 "No encontrado" porque no reconoce la URL. No hay problema, ya que el true le dice a header() que reemplace el 404 que WordPress había establecido y que use el código de estado HTTP 200 "OK" en su lugar.

Y así es como se ve en FireFox (Nota: la captura de pantalla no tiene un directorio virtual /downloads/ porque después de tomar y anotar la captura de pantalla pareció una buena idea añadir un directorio virtual '/downloads/'):

_{(fuente: mikeschinkel.com)}

ACTUALIZACIÓN

Si deseas que la descarga se maneje desde una URL que tenga el prefijo /wp-admin/ para dar al usuario la indicación visual de que está protegida por un inicio de sesión, también puedes hacerlo; a continuación se describe una forma.

Esta vez lo encapsulé en una clase llamada DownloadCSV, y creé una "capacidad" de usuario llamada 'download_csv' para el rol de 'administrator' (lee sobre Roles y Capacidades aquí). Podrías simplemente aprovechar el rol predefinido 'export' si lo prefieres, y si es así, solo busca y reemplaza 'download_csv' con 'export' y elimina la llamada a register_activation_hook() y la función activate(). Por cierto, la necesidad de un hook de activación es una de las razones por las que trasladé esto a un plugin en lugar de mantenerlo en el archivo functions.php del tema.*

También añadí una opción de menú "Descargar CSV" en el menú "Herramientas" usando add_submenu_page() y la vinculé a la capacidad 'download_csv'.

Por último, elegí el hook 'plugins_loaded' porque era el hook apropiado más temprano que podía usar. Podrías usar 'admin_init' pero ese hook se ejecuta mucho más tarde (llamada 1130 del hook vs. la llamada 3 del hook), así que ¿por qué dejar que WordPress haga más trabajo innecesario del necesario? (Usé mi plugin Instrument Hooks para averiguar qué hook usar.)

En el hook, verifico que mi URL comience con /wp-admin/tools.php inspeccionando la variable $pagenow, verifico que current_user_can('download_csv') y si eso pasa, entonces pruebo $_GET['download'] para ver si contiene data.csv; si es así, ejecutamos prácticamente el mismo código que antes. También elimino el ,true,200 de la llamada a header() en el ejemplo anterior porque aquí WordPress sabe que es una URL válida, así que aún no había establecido el estado 404. Así que aquí está tu código:

<?php
/*
Plugin Name: Descargar CSV
Author: Mike Schinkel
Author URI: http://mikeschinkel.com
 */
if (!class_exists('DownloadCSV')) {
  class DownloadCSV {
    static function on_load() {
      add_action('plugins_loaded',array(__CLASS__,'plugins_loaded'));
      add_action('admin_menu',array(__CLASS__,'admin_menu'));
      register_activation_hook(__FILE__,array(__CLASS__,'activate'));
    }
    static function activate() {
      $role = get_role('administrator');
      $role->add_cap('download_csv');
    }
    static function admin_menu() {
      add_submenu_page('tools.php',    // Menú Padre
        'Descargar CSV',               // Título de la Página
        'Descargar CSV',               // Etiqueta de la Opción del Menú
        'download_csv',                // Capacidad
        'tools.php?download=data.csv');// URL de la Opción relativa a /wp-admin/
    }
    static function plugins_loaded() {
      global $pagenow;
      if ($pagenow=='tools.php' && 
          current_user_can('download_csv') && 
          isset($_GET['download'])  && 
          $_GET['download']=='data.csv') {
        header("Content-type: application/x-msdownload");
        header("Content-Disposition: attachment; filename=data.csv");
        header("Pragma: no-cache");
        header("Expires: 0");
        echo 'data';
        exit();
      }
    }
  }
  DownloadCSV::on_load();
}

Y aquí hay una captura de pantalla del plugin activado:
_{(fuente: mikeschinkel.com)}

Y finalmente, aquí hay una captura de pantalla del disparador de la descarga:
_{(fuente: mikeschinkel.com)}