Установка WordPress в теории занимает пять минут: загрузили файлы, создали базу, нажали кнопку. На практике именно на этом этапе закладываются проблемы, которые всплывают через полгода: сайт открывается и с www, и без него, админка доступна всему интернету по стандартному адресу, у учётной записи администратора логин «admin», а резервных копий нет вовсе. В этой инструкции мы разберём установку так, как её делают наши специалисты на проектах клиентов: не только «чтобы заработало», но и чтобы потом не пришлось переделывать.
Что подготовить до начала
Прежде чем скачивать дистрибутив, убедитесь, что у вас есть всё необходимое. Половина неудачных установок срывается не на технических шагах, а из-за того, что под рукой нет доступа к панели хостинга или доменная зона ещё не направлена на сервер.
- Хостинг с поддержкой PHP и MySQL или MariaDB. Проверьте в панели, что доступна актуальная версия PHP: устаревшие версии работают медленнее и уже не получают исправлений безопасности. Для небольшого сайта хватит обычного виртуального хостинга, для магазина с каталогом в тысячи товаров лучше сразу смотреть в сторону VPS.
- Домен, направленный на хостинг. DNS-записи обновляются не мгновенно, иногда до суток. Поэтому домен лучше привязать заранее, а не в день запуска.
- SSL-сертификат. Большинство хостингов выпускают бесплатный сертификат в пару кликов. Сделайте это до установки, тогда WordPress сразу запишет в настройки адрес с https, и не придётся менять ссылки в базе.
- Доступы: панель управления хостингом, FTP или SFTP, менеджер баз данных. Сохраните их в менеджере паролей, а не в заметках на рабочем столе.
Совет от студии: заведите для проекта отдельный почтовый ящик, на который будут зарегистрированы домен, хостинг и учётная запись администратора. Когда сайт будет передаваться другому подрядчику или сотруднику, вы просто передадите один ящик, а не будете искать, на чью личную почту что оформлено.
Способ первый: автоустановщик хостинга
Почти любой современный хостинг предлагает установить WordPress «в один клик». Это быстрый и вполне нормальный вариант для старта, но у него есть нюансы, о которых стоит знать.
- Откройте в панели раздел с приложениями или CMS и выберите WordPress.
- Укажите домен и каталог. Если сайт должен открываться по корню домена, поле каталога оставьте пустым, иначе сайт окажется по адресу вида домен/wordpress.
- Задайте логин и пароль администратора. Сразу придумайте нестандартный логин и длинный пароль.
- Выберите русский язык, чтобы не переключать его вручную после установки.
- Дождитесь окончания установки и войдите в панель по ссылке, которую покажет хостинг.
Минусы автоустановщика обычно такие: он может поставить не самую свежую сборку, добавить свои плагины кэширования или «помощники» хостера, а также создать базу с предсказуемым префиксом таблиц. После такой установки обязательно зайдите в раздел обновлений, обновите ядро и удалите всё, что вам не нужно.
Способ второй: ручная установка
Ручная установка даёт полный контроль над тем, что окажется на сервере. Мы используем её на всех проектах, которые разрабатываем с нуля. Процесс состоит из нескольких последовательных шагов.
Шаг 1. Скачайте дистрибутив
Берите архив только с официального сайта WordPress, причём русскую сборку. «Сборки» с торрентов и форумов, где уже установлена красивая тема и десяток плагинов, нередко содержат вредоносный код. Лечить такой сайт потом дороже, чем установить чистую систему.
Шаг 2. Создайте базу данных
В панели хостинга создайте новую базу и отдельного пользователя для неё. Пользователю нужны права только на эту базу. Запишите четыре значения: имя базы, имя пользователя, пароль и адрес сервера базы данных. Чаще всего адрес — это localhost, но некоторые хостинги используют отдельный сервер, и его имя указано в панели.
Шаг 3. Загрузите файлы
Распакуйте архив на компьютере и загрузите содержимое папки wordpress в корневой каталог сайта через SFTP. Обратите внимание: загружать нужно именно содержимое, а не саму папку. Многие хостинги позволяют загрузить архив целиком через файловый менеджер и распаковать прямо на сервере, это заметно быстрее, чем передавать тысячи мелких файлов по одному.
Шаг 4. Запустите мастер установки
Откройте домен в браузере. WordPress предложит создать файл конфигурации и попросит данные базы. Здесь же есть поле «Префикс таблиц»: замените стандартное значение на произвольное сочетание букв с подчёркиванием в конце. Это не защита сама по себе, но затрудняет автоматические атаки, рассчитанные на типовые имена таблиц.
Шаг 5. Заполните данные сайта
На последнем экране укажите название сайта, логин администратора, пароль и email. Галочку «Попросить поисковые системы не индексировать сайт» на время разработки лучше поставить: так недоделанные страницы не попадут в поиск. Главное — не забыть снять её перед запуском. Это одна из самых частых ошибок, которые мы находим при аудите: сайт работает месяцами, а в поиске его нет.
Первые настройки сразу после установки
Свежий WordPress работает, но к реальной эксплуатации он ещё не готов. Вот что мы делаем в первые полчаса после установки.
| Раздел | Что настроить | Зачем |
|---|---|---|
| Настройки → Общие | Часовой пояс, формат даты, язык | Чтобы публикации и заказы отображались с правильным временем |
| Настройки → Постоянные ссылки | Структура «Название записи» | Понятные адреса страниц для людей и поисковиков |
| Настройки → Обсуждение | Отключить комментарии, если они не нужны | Избавиться от спама с первого дня |
| Записи и страницы | Удалить демо-запись «Привет, мир!» и образец страницы | Чтобы мусор не попал в индекс |
| Внешний вид → Темы | Удалить неиспользуемые стандартные темы, оставив одну запасную | Меньше кода, который нужно обновлять |
| Плагины | Удалить демо-плагины | Не держать на сервере лишний код |
Отдельно проверьте главное зеркало сайта. Сайт должен открываться по одному адресу: либо с www, либо без, и обязательно по https. Остальные варианты должны перенаправлять на основной с кодом 301. Если этого не сделать, поисковые системы могут посчитать варианты разными сайтами с одинаковым содержимым.
Базовая защита: минимум, без которого нельзя
WordPress — самая популярная CMS, поэтому боты круглосуточно перебирают пароли на тысячах сайтов. Для старта достаточно нескольких простых мер, которые закрывают большую часть типовых угроз.
- Логин администратора не должен совпадать с «admin», названием сайта или доменом.
- Пароль — не менее шестнадцати символов, сгенерированный менеджером паролей.
- Ограничение числа попыток входа или двухфакторная аутентификация через проверенный плагин.
- Запрет редактирования файлов тем и плагинов из админки: в файл wp-config.php добавляется одна константа, и злоумышленник, даже получив доступ, не сможет вставить код через встроенный редактор.
- Права на файлы: обычно 644 для файлов и 755 для каталогов, а конфигурационный файл можно закрыть ещё строже.
- Своевременные обновления ядра, темы и плагинов.
Если сайт уже подвергся взлому, никакие настройки после этого не помогут: сначала нужно найти и удалить вредоносный код. С этим наши специалисты работают в рамках услуги лечения сайтов от вирусов.
Резервные копии: настроить до наполнения
Резервное копирование почему-то откладывают «на потом», хотя настроить его проще всего именно на пустом сайте. Правильная схема включает три элемента: копии файлов, копии базы данных и хранение вне основного сервера. Копия, которая лежит на том же хостинге, что и сайт, не поможет, если хостинг заблокирует аккаунт или сервер выйдет из строя.
Многие хостинги делают копии автоматически, но глубина хранения у них бывает всего несколько дней. Мы рекомендуем дополнительно настроить плагин или серверный скрипт, который раз в сутки выгружает базу и раз в неделю — файлы в облачное хранилище. И обязательно хотя бы один раз проверьте восстановление: копия, из которой не удаётся развернуть сайт, бесполезна.
Типичные ошибки при установке
За годы работы с чужими сайтами мы видели одни и те же промахи. Проверьте себя по этому списку.
- Установка в подпапку по ошибке. Сайт открывается по адресу с лишним каталогом, и потом его приходится переносить в корень с заменой ссылок в базе.
- Неснятый запрет индексации. Сайт запущен, реклама идёт, а поисковики его не видят.
- Установка на http с последующим переходом на https. Половина изображений начинает грузиться по старому протоколу, браузер ругается на смешанное содержимое.
- Пиратская тема или плагин. Экономия в пару тысяч рублей оборачивается скрытыми ссылками и бэкдорами.
- Одна учётная запись на всех. Администратор, контент-менеджер и подрядчик работают под одним логином, и потом невозможно понять, кто и что изменил.
- Отсутствие тестовой копии. Все эксперименты делаются прямо на рабочем сайте, и одно неудачное обновление кладёт его на несколько часов.
Когда установку лучше доверить специалистам
Если вы делаете личный блог или учебный проект, самостоятельная установка — отличный способ разобраться в устройстве WordPress. Но если сайт будет приносить заявки и продажи, имеет смысл с самого начала сделать всё правильно: подобрать хостинг под нагрузку, настроить зеркала, кэширование, резервные копии и защиту, подготовить тестовую копию для разработки. Это та самая основа, на которой потом строится дизайн, наполнение и продвижение.
Мы берём на себя и установку с нуля в рамках создания сайта, и приведение в порядок уже установленного WordPress, который достался вам от предыдущего исполнителя.
Итог
Установить WordPress несложно, но качественная установка — это не только нажатие кнопки «Установить». Подготовьте хостинг, домен и сертификат заранее, используйте только официальный дистрибутив, задайте нестандартный префикс таблиц и логин, сразу настройте постоянные ссылки и главное зеркало, закройте вход от перебора паролей и настройте резервное копирование до того, как на сайте появится ценное содержимое. Тогда сайт будет надёжной площадкой для бизнеса, а не источником постоянных сюрпризов. Если хотите, чтобы этим занялись мы, напишите нам через страницу контактов.
