Сайт на WordPress: плюсы,
минусы и вопрос безопасности

WordPress — самая распространённая система управления сайтом в мире: на ней работает примерно каждый третий сайт в интернете. Поэтому вопрос «делать сайт на WordPress или писать свой код» звучит почти в каждом обсуждении проекта. Универсального ответа нет: у платформы есть и реальные сильные стороны, и такие же реальные слабые. Разберём объективно — чем WordPress хорош, где он начинает мешать, почему его так часто ломают и в каких задачах он действительно лучший выбор.

Почему WordPress так распространён

Популярность выросла не на пустом месте — у платформы несколько сильных аргументов:

• Бесплатное ядро. Сама CMS ничего не стоит: платите только за хостинг, домен и работу разработчика;
• Тысячи тем и плагинов. Корзина, формы, галереи, мультиязычность, интеграция с CRM — почти любую типовую задачу закрывает готовое решение, а не разработка с нуля;
• Легко найти исполнителя. Специалистов по WordPress на рынке в разы больше, чем по нишевым фреймворкам: если разработчик пропал, проект без проблем подхватит другой;
• Удобная админка. Контент-менеджер без технических навыков сам добавляет статьи, товары и страницы, меняет тексты и картинки — не дёргая программиста.

Для контентного проекта, где новые страницы появляются каждую неделю, последний пункт часто перевешивает всё остальное. Плюс вокруг платформы выросла огромная экосистема: документация, форумы, готовые инструкции почти на любой вопрос. Если что-то сломалось, решение с высокой вероятностью уже описано — и это заметно снижает стоимость сопровождения.

Минусы, которые всплывают в работе

Проблемы начинаются не в день запуска, а через полгода-год эксплуатации — и почти всегда по одному и тому же сценарию.

Главная беда: сайт постепенно превращается в «ёлку» из плагинов. Нужна форма — плагин. Нужен слайдер — ещё плагин. Нужно сжать картинки — третий. К двадцатому расширению они начинают конфликтовать: один переопределяет стили другого, два подключают разные версии одной библиотеки, и вёрстка едет.

Второе — обновления. Ядро, тема и плагины обновляются независимо и в разном темпе. Очередное обновление вполне может сломать вёрстку или отключить нужную функцию, особенно если тему правили руками без дочерней темы. Не обновлять тоже нельзя (об этом ниже), поэтому обновления приходится сначала прогонять на копии сайта и проверять вручную.

Третье — лишний код. Универсальные темы пишутся «на все случаи жизни» и тянут за собой скрипты и стили, которые конкретно вашему сайту не нужны. Плюс каждый плагин добавляет собственные запросы к базе. Закономерность простая: чем больше плагинов, тем медленнее сайт. Лендинг на своём коде открывается за доли секунды, тот же лендинг на тяжёлой теме — за 3-5 секунд.

Есть и четвёртый момент, о котором редко говорят на старте: «бесплатно» относится только к ядру. Приличная тема, премиум-конструктор страниц, платный SEO-модуль и расширения для магазина оплачиваются ежегодно, и в сумме это выходит в несколько тысяч рублей в год. Если подписку не продлить, обновления перестанут приходить — а вместе с ними и патчи безопасности.

WordPress не медленный сам по себе — медленным его делают двадцать плагинов, поставленных по принципу «лишь бы работало».

Безопасность — главная боль

Безопасность WordPress — тема, где эмоции часто заменяют факты. Ядро разрабатывается серьёзно, уязвимости в нём закрывают быстро. Проблема в другом: именно из-за популярности платформу ломают массово и автоматически. Боты круглосуточно обходят сайты по всему интернету и проверяют три вещи:

• устаревшие плагины и темы — большинство взломов идёт через них: уязвимость опубликована, патч вышел, а на сайте стоит версия двухлетней давности;
• слабые пароли — связка admin / admin123 подбирается за минуты;
• открытая админка — стандартный адрес /wp-admin без ограничения по IP и без защиты от перебора паролей.

Ни один из пунктов не является «дырой WordPress» — это вопрос обслуживания. Сайту нужны регулярные обновления, надёжные пароли с двухфакторной аутентификацией и автоматические бэкапы, которые хранятся не на том же сервере. При таком режиме сайт живёт годами без инцидентов. А брошенный на год проект с десятком неактуальных плагинов почти гарантированно окажется заражён — обычно скрытыми редиректами или спам-страницами, из-за которых сайт вылетает из поисковой выдачи. Подробнее про защиту мы писали в статье о безопасности сайта.

Практический минимум для любого сайта на WordPress выглядит так: обновления раз в месяц с предварительной проверкой на копии, ограничение попыток входа, скрытый или защищённый адрес админки, актуальный SSL и бэкапы с хранением хотя бы за две недели. Отдельно стоит проверять сами плагины перед установкой: у заброшенного расширения без обновлений два года — прямой путь к проблемам.

Когда WordPress — правильный выбор

Платформа отлично решает свои задачи:

• блог и контентный проект — редактор, категории, теги и SEO-плагины работают из коробки;
• корпоративный сайт с новостями, где страницы регулярно добавляет сам заказчик;
• небольшой интернет-магазин на WooCommerce — до нескольких сотен товаров чувствует себя нормально;
• любой проект, где важно править контент самостоятельно и не платить разработчику за каждую запятую.

Общий признак: контента много, он часто меняется, а логика при этом типовая.

Когда лучше свой код

Собственный код выигрывает там, где CMS избыточна:

• лендинг. Одна страница, текст меняется раз в квартал — целая система управления ради этого не нужна;
• нестандартная логика. Калькулятор, личный кабинет, интеграция с 1С или своей системой учёта: на WordPress это делается «поверх» через костыли, на своём коде — напрямую;
• максимальная скорость. Когда важны Core Web Vitals и конверсия, лёгкая вёрстка обгоняет любую CMS;
• минимум поддержки. Нечего обновлять — нечего ломать и нечего взламывать.

Мы делаем и на WordPress, и на своём коде и не продаём один вариант как единственно верный. Выбор зависит от задачи: где-то CMS экономит вам десятки часов и деньги, а где-то только добавляет расходов на поддержку сайта.

Сколько стоит

Разница в цене объясняется объёмом работы: WordPress — это настройка ядра, темы, плагинов и обучение работе с админкой, лендинг на своём коде — вёрстка и подключение форм. Прикинуть бюджет под вашу задачу можно в калькуляторе. Работаем через безопасную сделку Kwork: деньги переводятся исполнителю только после того, как вы приняли результат.