WordPress

Когда нужен сайт, выбор обычно между конструктором-SaaS (просто, но данные и сайт у платформы, ежемесячная плата и потолок возможностей) и своим движком на своем сервере. WordPress - второй путь, доведенный до предела удобства: открытая CMS, на которой работает около 40% всех сайтов интернета. Блог, корпоративный сайт, портал, интернет-магазин - все закрывается темами и плагинами, а сайт и база остаются вашими.

Важно не путать два WordPress. WordPress.com - это SaaS-хостинг с тарифами и ограничениями. WordPress.org (о нем и речь) - тот самый открытый движок, который вы ставите на свой сервер: полный доступ к коду, любые плагины и темы, свой домен, своя база данных. Это и есть self-hosted вариант.

Конструкторы (Tilda, Wix) - проще для одностраничной визитки, но сайт и данные у платформы, есть ежемесячная плата и потолок кастомизации. WordPress дает полный контроль и любые плагины ценой того, что сервером управляете вы.

Ghost - если задача именно блог с платными подписками и рассылками, Ghost современнее и легче (у нас есть отдельный разбор). WordPress универсальнее: магазин, портал, произвольная структура.

Статические генераторы (Hugo, Astro) - быстрее и безопаснее для контент-сайтов без динамики, но требуют сборки и не дают админки для не-разработчика. WordPress выигрывает там, где контент правят обычные редакторы.

WordPress - это PHP-приложение плюс база данных MySQL или MariaDB. В нашем деплое это два контейнера: сам WordPress (PHP-Apache) и MariaDB, наружу их отдает Caddy с TLS. Управление - через веб-консоль wp-admin: записи, страницы, медиа, темы, плагины, пользователи, настройки.

Первичную настройку можно пройти мастером install.php в браузере (язык, название сайта, учетная запись администратора) или без рук через WP-CLI - мы использовали WP-CLI, чтобы установка прошла одной командой.

Пустой WordPress на старте удивительно легкий: связка WordPress и MariaDB в простое держит около 198 МиБ RAM, а главная отдается за десятки миллисекунд. Тяжелеет сайт не от ядра, а от темы, числа плагинов и трафика. Для старта и типового сайта хватает тарифа CPU2-RAM4-DISK50.

С ростом трафика, тяжелой темой и десятком плагинов имеет смысл взять тариф пошире и добавить кеширование. Но само ядро - легкое.

Ставим двумя контейнерами через docker compose: WordPress и MariaDB. Наружу интерфейс отдает Caddy с автоматическим TLS на magic-DNS хосте.

1. Поднять WordPress и базу

   docker-compose.yml с двумя сервисами. Пароли задаете своими. Порт WordPress держим на localhost - наружу отдаст Caddy.

   services:
     db:
       image: mariadb:11
       environment:
         MARIADB_DATABASE: wordpress
         MARIADB_USER: wordpress
         MARIADB_PASSWORD: СВОЙ_ПАРОЛЬ
         MARIADB_RANDOM_ROOT_PASSWORD: "yes"
       volumes: [db_data:/var/lib/mysql]
     wordpress:
       image: wordpress:php8.3-apache
       depends_on: [db]
       environment:
         WORDPRESS_DB_HOST: db
         WORDPRESS_DB_USER: wordpress
         WORDPRESS_DB_PASSWORD: СВОЙ_ПАРОЛЬ
         WORDPRESS_DB_NAME: wordpress
       ports: ["127.0.0.1:8080:80"]
       volumes: [wp_data:/var/www/html]
   volumes: { db_data: {}, wp_data: {} }

2. Поставить Caddy для TLS

   Caddyfile из двух строк. Caddy сам получит и продлит сертификат Let's Encrypt и передаст WordPress заголовок X-Forwarded-Proto.

   <ip-с-дефисами>.fatmetal.net {
     reverse_proxy 127.0.0.1:8080
   }

3. Научить WordPress работать за HTTPS-прокси

   WordPress за reverse-proxy не знает, что снаружи HTTPS, и уходит в редирект-петли. В wp-config добавьте разбор заголовка от прокси (или задайте через WORDPRESS_CONFIG_EXTRA в compose).

   if (isset($_SERVER['HTTP_X_FORWARDED_PROTO'])
       && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
     $_SERVER['HTTPS'] = 'on';
   }

4. Пройти установку

   Откройте адрес по HTTPS и пройдите мастер install.php (язык, название, администратор) либо запустите установку одной командой через WP-CLI. После этого открывается сайт и консоль wp-admin.

На нашем стенде WordPress поднялся на magic-DNS хосте с валидным сертификатом Let's Encrypt, установка прошла через WP-CLI, главная отдается за ~77 мс, консоль wp-admin работает.

Все цифры сняты с живого стенда CPU2-RAM4-DISK50 с чистым сайтом на дефолтной теме.

• Стек в простое - около 198 МиБ RAM (WordPress ~98 МиБ + MariaDB ~100 МиБ). Пустой WordPress легкий.
• Вся VM в простое - около 780 МБ RAM с учетом ОС. На 4 ГБ тарифе большой запас.
• Образы - WordPress около 1.09 ГБ, MariaDB около 466 МБ.
• Отклик главной - около 0.077 с по HTTPS на пустом сайте.
• Диск - около 4.9 ГБ занято из 48.
• TLS - Caddy выписал валидный сертификат на magic-DNS хосте, сайт открывается по HTTPS.

Весь сайт, база и загрузки - на вашем сервере. Бэкапьте базу данных и каталог wp-content (темы, плагины, медиа) - это все содержимое сайта. Вход в wp-admin закрывайте сильным паролем и по возможности двухфакторной аутентификацией (плагин), снаружи все идет по HTTPS. Не оставляйте учетную запись с логином admin по умолчанию на боевом сайте.

Обновление ядра, тем и плагинов - штатная и обязательная часть эксплуатации: большинство релизов безопасности закрывают реальные уязвимости. Обновляйте регулярно, но с бэкапом до обновления. В Docker-варианте ядро обновляется сменой тега образа, содержимое переживает пересоздание в томах.

Если сайт - простая статичная визитка без частых правок, статический генератор (Hugo, Astro) даст быстрее, дешевле и безопаснее - нет базы и админки, которые надо защищать. Если нужен именно блог с платными подписками и рассылками, посмотрите на Ghost - он для этого современнее и легче. И если вы не готовы следить за обновлениями плагинов и ядра, WordPress лучше не ставить на боевой сайт - заброшенный WordPress взламывают быстро. Во всех остальных сценариях - от корпоративного сайта до магазина - это рабочая лошадка с гигантской экосистемой.