Что ломается у WordPress и сколько он на самом деле стоит

Цена владения CMS — всё, что сайт стоит после установки: хостинг, платные темы и плагины, обновления, резервные копии, защита от взлома и починка.

Цена владения: не только цена установки

Сайт на CMS кажется бесплатным: программа открытая, тема и плагины скачиваются. Но стоимость складывается из нескольких частей, и большая из них не деньги, а время:

• хостинг и домен: платят каждый год;
• платные темы и плагины: хорошие часто идут по подписке;
• обновления: ядро, тема, плагины, а ещё версия PHP на хостинге;
• резервные копии и проверка того, что они работают;
• защита: сайт на самой популярной CMS это самая частая цель роботов-взломщиков;
• починка: после неудачного обновления или конфликта плагинов.

Подвигайте схему «Год жизни сайта» ниже: на ней семь событий, которые случаются почти у каждого сайта, и их цена при разных настройках.

Это модель с придуманными часами. Она показывает форму расходов, а не точную цену.

Автообновления включены Есть резервные копии вне сервера Плагинов: 8 Событий показано: 7 из 7

1. январь
   Вышло малое обновление безопасности ядра
   Вы вошли в админку и нажали «Обновить». Но пока вы не вошли, сайт работал с известной дырой.
   0.3 ч
2. март
   В плагине формы нашли уязвимость, исправление вышло на следующий день
   Пока вы не заметили письмо, уязвимой оставалась форма, через которую люди пишут вам. Это самое частое окно для взлома.
   0.5 ч
3. май
   Крупное обновление ядра
   Нужно проверить, что 8 плагинов и тема с ним дружат. Чем плагинов больше, тем дольше проверка и тем вероятнее конфликт.
   2.3 ч
4. июль
   Плагин кэша просит обновить настройки
   При небольшом наборе плагинов конфликты редки.
   0.3 ч
5. сентябрь
   Автор плагина больше не выпускает обновлений
   Плагин всё ещё работает, но уязвимости в нём уже никто не закроет. Его надо заменить.
   3.0 ч
6. ноябрь
   Хостинг снимает с поддержки старую версию PHP
   Тема и плагины должны работать на новой версии. Чем они старше, тем больше работы.
   2.4 ч
7. декабрь
   Волна спама через форму заявок
   Нужна защита от роботов (капча или скрытое поле). Это тоже время.
   1.0 ч

Всего за период: около 12 ч (вместе с ежемесячной проверкой). Автообновления выключены: вы тратите больше времени и дольше живёте с известными дырами.

Текстовая альтернатива: за год у сайта на WordPress случаются обновления ядра, уязвимости в плагинах, конфликты, брошенные плагины и снятая с поддержки версия PHP. Автообновления и резервные копии сокращают время и ущерб, а каждый лишний плагин увеличивает риск и работу.

Что нужно обновлять и как

WordPress обновляется часто. Ядро выпускает малые обновления безопасности (с 2013 года они ставятся сами) и крупные версии несколько раз в год (их лучше проверять перед установкой). Темы и плагины обновляются отдельно и по своему расписанию; автообновление для них появилось в версии 5.5 (2020), и включается по желанию. Ещё одна «обновляемая» вещь это версия PHP на хостинге: старые версии со временем снимают с поддержки, и тема с плагинами должны на новой работать.

Два правила: обновления ставят по плану, а не когда сайт сломался; и перед крупным обновлением есть свежая копия.

Безопасность

Большинство взломов WordPress происходит не через ядро, а через плагины и темы: их пишут тысячи разных авторов, дыры в них появляются чаще, а закрывают их не все и не сразу. Типичный сценарий: в плагине форм нашли уязвимость, автор выпустил исправление через день, а на вашем сайте плагин обновили через месяц. За этот месяц роботы просканировали интернет и нашли ваш сайт.

Что помогает, и ничего экзотического:

• держать ядро, темы и плагины обновлёнными;
• ставить минимум плагинов и удалять неиспользуемые вместе с темами, а не просто выключать;
• не использовать «взломанные» платные плагины из сомнительных источников: в них часто спрятан вредоносный код;
• двухфакторный вход в админку и сильные пароли, ограничение числа попыток входа;
• разные права: у редактора нет прав администратора;
• резервные копии вне этого сервера (подробнее о копиях и мониторинге в части 9).

Общая памятка есть в официальной инструкции по укреплению WordPress (в источниках).

Копии: надежда, а не копия

Резервная копия это файлы и база данных сайта, хранящиеся отдельно от самого сайта. Если копия лежит на том же сервере, то при его потере или взломе пропадёт и она. Старое правило «3-2-1»: три копии, на двух разных носителях, одна из них в другом месте. И главное: копию проверяют восстановлением. Копия, которую ни разу не разворачивали, может оказаться пустой или неполной, и вы узнаете об этом в худший день.

Проверьте себя: почему сайт после конфликта плагинов без копии восстанавливать дольше?

Без копии нужно собирать сайт заново: ставить CMS, тему, плагины, переносить содержание и настройки. Копия возвращает всё за полчаса.

Drupal и Joomla: кто они сегодня

В 2000-х за звание главной CMS боролись три системы, и когда вы выбираете WordPress, полезно знать двух других.

Drupal появился в 2001 году (Дрис Бёйтарт, Dries Buytaert, начинал его как небольшую доску сообщений для друзей). Он сильнее всего там, где сложная структура содержания: много типов записей и связей, тонкие роли и права, много языков, большие порталы и сайты организаций. Взамен он требует опытного разработчика и работы над настройкой: новичку трудно. На нём работают сайты многих университетов и государственных организаций.

Joomla (2005) вышла из ответвления от системы Mambo. Её называют золотой серединой: проще Drupal, мощнее старых блоговых систем. Сегодня её доля сокращается: по данным Web Almanac, обе системы, Drupal и Joomla, год за годом теряют долю, пока WordPress, Wix и Squarespace растут.

Какой вывод из этого сделать. Для небольшого сайта услуг сложностей Drupal не нужно: вы заплатите ими за возможности, которыми не воспользуетесь. Joomla вам почти ничем не лучше WordPress, а специалистов по ней меньше. Поэтому в нашем списке для небольшого проекта победа остаётся у WordPress, если вообще нужна CMS. А нужна ли, решает не вкус, а ответ на два вопроса из урока 1: кто правит и как часто.

Практика

Вы в эпохе 2010 года, и сайт работает. Теперь составьте то, что редко составляют вовремя: план обслуживания. Кто обновляет, как часто, что копируется и сколько это займёт времени. Назовите риски плагина, который принимает заявки или записи вашего проекта. В таблице сравните WordPress с Drupal и Joomla для вашего случая и сделайте вывод.

Что было не так с 2010 годом

Сайты 2010 года часто ставили и забывали. Автообновлений не было (малые обновления безопасности ядра стали ставиться сами с 2013 года), плагинов ставили десятки, а копии лежали в той же папке, что и сайт. Результатом стали тысячи взломанных сайтов, которые рассылали спам и вирусы. Сегодня инструменты стали лучше, но привычка «поставил и забыл» осталась, и она по-прежнему самая дорогая.