Как установить WordPress на хостинг

Поставить WordPress можно тремя способами, и выбирают между ними обычно по тому, что даёт хостинг. Автоустановщик в панели закрывает задачу за пять минут, и на виртуальном хостинге он есть почти всегда. Ручная установка нужна, если автоустановщика нет, он ставит сборку годичной давности или сайт разворачивается на голом VPS. WP-CLI — для тех, кто делает это не первый раз и не хочет кликать по формам.

Что нужно до установки

Три вещи: оплаченный тариф (или тестовый период), домен и база данных. Плюс стек, который тянет современный WordPress:

• PHP 8.1 или выше. Формально WordPress запускается и на 7.4, но популярные плагины уже требуют 8.0+. Проверьте, есть ли в панели переключатель версий PHP.
• MySQL 8 или MariaDB 10.6+.
• Свободное место. Чистый WordPress занимает около 70 МБ, но реальный сайт с темой, плагинами и медиатекой быстро вырастает до нескольких гигабайт. Тарифы с диском 1 ГБ — например, «Старт» у SpaceWeb — годятся под визитку, но не под сайт с фотогалереей.
• Бесплатный SSL. Let’s Encrypt в панели, с автопродлением.

Если тариф ещё не выбран, сначала имеет смысл прочитать чек-лист выбора хостинга — переставить WordPress проще, чем переехать с сайтом, который уже наполнен.

Способ 1: автоустановщик в панели хостинга

Это то, чем пользуется большинство. У всех девяти провайдеров нашего каталога установка WordPress вынесена в панель отдельным пунктом — называется она «Установка CMS», «Каталог приложений» или «Установить WordPress», в зависимости от панели.

Порядок одинаковый почти везде:

1. В панели открываете раздел с установкой CMS и выбираете WordPress.
2. Указываете домен или поддомен, куда ставить. Если домен ещё не привязан — берите технический домен хостинга, потом смените (как привязать домен — в отдельном гайде).
3. Задаёте логин и пароль администратора. Логин admin не используйте — половина автоматических атак на WordPress перебирает пароли именно к нему.
4. Указываете название сайта и email администратора. На этот адрес приходят письма о восстановлении пароля, так что почтовый ящик должен быть рабочим.
5. Нажимаете «Установить» и через 1–2 минуты получаете ссылку на админку вида вашсайт.ru/wp-admin/.

Базу данных установщик создаёт сам, реквизиты прописывает в wp-config.php — вручную ничего делать не нужно.

Что проверить сразу после автоустановки:

• Версию WordPress — Консоль → Обновления. Некоторые панели держат в дистрибутиве сборку годичной давности.
• Список плагинов. Провайдеры иногда добавляют собственные плагины «для оптимизации» и партнёрские виджеты. Всё, что вы не ставили сами и не понимаете зачем, удаляйте — не деактивируйте, а именно удаляйте: код деактивированного плагина остаётся на диске и продолжает быть уязвимостью.
• Демо-контент — запись «Привет, мир!», страница «Пример страницы», комментарий от «Мистер WordPress».

Автоустановщик удобен, но оставляет одну неприятную привычку: пароль администратора, сгенерированный панелью, часто хранится в открытом виде в интерфейсе хостинга и приходит письмом. Смените его после первого входа.

Способ 2: установка вручную

Классическая «пятиминутная установка» WordPress. На практике — 20–30 минут, в основном из-за загрузки файлов по FTP.

Шаг 1. Создать базу данных

В панели хостинга: раздел «Базы данных» → «Создать базу». Задаёте имя базы, имя пользователя и пароль. Кодировка — utf8mb4_unicode_ci, она правильно работает с кириллицей и эмодзи.

Выпишите четыре значения, они понадобятся через пару шагов: имя базы, пользователь, пароль и адрес сервера БД. Последний — не всегда localhost; у части провайдеров это отдельный хост, он написан рядом с реквизитами.

Шаг 2. Загрузить файлы

Скачайте дистрибутив с ru.wordpress.org — русская сборка идёт с уже установленной локализацией. Распакуйте архив: внутри будет папка wordpress, и в корень сайта нужно положить её содержимое, а не саму папку. Иначе сайт откроется по адресу вашсайт.ru/wordpress/.

Куда именно класть — зависит от хостинга: public_html, www или папка с именем домена. Загрузить можно любым FTP-клиентом (FileZilla, Cyberduck) или через файловый менеджер панели. Через панель обычно быстрее: заливаете zip-архив одним файлом и распаковываете на сервере, вместо того чтобы передавать по FTP полторы тысячи мелких файлов.

Шаг 3. Настроить wp-config.php

В корне лежит wp-config-sample.php. Переименуйте копию в wp-config.php и впишите реквизиты базы:

define( 'DB_NAME', 'имя_базы' );
define( 'DB_USER', 'пользователь_базы' );
define( 'DB_PASSWORD', 'пароль' );
define( 'DB_HOST', 'localhost' );   // или адрес из панели хостинга
define( 'DB_CHARSET', 'utf8mb4' );

Ниже в файле — блок из восьми ключей безопасности, по умолчанию заполненный текстом put your unique phrase here. Замените его целиком: откройте https://api.wordpress.org/secret-key/1.1/salt/, страница выдаст готовый блок со случайными значениями, скопируйте его на место старого.

Ещё две строки, которые стоит добавить сразу:

define( 'DISALLOW_FILE_EDIT', true );  // запрет правки кода тем из админки
define( 'WP_POST_REVISIONS', 5 );      // ограничение числа ревизий записей

Первая закрывает популярный сценарий атаки: получив доступ к админке, злоумышленник правит functions.php прямо в браузере. Вторая не даёт базе распухать от сотен черновиков одной статьи.

Шаг 4. Запустить установщик

Откройте адрес сайта в браузере — WordPress сам покажет форму установки. Название сайта, логин администратора (снова: не admin), пароль, email. Галочку «Попросить поисковые системы не индексировать сайт» ставьте, только если сайт будет наполняться неделями — и заведите себе напоминание её снять.

Через несколько секунд установка завершена и работает вашсайт.ru/wp-admin/.

Шаг 5. Проверить права на файлы

Стандартная схема: папки — 755, файлы — 644, wp-config.php — 600 или 640. Права 777 на папках не нужны никогда, что бы ни советовали форумы двенадцатилетней давности: это открытая дверь для загрузки чужих скриптов.

По SSH это две команды из корня сайта:

find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;

Способ 3: WP-CLI

Если на хостинге есть SSH и установленный WP-CLI, весь процесс укладывается в четыре команды:

wp core download --locale=ru_RU
wp config create --dbname=имя_базы --dbuser=пользователь --dbpass=пароль
wp db create
wp core install --url=https://вашсайт.ru --title="Название сайта" \
  --admin_user=не_admin --admin_password='надёжный-пароль' --admin_email=you@example.ru

Команда wp db create нужна, только если базы ещё нет и у пользователя есть право её создавать — на виртуальном хостинге базу обычно создают через панель, и этот шаг пропускается.

Проверить, установлена ли WP-CLI, можно командой wp --info. Ни один из девяти провайдеров каталога не заявляет её на странице тарифов — но фактически на части площадок она есть, так что вопрос поддержке имеет смысл. На VPS вы ставите её сами:

curl -O https://raw.githubusercontent.com/wp-cli/builds/gh-pages/phar/wp-cli.phar
chmod +x wp-cli.phar && sudo mv wp-cli.phar /usr/local/bin/wp

WP-CLI окупается на втором-третьем сайте: обновление всех плагинов одной командой, импорт товаров, массовая замена ссылок при переезде. Как она используется при переносе сайта на другой хостинг — отдельный разговор, там без неё сложнее всего.

Первые пятнадцать минут после установки

Установка — простая часть. Настройки ниже определяют, как сайт будет жить дальше.

Постоянные ссылки. Настройки → Постоянные ссылки → Название записи. По умолчанию WordPress отдаёт адреса вида ?p=123 — они плохо читаются и хуже работают в поиске. Менять структуру нужно до публикации материалов: после смены все старые адреса отдадут 404, и придётся настраивать редиректы.

HTTPS. Выпустите сертификат в панели хостинга и убедитесь, что в Настройки → Общие оба адреса — «Адрес WordPress» и «Адрес сайта» — начинаются с https://. Затем добавьте редирект с http на https: на Apache это правило в .htaccess, на панелях обычно галочка «Перенаправлять на HTTPS».

Индексация. Настройки → Чтение — галочка «Попросить поисковые системы не индексировать сайт» должна быть снята к моменту запуска. Забытая галочка — самая обидная причина, по которой готовый сайт месяцами не появляется в поиске.

Часовой пояс и формат даты. Настройки → Общие. От часового пояса зависит время отложенных публикаций и записей в логах.

Демо-контент и лишние плагины. Удалите запись «Привет, мир!», страницу-пример, комментарий по умолчанию. Из плагинов в чистой сборке обычно идут Akismet и Hello Dolly — второй удаляйте не задумываясь. Неиспользуемые темы тоже удалите, оставив одну запасную стандартную: они получают обновления безопасности, и забытая тема — известный вектор атак.

Учётная запись. Если при установке всё-таки создали admin, заведите нового пользователя с ролью «Администратор», зайдите под ним и удалите старого, передав ему записи. Прямо переименовать логин в WordPress нельзя.

Отключение wp-cron. WordPress запускает запланированные задачи при каждом посещении страницы. На нагруженном сайте это лишний PHP-процесс на каждый хит. Правильнее отключить встроенный планировщик и настроить системный cron в панели хостинга с запуском раз в 5–15 минут:

define( 'DISABLE_WP_CRON', true );

Задание в планировщике: php /home/user/сайт/public_html/wp-cron.php.

Бэкапы. Проверьте, что автоматические копии у провайдера включены и узнайте глубину хранения — 7 дней это минимум, 30 нормально. Если хостинг хранит копии на том же сервере, добавьте независимую копию: плагин UpdraftPlus умеет выгружать архивы в облако бесплатно. Остальные настройки, которые стоит сделать на свежем сайте, собраны в чек-листе по безопасности WordPress.

Почта. WordPress отправляет письма через функцию mail(), и они регулярно попадают в спам или не доходят вовсе. Поставьте SMTP-плагин и подключите ящик на своём домене — иначе восстановление пароля и уведомления о заказах будут теряться.

Установка на локальной машине

Отдельный сценарий: сначала собрать сайт у себя на компьютере, а потом выложить на хостинг. Для этого есть Local, OpenServer, XAMPP и Docker-сборки — все бесплатные.

Смысл в том, что на локальной машине можно спокойно ломать сайт, тестировать плагины и темы, не боясь уронить рабочую версию. Минус один, но существенный: локальный сайт нужно потом перенести на хостинг, а это ровно та же процедура, что и переезд между хостингами — с заменой адресов в базе и переносом дампа. Если сайт простой, быстрее собрать его сразу на хостинге в тестовом периоде: у Beget и Джино это 30 дней, у SpaceWeb 14, у Timeweb 10 — времени хватит.

Что дальше

После установки полезно сразу посмотреть, куда сайт растёт. Блогу и визитке хватит виртуального хостинга на весь обозримый срок. Если ставите WooCommerce — требования другие, начиная с объёма памяти на процесс и объектного кэша: они разобраны в разделе про хостинг для WooCommerce. Когда не хочется заниматься обновлениями и кэшем самостоятельно, есть managed-тарифы, где это делает провайдер.

А если WordPress уже стоит у другого провайдера и вы примеряетесь к переезду — пошаговая инструкция по переносу сайта описывает весь цикл, включая переключение DNS без простоя.