Разработка сайта на WordPress: что входит в работу и чем проверить

Создание сайта на вордпресс — это восемь шагов, и на каждом есть проверка, которую владелец делает сам, без программиста. Самая дешёвая из них бесплатна и занимает минуту: открыть страницу требований WordPress и сверить с ней тариф хостинга, который вам продают. Требований три — PHP 8.3, MariaDB 10.11 или MySQL 8.0 и поддержка HTTPS, — и ни одна из двенадцати страниц, которые я открыл по запросу «создание сайта на вордпресс», их не называет.

Ниже — порядок работ по шагам, проверка на каждом и годовой счёт после запуска, собранный по действующим тарифам, а не по вилкам «от и до».

01Что лежит в выдаче по запросу «создание сайта на вордпресс»

Я открыл двенадцать страниц по трём формулировкам запроса — «создание сайта на вордпресс», «разработка сайта на wordpress цена» и «пошаговая инструкция создания сайта на вордпресс» — и разобрал каждую: кто издатель, какие числа названы и отвечает ли страница на вопрос о годовом счёте. Девять страниц называют хотя бы одну сумму, и они в таблице. Остальные три — два хостинг-провайдера и обзорный блог на 7 500 слов — не называют ни одной: самый подробный материал выдачи вообще не касается денег.

Что из таблицы следует. Вилка разработки у студий — от 80 000 до 400 000 ₽, и сравнивать эти числа между собой не получится: ни одна страница не говорит, сколько страниц, правок и лицензий в них заложено. Но главный провал выдачи не здесь. Сложённой рублёвой суммы «вот столько сайт на WordPress стоит каждый год после запуска», где у каждого слагаемого стоит ссылка на действующий тариф, нет ни у одной из двенадцати страниц. Ближе всех подошёл частный разработчик: он перечисляет домен, хостинг, SSL, Elementor Pro, Wordfence и бэкапы — и не складывает их, а про премиум-темы честно пишет, что актуальную цену надо смотреть у разработчика темы.

Три вещи отсутствуют во всей выдаче целиком. Официальных требований WordPress к хостингу не называет никто: все говорят «от 200 ₽» и ни один — «а подходит ли». Политики версий тоже нет ни у кого — ни актуальной версии с датой, ни правила «поддерживается только последняя мажорная», то есть главный ответ на вопрос «за что платить каждый год» в топе не произнесён. И чисел по уязвимостям нет: про взломы пишут двое, оба словами «устаревшие плагины — главная причина», без единой цифры.

02Шаг 1. Тариф хостинга сверяется с требованиями WordPress, а не с ценой

Требования опубликованы на сайте проекта и занимают три строки: «PHP version 8.3 or greater», «MariaDB version 10.11 or greater OR MySQL version 8.0 or greater», «HTTPS support». Дальше сказано, что этого достаточно: любой сервер с поддержкой PHP и MySQL подойдёт, а Apache или Nginx рекомендуются как наиболее надёжные.

Там же — оговорка, из-за которой «сайт работает» и «сайт в порядке» перестают быть одним и тем же. WordPress запустится и в старом окружении, на PHP 7.4 и MySQL 5.5.5, но эти версии дошли до конца жизненного цикла и, дословно, «may expose your site to security vulnerabilities». Поэтому вопрос провайдеру до оплаты звучит не «сколько стоит», а «какая версия PHP и какая база на этом тарифе».

По действующим прайсам двух российских провайдеров минимум выглядит так. Timeweb при оплате за год: тариф Year — 316 ₽ в месяц, то есть 3 792 ₽ за год, два сайта, 15 ГБ, бесплатный SSL. Beget при оплате за год: тариф Blog — 420 ₽ в месяц, и сам провайдер пишет итог рядом, «5 040 ₽ в год». Вилка «5 000–25 000 ₽ в год» со страницы студии начинается примерно там, где лежит реальный минимум, и заканчивается в пять раз выше. Если разбираться, какие строки тарифа на самом деле задают его цену, становится видно, что платят не за гигабайты, а за число сайтов и баз, — и под WordPress этот подсчёт делается до покупки.

03Шаг 2. Домен регистрируется на вас, и это проверяется одной строкой

Проверка короткая: в карточке домена у регистратора в поле администратора должны стоять вы или ваша организация. Координационный центр доменов .RU/.РФ определяет это понятие прямо: «Администратор доменного имени – юридическое или физическое лицо, на которое зарегистрировано доменное имя», и именно администратор по правилам регистрации обладает правами и обязанностями в отношении домена. Всё остальное — договорённости, которые ничего не значат, если в реестре записан не тот.

Цены: у Beget .RU — 199 ₽ регистрация и 420 ₽ продление, .COM — 1 490 и 1 790 ₽; у Timeweb .RU — 200 ₽ регистрация при зачёркнутых 399 ₽ и 399 ₽ продление. Разница между первым годом и вторым здесь двукратная, и это общее правило рынка, а не акция одного продавца. Координационный центр цены не устанавливает вовсе: «Стоимость регистрации доменного имени определяется регистратором, предоставляющим данную услугу». Запрет у него другой — регистратор не вправе брать разные деньги за разные имена внутри одной зоны.

Отсюда и число 179,00 ₽ со страницы блога из таблицы выше: оно было верным когда-то, а сегодня у того же Бегета регистрация стоит 199 ₽. Цена домена — это строка, которая устаревает в статьях быстрее всех. Вместе с доменом проверяются и остальные доступы: на кого записаны хостинг, админка и аккаунты аналитики после сдачи работы — вопрос, который дешевле задать до подписания договора, чем выяснять через год при переезде.

04Шаг 3. Установка ядра: у версии есть номер, дата и срок поддержки

На момент написания последняя версия — WordPress 7.1.4, выпущена 28 октября 2026 года. Номер и дата нужны не для красоты: от них считается поддержка.

Политика проекта сформулирована без запаса: «The only current officially supported version is the last major release of WordPress», а предыдущие мажорные версии «may or may not get security updates as serious exploits are discovered». В разделе о поддержке сказано ещё жёстче — правки безопасности бэкпортируются на старые ветви «as a courtesy», гарантии и срока для старых релизов нет, версии с долгосрочной поддержкой наподобие Ubuntu LTS у WordPress не существует, и безопасной для использования называется только последняя активно поддерживаемая серия.

Как это выглядит в жизни, показывает объявление команды безопасности от 18 июня 2025 года: обновления для версий с 4.1 по 4.6 прекращены в июле 2025-го, а в админке этих сайтов появилось неснимаемое предупреждение.

Проблема не теоретическая. По данным W3Techs на 31 октября 2026 года WordPress стоит на 58,2 % сайтов с известной системой управления и на 39,5 % всех сайтов вообще. Внутри этого на седьмой ветке 67,7 %, на шестой 25,5 %, а на пятой, четвёртой и третьей — 4,7 %, 2,0 % и 0,2 %. Сложим три последних: 6,9 % всех сайтов на WordPress живут на ветках, которые официально не поддерживаются. Каждый четырнадцатый. Проверка на этом шаге делается в админке за десять секунд: раздел «Обновления» показывает и версию ядра, и состояние автообновлений.

05Шаг 4. Тема — место, где бесплатная CMS перестаёт быть бесплатной

Тема задаёт вёрстку, и именно здесь в смете впервые появляется чужая подписка. У Astra, одной из самых распространённых коммерческих тем, тариф Astra Pro стоит 99 долларов за первый год при зачёркнутых 149, и на той же странице прайса подписано: «Renews at $149 /yr». То есть со второго года цена — 149 долларов, на три сайта; пожизненный вариант — 279 долларов разово.

Это не особенность одного вендора, а устройство рынка: первый год продаётся со скидкой, продление идёт по полной. Ни одна страница выдачи про разницу между первым годом и вторым не говорит.

Отдельно про конструкторы страниц. По тем же данным W3Techs, Elementor стоит на 31,5 % всех сайтов на WordPress — то есть почти на каждом третьем. Его платная версия тоже годовая подписка, и если тему или конструктор выбирает подрядчик, в договоре должно быть написано, на чью учётную запись оформлена лицензия и кто платит за продление. Иначе через год сайт перестаёт получать обновления компонента, на котором собран, а узнаёте вы об этом из уведомления в админке.

06Шаг 5. Плагины — это подписки, которые продлеваются каждый год

Три типовые задачи малого сайта — мультиязычность, работа с поисковой выдачей и нормальные формы заявок — закрываются платными плагинами. Цены с их официальных страниц на 1 ноября 2026 года:

Главное в этой таблице — не суммы, а последняя колонка и слово «год». WPML пишет об этом прямо: «All account types include support and updates for a year». Yoast ограничивает подписку одним адресом: «Yoast SEO Premium subscription can be used on 1 website or domain», и второй сайт требует второй подписки. Сложим реалистичный набор для корпоративного сайта без мультиязычности: продление темы 149 $ плюс Yoast 118,80 $ плюс Gravity Forms Basic 59 $ — 326,80 доллара в год, каждый год, независимо от того, меняете вы на сайте что-нибудь или нет.

На этом фоне утверждение «без лицензионных платежей», которое стоит на продающей странице одной из студий топа, верно ровно для пустой установки WordPress без темы и плагинов. Если собирать сайт сразу с понятным перечнем, я беру сборку сайта на WordPress со списком плагинов и их лицензий в приложении к договору отдельной работой, и начинается она не с установки, а с решения, какие из этих подписок вам действительно нужны — потому что половина обычно не нужна.

07Шаг 6. Формы и аналитика: проверка в том, что заявка дошла

Технически шаг простой: плагин формы, цели в Метрике, уведомление на почту. Проверяется он единственным способом — отправить тестовую заявку и убедиться, что письмо пришло и цель засчиталась. Этот шаг пропускают чаще прочих, потому что форма визуально работает: кнопка нажимается, «спасибо» показывается.

Молчащая форма — отдельная болезнь сайтов на своей CMS: письма уходят с адреса хостинга и попадают в спам, SMTP-плагин ломается после обновления, уведомление настроено на почту уволившегося сотрудника. Если разбираться, на каком именно участке пути теряются заявки, выясняется, что участков всего четыре и проверяются они без доступа к коду.

08Шаг 7. Обновления и бэкап: что именно ломается и почему хостинг не спасает

Это ответ на вопрос «за что платить каждый год», и он измеряется числами. По отчёту Patchstack за 2025 год в экосистеме WordPress найдено 11 334 новых уязвимости — на 42 % больше, чем годом раньше. Из них 4 124 (36 %) представляли реальную угрозу, а 1 966 (17 %) получили высокий балл, то есть «were likely to be exploited in automated mass-scale attacks». Распределение по компонентам снимает вопрос, где именно опасность: 91 % уязвимостей нашли в плагинах, 9 % в темах, а в самом ядре — шесть, и все низкоприоритетные.

Два числа оттуда же бьют по распространённым утешениям. Первое — про платные компоненты: их проверяют реже, потому что код закрыт, и из полученных отчётов по премиум-плагинам и темам 76 % оказались применимы в реальных атаках, а критических уязвимостей нулевого дня там нашли 33 против 12 в бесплатных. Платное не значит защищённое. Второе — про хостинг: в масштабном пентесте популярных хостинг-провайдеров блокировались только 26 % атак через уязвимости. Отдельно отмечено, что 46 % уязвимостей не получили исправления от разработчика к моменту публичного раскрытия, а медианное время до массовой эксплуатации самых популярных у атакующих дыр — пять часов.

Что про обновления говорит сам WordPress. В документации по плагинам есть прямая подсказка, которую видно до установки: каждое описание помечено либо «Compatible with your version of WordPress», либо «Untested with your version of WordPress», и плагин, не обновлявшийся после выхода нового ядра, может быть несовместим. Там же — предупреждение, повторённое на странице дважды: «Always make sure you have a current backup of your site before updating your plugins. Sometimes problems can happen during the update process».

А в инструкции по обновлению ядра описано, что увидит владелец, если это предупреждение проигнорировать: «If your blog looks scrambled now or features line errors, an old plugin that doesn't work with the new code may be the culprit» — лечится это отключением всех сторонних плагинов и включением по одному. И отдельное правило для заброшенных сайтов: прыгать больше чем через две мажорные версии не следует, обновляться надо по шагам, иначе есть риск повредить базу. Поэтому бэкап — не галочка в тарифе, а проверяемая вещь: как убедиться, что ваша резервная копия действительно разворачивается, стоит выяснить до первого обновления, а не после него.

Разберём именно
ваш сайт бесплатно

Посмотрю страницу и рекламу, найду,
где теряются заявки, и пришлю план,
что поменять.

Что входит в разбор

• 1
  Где теряются заявкипуть от объявления до формы
• 2
  Что поправить на сайтепервый экран, оффер, формы
• 3
  Что поменять в рекламезапросы, объявления, бюджет

Михаил Лапошинразберу ваш проект лично

Ваше имяТелефонСайт

TelegramWhatsAppЗвонок

Согласен на обработку данных и политику конфиденциальностиПолучить бесплатный разбор

✓ Заявка принята — отвечу в течение часа

09Шаг 8. Приёмка: что проверяется без программиста

Семь строк, на которые нужен ответ до подписания акта:

1. Версия PHP и база данных на тарифе — совпадают с тремя строками требований WordPress.
2. Версия ядра в админке — последняя мажорная, автообновления включены.
3. Администратор домена в карточке регистратора — вы, а не подрядчик.
4. Список установленных плагинов и тем с пометкой, какие из них платные.
5. По каждому платному компоненту — на чью учётную запись оформлена лицензия и когда продление.
6. Тестовая заявка: письмо пришло, цель в Метрике засчиталась.
7. Бэкап: где лежит, как часто делается и кто умеет его развернуть.

Ни один пункт не требует знания кода, и все семь проверяются за один вечер. Пятый и седьмой — те, из-за которых через год приходят с «сайт сломался и чинить некому». Остальные пять в договоре обычно есть, просто в виде, который никто не читает: что в таком договоре смотреть заказчику построчно, я разбирал отдельно, и перечень работ там оказывается важнее итоговой суммы.

10Годовой счёт после запуска: минимум и реалистичный набор

Теперь то, чего нет ни у одной страницы выдачи, — сложенная сумма по действующим тарифам. Разработка сюда не входит: она разовая, и её вилку вы видели в первой таблице.

Сумму в двух валютах я нарочно не свожу в одну: курс на день оплаты я не знаю, а поставить сюда число без источника — значит сделать то же, что делают страницы с вилкой «от 5 тысяч рублей до 30 тысяч долларов». Важен порядок величин: обязательная часть владения сайтом на WordPress — это около четырёх тысяч рублей в год, а всё, что выше, — чужие подписки, каждую из которых можно назвать по имени и посчитать. Если считать не только WordPress, во что обходится год владения сайтом на любой платформе, картина получается та же: обязательных строк мало, необязательных много, и путают их постоянно.

11Когда своего WordPress не нужно вовсе

Есть развилка, которую в русской выдаче не показал никто. На wordpress.com тариф Business стоит 25 долларов в месяц при оплате за 12 месяцев — около 300 долларов в год, — и в эту сумму входят хостинг, веб-файрвол, защита от DDoS и перебора пароля и автоматические обновления ядра без доплаты; на Business и Commerce бэкапы делаются в реальном времени, на Personal и Premium — ежедневно. Тарифы ниже: Personal 4 доллара в месяц при годовой оплате, Premium 8, Commerce 45.

Сравните это с реалистичной колонкой таблицы выше — 5 460 ₽ плюс 326,80 доллара — и видно, что по деньгам варианты сопоставимы. Разница не в цене, а в правах: на своём хостинге у вас есть файлы, база и любой плагин, но обновления и восстановление после взлома — ваша работа или отдельный счёт подрядчика. На подписке наоборот.

Поэтому выбор делается по трём вопросам: нужен ли вам доступ к файлам и базе, есть ли кому ставить обновления, сколько языков и интеграций будет через год. Если ответы «нет, некому, один язык» — своя CMS, скорее всего, не нужна, и где именно проходит граница между конструктором и своей системой по годовому счёту, я считал на двух платформах с одинаковыми правилами подсчёта.

Если вам уже назвали цену разработки и хочется посчитать ваш годовой счёт по тем тарифам и лицензиям, которые реально стоят в смете, считать его стоит до подписания, а не после первого продления: именно продление, а не запуск, оказывается тем числом, которого в смете не было.

Михаил ЛапошинМаркетолог, руководитель Laposhin Agency

«Делаем сайты и запускаем Яндекс Директ так, чтобы
сайт приносил заявки, а не просто был»

Есть вопрос по статье?Задать вопрос в Telegram