Установка WordPress на VPS: пошаговая инструкция

Что понадобится перед началом

Для установки WordPress на VPS нужен сервер с чистой Ubuntu или Debian, доступ по SSH с root-правами и зарегистрированный домен, если сайт сразу должен быть доступен по имени, а не по IP-адресу. Минимально комфортная конфигурация — 1 vCPU и 1–2 ГБ оперативной памяти; для сайта с несколькими активными плагинами лучше закладывать 2 ГБ.

Шаг 1. Веб-сервер и PHP

Установите nginx как веб-сервер и PHP-FPM нужной версии (WordPress рекомендует PHP 8.1 и новее) вместе с необходимыми модулями: php-mysql, php-curl, php-gd, php-mbstring, php-xml, php-zip. После установки настройте виртуальный хост nginx на директорию будущего сайта и подключите PHP-FPM через сокет или порт.

Проверить, что PHP работает корректно, можно временным файлом с функцией phpinfo() — если страница открывается в браузере с информацией о версии PHP, связка веб-сервера и PHP настроена верно; после проверки такой файл обязательно нужно удалить.

Шаг 2. База данных

Установите MySQL или MariaDB, создайте отдельную базу данных и отдельного пользователя с полными правами только на эту базу — использовать root-пользователя MySQL для сайта не стоит из соображений безопасности. Запишите имя базы, пользователя и пароль — они понадобятся на шаге установки WordPress.

Шаг 3. Файлы WordPress и запуск установки

Скачайте актуальный архив WordPress с официального сайта, распакуйте в директорию сайта и выставьте владельца файлов на пользователя веб-сервера (обычно www-data). Откройте сайт в браузере — WordPress автоматически покажет мастер установки: укажите данные базы данных из предыдущего шага, придумайте имя сайта и учётные данные администратора.

После завершения мастера сайт уже работает, но стоит сразу удалить со страницы информацию о версии PHP (если оставляли для проверки), сменить префикс таблиц базы данных на нестандартный при установке и включить обновления безопасности WordPress.

Шаг 4. SSL и последние штрихи

Выпустите бесплатный сертификат Let’s Encrypt (см. отдельную статью в базе знаний) и настройте редирект с HTTP на HTTPS в конфигурации nginx. Установите плагин кэширования и настройте регулярное резервное копирование — это должно быть сделано до наполнения сайта контентом, а не после первого инцидента.

Чек-лист безопасности сразу после установки

Смените стандартное имя администратора «admin» на уникальное — это первая строка, которую перебирают боты при попытке подбора пароля. Установите длинный уникальный пароль или подключите вход по ключу через плагин двухфакторной аутентификации.

Запретите редактирование файлов тем и плагинов прямо из административной панели (константа DISALLOW_FILE_EDIT в wp-config.php) — это закрывает один из типичных путей закрепления в системе при взломе через уязвимый плагин. Выставьте права на файлы 644, на директории 755, а на wp-config.php — 600, и ограничьте число активных плагинов только действительно нужными.

Настройте автоматические обновления самого WordPress и, по возможности, плагинов — большинство успешных взломов эксплуатируют уязвимости, для которых обновление с исправлением уже вышло, но не установлено.