WP2Shell — цепочка CVE-2026-63030 и CVE-2026-60137 в ядре WordPress.

Под угрозой полного удалённого выполнения кода: WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1.

Атака работает без авторизации на стоковой установке без плагинов и тем.

WordPress.org применил редкую меру — принудительные автообновления для уязвимых версий.

Решение: обновиться до 6.9.5, 7.0.2 или 6.8.6 и проверить журналы доступа.

Что такое WP2Shell

WP2Shell — это комбинация двух багов в ядре WordPress, а не в стороннем плагине или теме. CVE-2026-63030 связана с путаницей маршрутов в пакетном endpoint REST API /wp-json/batch/v1. CVE-2026-60137 — SQL-инъекция в параметре author__not_in компонента WP_Query. По отдельности они серьёзны, вместе дают удалённое выполнение кода от анонимного пользователя.

Какие версии под угрозой

Полная цепочка RCE работает на WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1. SQL-инъекция CVE-2026-60137 также присутствует в ветке 6.8.0–6.8.5, но там она не превращается в удалённый шелл, поскольку REST API batch endpoint появился только в 6.9. Исправления — версии 6.9.5, 7.0.2 и 6.8.6.

Масштаб угрозы

По официальной статистике WordPress, уязвимые версии установлены на более чем 400 миллионах сайтов. Исследователь Дэниэл Кард проанализировал выборку около 3500 площадок и оценил долю уязвимых экземпляров менее чем в 15%. Даже при такой оценке речь идёт о десятках миллионах потенциальных жертв.

Что делать

1. Проверить версию WordPress в админ-панели или через WP-CLI.
2. Обновиться до 6.9.5, 7.0.2 или 6.8.6 в зависимости от текущей ветки.
3. Убедиться, что принудительное автообновление действительно применилось.
4. Проверить журналы доступа на обращения к /wp-json/batch/v1.
5. Если обновление невозможно срочно — временно заблокировать endpoint /wp-json/batch/v1 на WAF.

Выводы

Атака не требует предварительных условий и может быть использована анонимным пользователем на стоковой установке WordPress без плагинов.

WP2Shell — редкий случай, когда уязвимость затрагивает ядро CMS, а не стороннее расширение. WordPress.org пошёл на нехарактерный шаг — принудительную доставку патчей, — что говорит о серьёзности угрозы. Если вы администратор сайта на WordPress, обновление до актуальных версий — приоритетная задача.

Источник: Slashdot (цитирует TechCrunch).

В рамках Operation Endgame отключены 106 серверов SocGholish и очищены 14 971 заражённый сайт на WordPress.

SocGholish (он же FakeUpdates) — JavaScript-даунлоудер, активен с 2017 года и доставляет шифровальщиков и шпионское ПО.

Распространяется через скомпрометированные сайты под видом обновлений Chrome, Firefox и популярного софта.

Связан с группами Evil Corp, LockBit, RansomHub, Dridex и Raspberry Robin.

Владельцам сайтов рекомендовано обновить CMS, сменить учётные данные и удалить подозрительные аккаунты.

Операция прошла в рамках инициативы Operation Endgame, запущенной в 2024 году для борьбы с ботнетами и криминальной инфраструктурой. Владельцам очищенных сайтов уже разосланы уведомления: обновить CMS, изменить пароли и удалить подозрительные учётные записи.

SocGholish — один из старейших JavaScript-даунлоудеров. Он заражает компьютеры через взломанные сайты, предлагая посетителям фальшивые обновления браузеров или популярного ПО. После установки малварь открывает начальный доступ к системе, который затем используется для атак шифровальщиками и шпионским ПО.

За годы активности за SocGholish закрепились множество имён: FakeUpdates, Gold Prelude, TA569 и UNC1543. Инфраструктура малвари тесно связана с группами Evil Corp, LockBit, RansomHub, Dridex и Raspberry Robin.

Как защитить свой сайт

• Регулярно обновляйте WordPress, плагины и темы.
• Используйте сложные уникальные пароли и двухфакторную аутентификацию.
• Проверьте список администраторов и удалите подозрительные аккаунты.
• Мониторьте файлы сайта на наличие внедрённого JavaScript-кода.

Operation Endgame называет эту операцию началом дальнейших действий против SocGholish. Хотя часть инфраструктуры отключена, экосистема малвари включает аффилиатов и системы распределения трафика, поэтому угроза сохраняется. Подробности — в первоисточнике на The Hacker News.

Один такой кейс я помню особенно болезненно. Заказчик специально ушёл от «тяжёлых» платформ ради самописного решения: быстрее сроки, ниже чек на входе. Полгода спустя каталог перевалил за 10 000 позиций. Страницы открывались по 8–12 секунд, поиск фактически умер, обмен с учёткой превратился в ручной ад. В итоге пришлось пересобирать магазин на другой системе — и суммарно это стоило примерно в три раза больше, чем если бы выбрать нормальный фундамент сразу.

Вывод простой и непопулярный: для интернет-магазина CMS — это не «движок сайта», а контур бизнеса. Если он не тянет каталог, склады, оплаты и промо — экономия на старте превращается в налог на переделку.

Почему «красивая витрина» не спасает

Товар и дизайн важны. Но когда речь про оборот, в игру входят другие вещи: скорость выдачи каталога под нагрузкой, связка с 1С или CRM, гибкость скидок, безопасность оплат, возможность масштабировать без ручного копания в ядре.

Я бы проверял любую платформу не по «можно ли сделать красиво», а по чек-листу: большой каталог без комы в выдаче, интеграции без лютого кастома, промо-логика без боли, понятный путь от заказа до оплаты. Всё остальное — уже вторичный дизайн.

Где Битрикс реально оправдан

На корпоративных и сетевых историях Битрикс заходит потому, что это не «лендинг с корзиной», а связка магазина с процессами: каталог, заказы, складские и клиентские сценарии из коробки, обмен с 1С как отдельная экосистема.

Был у нас запуск для стройсети: 80 000 товаров, несколько складов, отдельная математика скидок для B2B. На чистом PHP такое можно дописать, но это месяцы и жирный бюджет. На готовом контуре мы вышли в прод заметно быстрее — потому что решали задачу бизнеса, а не изобретали велосипед.

Цена лицензии и сервера — да, это не «бесплатный WordPress». Зато это честная модель: вы платите за то, что масштаб и интеграции уже заложены в архитектуру, а не пробиты латками.

Kогда разумнее WooCommerce и облако

Если у вас не миллион SKU и не десять складов, а тысяча позиций и простая воронка — связка WordPress + WooCommerce часто выигрывает по скорости запуска и по цене входа. Экосистема плагинов закрывает типовые задачи без заказной разработки на каждый чих.

Облачные SaaS вроде Shopify годятся, когда компании нужен быстрый старт без администрирования сервера и команды DevOps. Комиссии и ограничения платформы нужно закладывать в юнит-экономику заранее — но для проверки гипотезы это иногда лучший компромисс.

OpenCart и аналоги я чаще видел у проектов, где важна предсказуемость и «руки разработчика на аутсорсе»: проще найти исполнителя, меньше сюрпризов, чем на экзотике. Magento и тяжёлый enterprise-класс имеют смысл, когда команда уже сильная технически и каталог — это отдельный продукт, а не «сайт с корзиной».

Самопис — не зло, но это отдельная ставка

Своя CMS имеет смысл, когда продукт по сути уникален и типовые решения мешают. Во всех остальных случаях вы покупаете не «уникальность», а дорогую поддержку собственного монстра: каждый апдейт PHP, каждый новый способ оплаты — ваш головняк.

Если уже понятно, что платформа не та

Переезд между системами редко бывает «копипастой базы». Обычно это заново собранная карточка товара, перепроверенные атрибуты, аккуратная переездная SEO-схема и пауза в маркетинге на время технических работ. Я закладываю такие работы как отдельный проект с понятным бэклогом — иначе получится хаос и простой продаж.

На этом этапе экономить опаснее всего: «перенесём как получится» почти всегда означает битые URL, дубли в выдаче и потерянные заказы в переходный месяц. Если уж делаете миграцию — делайте её один раз и основательно.

Что мы делаем перед выбором

• Считаем не «стоимость запуска», а стоимость трёх лет жизни: лицензии, хостинг, доработки, интеграции.
• Фиксируем сценарии: каталог, промо, B2B/B2C, обмен с учёткой, маркетплейсы.
• Закладываем буфер на рост — если через год SKU вырастет в пять раз, платформа должна выдержать без полной переделки.
• Перед подписанием уточняем у подрядчика три неудобных вещи: сколько стоит час поддержки после запуска, как закрываются интеграции «не из коробки», и что будет, если через полгода понадобится второй склад или новый тип оплаты.

Ответы без конкретики («сделаем как надо») для меня красный флаг. Нормальный исполнитель называет риски и диапазоны хотя бы порядка величины.

Если очень коротко: не экономьте на фундаменте там, где сайт — канал продаж. Экономия почти всегда вернётся чеком на миграцию.

Подробнее разобрал платформы и критерии в материале на сайте: как выбрать CMS для интернет-магазина — сравнение подходов.

Новый владелец бизнеса купил плагины на Flippa (маркетплейс, где продают готовые онлайн-бизнесы) в конце 2024 года — вместе с легальной компанией, которой было почти десять лет. Первый же его SVN-коммит в репозиторий WordPress.org содержал бэкдор через PHP-десериализацию — приём, когда данные с чужого сервера превращаются в PHP-объекты и вызывают произвольную функцию. А командный сервер (C2, command-and-control) он спрятал за смарт-контрактом Ethereum — чтобы его нельзя было отключить классическим domain takedown.

На WordPress.org закрыли 30+ плагинов автора Essential Plugin — все получили бэкдор в августе 2025.

Бэкдор спал 8 месяцев и активировался 5–6 апреля 2026: вшивал PHP-код в wp-config.php.

C2-сервер резолвится через смарт-контракт Ethereum — атакующий меняет домен одной транзакцией, блокировка DNS не спасает.

Полезная нагрузка — SEO-спам, видимый только Googlebot: скрытые редиректы и фейковые страницы.

Исходный бизнес купили на Flippa в конце 2024 года. Покупатель — человек с бэкграундом в SEO, крипте и гембле.

Как нашли: письмо в поддержку

В начале апреля 2026 года клиент хостинга Anchor (Рики из Improve & Grow) получил в админке WordPress уведомление от команды WordPress.org: плагин Countdown Timer Ultimate содержит код, позволяющий сторонним лицам получить неавторизованный доступ. Плагин уже принудительно обновили до версии 2.6.9.1, но к этому моменту сайт был скомпрометирован.

Основатель Anchor Hosting Остин Гиндер поднял резервные копии за 8 разных дат через restic и бинарным поиском определил точное окно инъекции: 6 апреля 2026 года, с 04:22 до 11:06 UTC. Шесть часов 44 минуты.

Как устроен бэкдор

В версии 2.6.7, вышедшей 8 августа 2025 года, в плагин добавили 191 строку кода. В changelog было безобидное «Проверка совместимости с WordPress 6.8.2». Файл class-anylc-admin.php вырос с 473 до 664 строк.

Добавили три вещи:

• Метод fetch_ver_info() — делает file_get_contents() на сервер атакующего и передаёт ответ в @unserialize().
• Метод version_info_clean() — вызывает функцию через $clean(...), где и имя функции, и оба её аргумента пришли из десериализованных удалённых данных.
• REST API-эндпоинт без аутентификации: permission_callback: __return_true.

Это учебный пример arbitrary function call: удалённый сервер контролирует имя функции, аргументы и данные. Бэкдор дремал 8 месяцев специально — чтобы накопить установки новой версии и разорвать в глазах комьюнити связь между сменой владельца и вредоносным коммитом.

Что делает активированный код

В начале апреля 2026 года модуль wpos-analytics обратился к analytics.essentialplugin.com, скачал файл wp-comments-posts.php (маскируется под системный wp-comments-post.php) и вшил большой блок PHP прямо в wp-config.php.

Этот блок подтягивает с C2 ссылки-спам, редиректы и фейковые страницы — и показывает их только Googlebot. Владелец сайта открывает страницу и видит обычный контент, поисковый робот индексирует спам. Это называется cloaking — классический приём чёрного SEO: разный контент для посетителей и для поисковиков.

C2 через смарт-контракт Ethereum

Главный трюк: домен C2 не хранится в коде бэкдора и не резолвится обычным DNS. Вместо этого код запрашивает публичные RPC-эндпоинты Ethereum и читает адрес C2 из смарт-контракта.

Последствия простые и неприятные. Классический domain takedown — когда регистратор блокирует домен C2 по жалобе — больше не работает: атакующий одной транзакцией обновляет смарт-контракт и переводит все заражённые сайты на новый домен. Остаются более дорогие меры: блокировка исходящих запросов к Ethereum RPC на уровне хостинга или WAF, мониторинг самого контракта (любая транзакция атакующего видна публично), абьюз-репорты крупным RPC-провайдерам вроде Infura или Alchemy. Сам контракт в блокчейне остаётся навсегда.

Как плагины попали к атакующему

Исходная команда — Minesh Shah, Anoop Ranawat и Pratik Jain — работала с 2015 года под брендом «WP Online Support», позже ребрендилась в «Essential Plugin» и разрослась до 30+ бесплатных плагинов с премиум-версиями.

К концу 2024 года выручка упала на 35–45%. Minesh выставил весь бизнес на Flippa. Покупателем стал человек по имени «Kris» — с бэкграундом в SEO, криптовалютах и маркетинге онлайн-казино. Сумма — шестизначная в долларах. Flippa даже выпустила case study о сделке в июле 2025 года. Первый SVN-коммит нового владельца и был бэкдором.

В 2017 году покупатель под ником Daley Tias скупил плагин Display Widgets (200 000 установок) за 15 000 долларов и встроил туда спам-редиректы на payday loans. Потом он таким же способом скомпрометировал ещё как минимум 9 плагинов. Сейчас мы видим тот же сценарий, только на масштабе в 30+ плагинов и с современной инфраструктурой.

Полный список скомпрометированных плагинов

WordPress.org закрыл их все в один день — 7 апреля 2026 года. Если хоть один из этих плагинов у вас установлен, считайте сайт скомпрометированным:

• Accordion and Accordion Slider
• Album and Image Gallery Plus Lightbox
• Audio Player with Playlist Ultimate
• Blog Designer for Post and Widget
• Countdown Timer Ultimate
• Featured Post Creative
• Footer Mega Grid Columns
• Hero Banner Ultimate
• HTML5 VideoGallery Plus Player
• Meta Slider and Carousel with Lightbox
• Popup Anything on Click
• Portfolio and Projects
• Post Category Image with Grid and Slider
• Post Grid and Filter Ultimate
• Preloader for Website
• Product Categories Designs for WooCommerce
• Responsive WP FAQ with Category (sp-faq)
• SlidersPack — All in One Image Sliders
• SP News And Widget
• Styles for WP PageNavi — Addon
• Ticker Ultimate
• Timeline and History Slider
• Woo Product Slider and Carousel with Category
• WP Blog and Widgets
• WP Featured Content and Slider
• WP Logo Showcase Responsive Slider and Carousel
• WP Responsive Recent Post Slider
• WP Slick Slider and Image Carousel
• WP Team Showcase and Slider
• WP Testimonial with Widget
• WP Trending Post Slider and Widget

Что делать прямо сейчас

Принудительное обновление от WordPress.org (версия 2.6.9.1 для Countdown Timer Ultimate и аналогичные для остальных) просто добавило return; в начало функций дозвона на C2. Это пластырь: модуль wpos-analytics со всем вредоносным кодом остаётся в файловой системе. При следующем обновлении от злоумышленника (если он поднимет новый плагин) достаточно убрать этот return;.

Минимальный чеклист:

1. Выгрузите список активных плагинов: wp plugin list --format=csv.
2. Сверьте авторов с закрытым списком выше. Ищите «Essential Plugin», «WP Online Support», «SpiceThemes», «Bestwebsoft» — на всякий случай проверьте все корпоративные сборки старше 5 лет.
3. Удалите или переустановите из чистых источников. Anchor выложил пропатченные версии с вырезанным модулем wpos-analytics.
4. Проверьте wp-config.php на посторонний PHP-код после стандартных констант. Особенно подозрительно — require или include файла wp-comments-posts.php.
5. Проверьте логи исходящих соединений за март–апрель 2026 на домен analytics.essentialplugin.com и обращения к Ethereum RPC (Infura, Alchemy, публичные ноды).
6. Если сайт получал заметный органический трафик с Google — проверьте Search Console на «страницы с проблемами» и сделайте re-submission после очистки.

Команды на проверку wp-config.php:

Выводы

Масштаб supply-chain атак на WordPress-плагины вырос: в истории с Display Widgets в 2017 году было 9 плагинов, здесь — 30+. Маркетплейсы вроде Flippa не умеют (и не обязаны) проверять покупателя на криминальный потенциал. Почти десятилетняя легальная история плагина создаёт доверие, которое атакующий конвертирует в 8-месячный период скрытности.

Связка marketplace + PHP-десериализация + C2 в блокчейне делает классические методы защиты (DNS-блокировки, репутация автора) бесполезными. Единственное, что работает, — аудит реального кода каждого обновления и мониторинг исходящих соединений. Для больших инсталляций — автоматический diff changelog против diff кода: если changelog говорит «compatibility check», а реальный diff — 191 новая строка, это красный флаг.

Пока WordPress.org не внедрит обязательную проверку личности новых мейнтейнеров при смене владельца плагина и автоматический diff-анализ SVN-коммитов, подобные истории будут повторяться. Проверьте свои сайты сегодня — принудительный апдейт закрыл только активацию, а не сам код модуля wpos-analytics.

Источники: расследование Остина Гиндера (Anchor Hosting), официальные closed-страницы WordPress.org Plugins Team.

EmDash — это новая open-source CMS (система управления контентом) на TypeScript от Cloudflare, которую компания называет «духовным наследником WordPress». Главная идея: плагины работают в изолированных песочницах и не могут навредить сайту, даже если содержат уязвимости.

• Cloudflare выпустила EmDash v0.1.0 — open-source CMS на TypeScript с MIT-лицензией
• Каждый плагин запускается в изолированной песочнице (Dynamic Workers) и декларирует нужные разрешения в манифесте
• 96% уязвимостей WordPress-сайтов приходится на плагины — EmDash решает эту проблему архитектурно
• Под капотом — Astro, serverless-архитектура, Portable Text вместо HTML, встроенный MCP-сервер для ИИ-агентов
• Проект создан за 2 месяца с помощью ИИ-агентов, доступен на GitHub (3200+ звёзд за сутки)

WordPress исполнится 23 года в этом году (основан в 2003 году). Платформа обслуживает более 40% всех сайтов в интернете, но её архитектура родом из эпохи, когда AWS EC2 ещё не существовал. Плагинная система WordPress — главное преимущество и главная боль одновременно.

Почему безопасность плагинов WordPress — нерешаемая проблема

В WordPress плагин — это PHP-скрипт, который встраивается напрямую в ядро и получает полный доступ к базе данных и файловой системе. Нет изоляции, нет ограничений. Установить плагин — значит полностью ему довериться.

Статистика Wordfence и других ИБ-компаний неутешительна:

• 96% уязвимостей WordPress-сайтов происходят из плагинов
• В 2025 году нашли больше критических уязвимостей в экосистеме WordPress, чем за два предыдущих года вместе
• Очередь ревью в маркетплейсе WordPress.org — 800+ плагинов, ожидание — минимум 2 недели

WordPress не может решить эту проблему, не переписав архитектуру с нуля. Cloudflare решила это сделать.

Как EmDash изолирует плагины

В EmDash каждый плагин запускается в собственном изолированном воркере (Dynamic Worker — легковесная v8-песочница, запускающаяся за миллисекунды). Вместо полного доступа ко всему, плагин декларирует в манифесте, какие возможности ему нужны:

Этот плагин запрашивает ровно два разрешения: чтение контента и отправку email. Ничего другого он сделать не может — ни обратиться к внешнему серверу, ни прочитать файловую систему, ни получить доступ к базе данных напрямую.

Модель напоминает OAuth: при установке плагина вы видите, какие именно разрешения он запрашивает, и принимаете осознанное решение. Администратор может задать политики — какие capabilities допустимы для каких ролей.

Архитектура и стек

EmDash построен на современном стеке:

• TypeScript — весь код, включая плагины и темы
• Astro — фреймворк для контентных сайтов, рендеринг тем
• Portable Text — структурированный JSON вместо HTML, контент не привязан к DOM
• Serverless — масштабируется до нуля, работает на Cloudflare Workers или любом Node.js-сервере
• Passkeys — аутентификация без паролей по умолчанию (WebAuthn)
• MIT-лицензия — без ограничений GPL, плагины могут иметь любую лицензию

Хранение и совместимость

На Cloudflare EmDash использует D1 (база данных), R2 (файлы), Workers (вычисления). Но абстракции портируемы: можно запустить на SQLite, PostgreSQL, AWS S3 или локальном файловом хранилище. Команда для развёртывания:

ИИ-нативная CMS: MCP, CLI, Agent Skills

EmDash спроектирован для работы с ИИ-агентами:

• Встроенный MCP-сервер — Claude, ChatGPT и другие ИИ-инструменты могут управлять сайтом напрямую через Model Context Protocol
• Agent Skills — файлы-инструкции для ИИ-агентов: как писать плагины, портировать темы с WordPress, работать со схемами контента
• CLI — программное управление контентом, медиа, схемами

По сути, рутинную работу — миграцию контента, создание плагинов, адаптацию тем — можно поручить ИИ-агенту, и EmDash даст ему весь необходимый контекст.

Встроенная монетизация через x402

Каждый сайт на EmDash поддерживает стандарт x402 — нативные интернет-платежи. Клиент (например, ИИ-агент) отправляет HTTP-запрос, получает ответ 402 Payment Required и оплачивает доступ к контенту на лету. Настроить монетизацию можно без единой строчки кода — указать, какой контент платный, и привязать кошелёк.

Миграция с WordPress

EmDash поддерживает импорт существующих WordPress-сайтов:

1. Экспорт WXR-файла (WordPress eXtended RSS) из WordPress-админки
2. Или установка плагина EmDash Exporter, который создаёт защищённый endpoint для миграции
3. Автоматический перенос постов, страниц, медиафайлов и таксономий

Кастомные типы контента (которые в WordPress требуют Advanced Custom Fields) в EmDash задаются через визуальный конструктор схем в админке.

Что стоит учесть

EmDash находится в статусе бета-превью (v0.1.0). Несколько моментов:

• Проект молодой — 62 коммита, 4 контрибьютора, 34 релиза
• Песочница для плагинов через Dynamic Workers требует платного аккаунта Cloudflare (от $5/мес), но EmDash запускается и без неё — плагины будут работать в safe mode без изоляции
• Экосистема плагинов и тем ещё не сформировалась — на старте доступны формы, встраивания, SEO, аудит-лог
• Привязка к инфраструктуре Cloudflare — можно запустить на Node.js, но максимальную производительность даёт именно Cloudflare

Выводы

WordPress — триумф open source, который дал возможность публиковаться миллионам. Но экосистеме нужен вариант, который даёт ту же свободу и доступность, решая при этом проблемы, которые WordPress не может решить.

EmDash — амбициозная заявка Cloudflare на рынок CMS. За 24 часа после анонса проект набрал более 3200 звёзд на GitHub и 600+ баллов на Hacker News. Продакшн-готовности пока нет — это бета. Но идея изолированных плагинов с декларативными разрешениями решает реальную проблему, которая мучает WordPress-экосистему десятилетиями.

Попробовать EmDash можно в онлайн-песочнице или развернуть локально через CLI.

WordPress часто не любят backend-разработчики, и у каждого на это есть свои причины. Кому-то не нравится функциональный стиль разработки, кто-то критикует form-builder и экосистему плагинов. У других WordPress как CMS и PHP как язык программирования до сих пор ассоциируются со стереотипами 10–15-летней давности - будто они устарели и уступают современным технологиям.

При этом реальность такова, что и PHP, и WordPress - отличные и современные инструменты, которые очень хорошо выполняют свои задачи. Опустим PHP - статья не об этом. Что же можно сказать про WordPress как про продукт и как CMS?

WordPress по‑прежнему остаётся самой популярной системой управления контентом. Согласно данным команды WordPress, платформа обслуживает более 43% всех веб-сайтов и занимает долю в 61% на рынке CMS. Также статистика показывает, что WordPress используется примерно на 59% сайтов, где известна CMS (это около 42% всего веба).

Данные были взяты из официального блога WordPress и сайта w3techs.com:

• https://wordpress.com/blog/2025/04/17/wordpress-market-share/
• https://w3techs.com/technologies/overview/content_management
• https://w3techs.com/technologies/details/cm-wordpress

При этом, традиционный WordPress объединяет CMS, шаблоны на PHP и монолитные темы. Такая связка усложняет разработку с использованием современных JS фреймворков, а также затрудняет независимое масштабирование фронтенда и бэкенда, и оптимизацию производительности и безопасности. Жёсткая связка страниц, устаревшие PHP‑функции и не самый удобный девелоперский опыт часто заставляют команды искать альтернативы.

Headless WordPress решает эти проблемы: CMS становится админ-панелью для управления контентом, а отдельный фронтенд отвечает за UI. Такое разделение обязанностей даёт несколько преимуществ: четкое разделение ответственности, независимое масштабирование интерфейса и CMS, упрощенную локальную разработку и CI/CD. CMS превращается в API‑ориентированное хранилище, а современные фреймворки вроде Next.js берут на себя маршрутизацию и рендеринг.

Headless WordPress с использованием WPGraphQL

Чтобы использовать WordPress как headless‑CMS, нужен API. Также есть интересный пост про headless wordpress в их официальном блоге.

В WordPress из коробки есть REST API, но для frontend и mobile приложений часто удобнее использовать GraphQL. WPGraphQL - это open source плагин, который добавляет GraphQL API в WordPress. Используя WPGraphQL, мы получаем:

• Гибкие запросы к таким сущностям, как посты, страницы, произвольным типам постов, таксономиям и пользователям.
• Систему расширений которая позволяет расширять функционал GraphQL бекенда и таким образом поддерживать популярные плагины, тем самым позволяя возвращать дополнительные поля которые не относятся к стандартным полям Wordpress.
• GraphQL API, который даёт очень удобный формат для интеграции фронтенд фреймворков таких как Next.js, Astro и SvelteKit.
• Оптимизацию производительности, поскольку клиент запрашивает только нужные поля и данные делая один запрос вместо группы REST запросов + отдельный фронтенд забирает на себя часть запросов.

В дополнение к доступному функционалу WPGraphQL можно добавлять дополнительные плагины-расширения, такие как WPGraphQL Yoast SEO и WooGraphQL (WPGraphQL для WooCommerce). Таким образом добавив несколько плагинов в базовую инсталляцию CMS можно из коробки получить полностью функциональный GraphQL бекенд, который может покрыть запросы для блога, сео функционал, онлайн-магазин и тд.

Важно отметить, что изначальная идея использовать WPGraphQL пришла из статьи в блоге Vercel.

Фронтенд на Next.js

Next.js - production-ready React-фреймворк, который разрабатывается компанией Vercel. Многие используют его по умолчанию для разных headless‑проектов. Наш пример headless-wordpress не исключение. Фреймворк предлагает удобную маршрутизацию на базе файловой системы, где любой файл в папке pages автоматически становится маршрутом и поддерживает несколько стратегий рендеринга:

• Server‑side rendering (SSR) позволяет генерировать HTML при каждом запросе.
• Статическая генерация (включая [Incremental Static Regeneration])
• React Server Components, стратегия которая дает гибкость в балансировании производительности и кэширования.

Это делает Next.js хорошей платформой для работы с GraphQL API и рендеринга страниц React‑компонентами. Если у вас нет опыта с Next.js и React, то это не повод не попробовать набросать POC в свободное время. Современные Next.js и React templates + хороший AI agent помогут адаптировать UI под GraphQL для вас.

Почему Cloudflare?

Vercel очень часто является платформой по умолчанию для Next.js‑приложений. Более того Next.js адаптирован для запуска из коробки на серверах Vercel. При этом нужно добавить, что идея этой статьи не в том чтобы как-то компрометировать Vercel. Что же нужно знать про Cloudflare чтобы обратить внимание на этот сервис с точки зрения альтернативы для хостинга Next.js?

Согласно статистике, реверс-прокси сервисы Cloudflare используются примерно на 21,9% всех сайтов в интернете, а это более 82% сайтов, где используется прокси‑сервисы в принципе. Такая распространённость говорит о масштабе, надежности и глобальном охвате сервиса. Но Cloudflare - это не только reverse-proxy. Компания разрабатывает целую группу облачных сервисов, включая такие сервисы, как Cloudflare Pages - альтернатива Github Pages, Workers - Serverless functions (по аналогии с AWS Lambda), Контейнеры, Очереди, AI сервисы, R2 Object Storage, и другие. В дополнение ко всему, компания предоставляет такие сервисы, как защита сайта (site-protection), VPN и капча (human-detection captcha). Такое разнообразие сервисов делает сервис очень распространенным.

Лимиты бесплатного тарифа Cloudflare

Одним из самых интересных аргументов в пользу Cloudflare можно считать их бесплатный тариф. Защита от DDoS, Universal SSL и глобальную CDN доступны бесплатно. Также бесплатный тариф включает большинство из вышеперечисленных облачных сервисов. Например, Cloudflare Workers, который можно использовать для хостинга Next.js-проектов, бесплатно даёт 100,000 запросов в день. Или R2 object storage - альтернатива S3 по умолчанию дает 10GB пространства, которое можно использовать для хранения статики или других данных. Этого более чем достаточно чтобы поэкспериментировать на выходных с новым стеком и вполне достаточно для того, чтобы бесплатно хостить ваш проект до тех пор пока у вас не пойдет серьезный трафик. Ниже приведена таблица с некоторыми из Cloudflare сервисов и что включено в бесплатный тариф.

Запуск Serverless функций на edge-серверах

Cloudflare Workers позволяют запускать серверлесс‑код по всей сети Cloudflare. Ниже приведено изображение показывающее как работает Edge CDN, когда например статика продублирована на все доступные сервера и таким образом пользователь получает ресурсы с самого близлежащего сервера.

Эта картинка хороша тем, что аналогично CDN статике на этих же серверах можно запускать и Workers (Lambda) функции, тем самым ускоряя вашу инфраструктуру еще больше.

Одной из интересных особенностей Workers-функций является отсутствие cold-starts. Любой cloud provider обычно подымает docker container или виртуализированное окружение в момент первого запуска программы, а это всегда задержка. Минусом Workers-функций является тот факт что их Runtime API требует чтобы код мог использовать их Web platform APIs. А это в свою очередь ограничивает выбор языка программирования: Javascript, Typescript и WebAssembly. Но благодаря такому подходу Workers используют изолированную модель запуска и могут быть прогреты еще до момента запуска кода этого воркера. Прогрев начинается еще на этапе TLS-соединения между клиентом и серверами Cloudflare. Полный текст статьи можно почитать в их блоге.

Воркеры выполняются на edge-серверах, которые находятся ближе всего к пользователям, тем самым уменьшая задержку и разгружая origin‑сервер (в нашем случае WordPress backend). По аналогии с другими cloud-провайдерами, код внутри Workers Runtime может использовать другие сервисы Cloudflare, такие как:

• Cache API - позволяет читать и записывать данные в глобальный edge‑кэш через caches.default, что удобно для кэширования GraphQL‑ответов или страниц Next.js.
• Workers KV - распределенное key‑value‑хранилище для конфигурации и небольших наборов данных; можно хранить и получать данные глобально с низкой задержкой.
• Cron Triggers - можно сопоставить cron‑выражение с обработчиком scheduled(), чтобы запускать периодические задачи, например, уборку кэша или обновление данных. Триггеры выполняются на малоиспользуемых машинах, максимизируя эффективность.

Наличие доступа к дополнительным сервисам, таким как базы данных (D1), объектное хранилище (R2), очереди и AI даёт свободу строить более сложные и гибкие архитектуры, что очень полезно в дальнейшем на больших масштабах.

OpenNext: мост между Next.js и Cloudflare

Самостоятельный деплой Next.js на разные платформы непрост, поскольку среда исполнения Vercel отличается от других. Можно поднять Next.js на Node‑сервере, но его работа отличается от edge‑режима Vercel. OpenNext - это проект с открытым исходным кодом, который адаптирует Next.js для разных серверлесс‑платформ. Важно сказать что у Next.js нет нативного способа само разворачивания на других платформах, кроме Vercel; существующие отдельные адаптеры разрознены и сложны в поддержке. OpenNext объединяет усилия в одном адаптере, переводя выход сборки Next.js в формат, совместимый с основными облачными платформами. Проект поддерживают сообщество SST (AWS), команда Cloudflare и Netlify. Соответственно, с помощью OpenNext можно развернуть Next.js на Cloudflare Workers, сохраняя SSR, статическую генерацию и API‑маршруты.

Cloudflare‑адаптер устанавливается через @opennextjs/cloudflare. Далее следует установить Wrangler, настроить wrangler.toml с вашим Account ID и создать open-next.config.ts для управления кэшем и ассетами. Адаптер собирает приложение Next.js под среду Cloudflare, создает edge‑воркер и конфигурирует кэш для статики и ISR‑страниц (например, используя R2). После публикации Git‑интеграция Cloudflare автоматически разворачивает приложение при каждом пуше в GitHub или GitLab, а для pull‑request создает превью.

Кэширование и уровни производительности

Архитектура headless WordPress + Next.js + Cloudflare обычно включает несколько уровней кэша:

1. Кэш браузера - стандартный HTTP‑кэш на стороне клиента.
2. Кэш edge‑рантайма - Cache API Cloudflare Workers сохраняет HTML‑страницы или GraphQL‑ответы рядом с пользователем; при попадании в кэш контент отдаётся мгновенно, а промахи идут к воркеру или origin.
3. Кэш ISR Next.js - технология Incremental Static Regeneration сохраняет отрендеренные страницы на сервере и обновляет их по запросу, снижая нагрузку на WordPress API.
4. Кэш GraphQL - API WPGraphQL может реализовывать кэширование по времени или тегам (например, через WPGraphQL Smart Cache), чтобы управлять сроком жизни ответов.

Эта многоуровневая иерархия кэша обеспечивает, что большинство запросов вообще не доходят до вашего WordPress‑сервера, повышая производительность и снижая нагрузку.

Пример конечной архитектуры показан на изображении ниже.

Автоматизация периодических задач

Headless‑сайтам часто требуются периодические действия - например, обновление кэша ISR или синхронизация данных. Cron Triggers Cloudflare позволяют планировать запуск воркера по cron‑выражению. Обработчик scheduled() срабатывает по расписанию и подходит для обслуживания и получения сторонних данных. Триггеры выполняются на малоиспользуемых машинах по всему миру и легко управляются через Wrangler или панель Cloudflare.

Модернизация PHP‑стека с Roots toolkit

Хотя headless WordPress переносит рендеринг на JavaScript, CMS всё ещё нужно поддерживать. В качестве бонуса хочется порекомендовать экосистему Roots, которая предлагает современный инструментарий для разработки на WordPress:

• Bedrock - шаблон WordPress, которая устанавливает ядро, плагины и темы через Composer. Таким образом Bedrock дает современную для PHP проектов структуру проекта, улучшает структуру папок, использует концепты Двенадцать факторов для конфигурации приложения с помощью .env‑файлы и тд. Более того, управление зависимостями через Composer повышает надежность и позволяет делать деплой приложения на разные сервера без страха что-то забыть или упустить.
• Sage - стартовая тема WordPress, использующая Blade от Laravel для шаблонов и интегрирующая Tailwind CSS. Sage автоматически генерирует theme.json из конфигурации Tailwind, поддерживает live preview блокового редактора с Vite и позволяет создавать компоненты на Blade. Это помогает фронтенд‑разработчикам отойти от устаревших подходов для разработки тем Wordpress с нуля.
• Trellis - DevOps‑инструмент на базе Ansible, который поднимает серверы и автоматизирует деплой. Trellis предоставляет LEMP‑стек (Ubuntu 24.04, Nginx, PHP 8.3, MariaDB), выполняет деплой без downtimes и из коробки поддерживает SSL‑сертификаты. CLI помогает создавать и настраивать серверы, а также разворачивать проекты с атомарными релизами и откатами.
• Acorn - интеграция, позволяющая использовать функционал Laravel в WordPress. С Acorn становятся доступны такие инструменты как Blade‑шаблоны, миграции, роутинг, кэширование и Artisan‑подобный CLI внутри WordPress. Это позволяет разработчикам строить плагины и фичи WordPress с использованием современных PHP‑подходов и современного фреймворка .

Эти инструменты показывают, что экосистема WordPress продолжает развиваться и хорошо сочетается с современными подходами. Иными словами, WordPress - отличное решение, если знать, как его правильно готовить.

Собираем всё вместе

Архитектура приложения headless WordPress + Next.js + Cloudflare выглядит приблизительно так:

1. WordPress (headless) - работает на традиционном сервере или в контейнере. Редакторы управляют контентом в админке. WPGraphQL и его расширения предоставляют GraphQL‑endpoint с данными, SEO и другой информацией, например данными о магазине.
2. Next.js фронтенд - React‑приложение, которое получает данные через GraphQL, рендерит страницы на сервере (SSR) или статически (ISR/SSG) и обрабатывает маршрутизацию и взаимодействие с клиентом. Код хранится в Git и автоматически разворачивается благодаря Git‑интеграции Cloudflare.
3. Cloudflare Workers - размещают приложение Next.js на edge через OpenNext. Workers исключают cold-starts и работают по аналогии с CDN как можно ближе к пользователю. Они также выполняют кэширование, обрабатывают API‑маршруты и запускают cron‑задачи.
4. Кэш на edge и в браузере - несколько уровней кэша гарантируют быструю отдачу статики и отрендеренных страниц. KV, R2 или D1 могут хранить дополнительные данные вроде сессий или объектов.

Заключение

Headless‑архитектура объединяет универсальность WordPress и гибкость современных JavaScript‑фреймворков. Экспонируя контент через WPGraphQL и потребляя его в Next.js, можно получить больше контроля над рендерингом и тем самым улучшить производительность. Размещение фронтенда на Cloudflare Workers через OpenNext позволяет приблизить фронтенд код к пользователям, устраняет cold-starts, позволяет использовать free-tier и продвинутые уровни кэширования. Инструменты вроде Bedrock, Sage, Trellis и Acorn модернизируют PHP/Wordpress‑сторону и делают CMS такой же удобной в работе, как и современный Next.js/React-фронтенд. Вместе эти технологии создают мощный стек для создания быстрых, масштабируемых и безопасных сайтов, будь то хакатон, pet‑проект или серьёзный продакшн.

Об этом говорится в новом отчете компании Aurascape, специализирующейся на информационной безопасности для систем с ИИ.

Схема проста: злоумышленники массово размещают спам-контент с нужными им номерами на разных сайтах. Более сложный вариант — взломать «уважаемый» ресурс на WordPress: сайт госоргана, университета или популярный блог и незаметно вставить туда блок «помощи» с ложным номером.

Есть методы и попроще. Например, использовать площадки с пользовательским контентом: YouTube, форумы и отзывы о компаниях. Там публикуются «гайды» вида «номер телефона для брони Emirates: +1-8xx…», щедро пересыпая текст ключевыми фразами «служба поддержки», «официальный номер» и т.п.

GEO/AEO: новый уровень SEO для обмана ИИ

Главный трюк — не просто попасть в поисковую выдачу, а стать единственным источником, который выберет ИИ-ассистент.

Aurascape называет это Generative/Answer Engine Optimization (GEO/AEO). То есть злоумышленники специально оформляют контент в формате вопрос–ответ или списков, которые модели любят превращать в «готовые» ответы.

Итог: когда пользователь спрашивает у ИИ «номер бронирования Emirates», некоторые системы (в тестах Aurascape это были Perplexity и Google AI Overviews) выдавали прямо в ответе телефон мошенников, уверенно называя его «службой поддержки».

Важно, что сами модели при этом не взламывают: они просто честно пересказывают отравленный контент, который нашли в сети.

Как реагируют сервисы и что делать пользователям

После публикации отчета, журналисты Gizmodo повторили запросы к Perplexity. Теперь бот вместо номера советует открыть официальный сайт Emirates.

Пока универсальное правило защиты одно:

• не доверять номерам, которые выдал чат-бот;
• всегда проверять телефоны и ссылки на официальных сайтах компаний;
• внимательно смотреть на домен (разница между emirates.com и похожими подделками — критична).

ИИ может помочь найти информацию, но ответственность за проверку по-прежнему на пользователе.

Выбрали путь программиста? Значит навсегда запомните, когда опубликовали первый самописный сайт. Откосить не получится: мы сразу перейдём к практике — к концу статьи у вас будет ссылка на сайт-визитку.

Мало времени? Выделите 10 минут — мы используем только HTML и CSS.

Вы узнаете:

• как подключать стили,
• как верстать блоки,
• как опубликовать сайт.

Возможно сейчас вы убедитесь, что веб-разработка — это ваше призвание, и захотите продолжить обучение профессии.

Шаг 1. Подготовим инструменты и папку проекта

Сайт можно писать и в блокноте. Это как забивать гвозди камнем – работает, но зачем мучиться? Редактор кода подсвечивает синтаксис, подсказывает команды и сразу указывает на ошибки.

Новичкам рекомендуем ставить Visual Studio Code (VS Code). Он бесплатный, не тормозит и понимает любой код. Плюс у него огромное сообщество — если нужно установить плагин или увеличить шрифт, ответ на вопрос уже есть в интернете.

Скачайте VS Code с официального сайта.

Как устроен веб-проект

Сайт — это папка с файлами для браузера.

HTML-файл содержит текст и разметку страницы, CSS-файл — правила оформления. Браузер берёт эти два файла и показывает веб-страницу.

Основной файл сайта обычно называют index.html. Стили хранятся в style.css.

Кроме файлов HTML и CSS, в нашем проекте будут папки:

• img — для картинок.
• fonts — для шрифтов.

Создайте на рабочем столе папку с названием сайта, например first-site, и соберите начальную структуру — это займёт 1 минуту.

Шаг 2. Создадим базовую HTML-страницу

В VS Code есть удобная фишка: наберите символ «!» и нажмите Tab. Редактор автоматически создаст базовую структуру HTML-документа.

Как читать структуру:

• <!DOCTYPE html> — сообщает браузеру, что это HTML-документ.
• <html> — корневой элемент, внутри которого живёт страница.
• <head> — служебная информация, которую не видно на странице.
• <body> — то, что увидят пользователи на странице.

Измените Document на название вашего сайта — это текст, который появится во вкладке браузера.

Добавим контент в <body>:

Мы не комментируем каждый тег и атрибут, потому что это тема для отдельной статьи. Наша задача — показать, как быстро собрать сайт и выложить его в интернет.

Сохраните HTML-файл и откройте его в браузере. Поздравляем, ваша первая веб-страница готова! Она недоступна другим пользователям, но мы это исправим.

Шаг 3. Подключим стили CSS

Сейчас сайт выглядит странно — чёрный текст на белом фоне. Так не пойдёт, добавим стилей в файле style.css.

CSS можно писать внутри HTML или в отдельном файле. Мы выберем второй вариант, потому что это удобнее.

Подключим CSS к HTML. В секции вашего index.html добавьте строчку:

Тег говорит браузеру: «Возьми файл style.css из той же папки и примени все стили к этой странице».

Добавьте в style.css первое правило:

Сохраните оба файла — HTML и CSS. Обновите страницу в браузере.

Фон поменял цвет? Значит, CSS подключён правильно. Можете вернуть белый фон или оставить голубой — далее мы добавим более интересные стили.

Шаг 4. Подключим шрифты

Есть три способа избавиться от дефолтного Times New Roman:

• Google Fonts — бесплатная библиотека шрифтов от Google.
• Локальные файлы — загружаете шрифт на свой сервер.
• Системные шрифты — используете то, что уже есть на компьютере пользователя.

Для первого сайта на HTML и CSS рекомендуем Google Fonts — это просто, быстро и надёжно.

Перейдите на fonts.google.com и выберите шрифт. Популярные варианты: Roboto, Open Sans, Lato, Montserrat. Нажмите на понравившийся шрифт, выберите начертания (тонкий, обычный или жирный), скопируйте код подключения и вставьте в head.

На Google Font собраны популярные шрифты. Если этого мало, нужно скачать шрифт (.woff, .woff2, .ttf) и поместить в папку fonts.

Путь к файлу указывается относительно CSS-файла. Подключаем начертания через @font-face:

Теперь используйте шрифт в CSS:

Для каждого начертания (обычный, жирный, курсив) нужно отдельное правило @font-face.

Шаг 5. Сверстаем блоки

Замените содержимое вашего style.css на этот код:

Что мы делаем:

• Убираем стандартные отступы браузера и задаём голубой фон.
• Центрируем карточку по всей странице с помощью flexbox.
• Создаём белую карточку с тенью и скруглёнными углами.
• Делаем круглый аватар с рамкой.
• Стилизуем текст и кнопку.
• Добавляем эффект при наведении на кнопку.

Шаг 6. Загрузим сайт на хостинг

Чтобы визиткой можно было поделиться, нужно загрузить файлы на хостинг. Это сервер, который работает круглосуточно и показывает ваш сайт всем желающим. Посмотреть, как это работает, можно на бесплатном тарифе.

Заходим на сайт хостинга (Beget, Hostiman, InfinityFree) и регистрируемся. После подтверждения email вы попадёте в панель управления. Система предложит выбрать домен — берите бесплатный типа название.fwh.is.

Загружаем файлы на сервер

После создания аккаунта появится доступ к файловому менеджеру. Через веб-интерфейс можно управлять файлами на сервере прямо из браузера. Перейдите в папку htdocs — это корневая директория вашего сайта, куда нужно загружать структуру.

Удалите лишние файлы по типу default.php и загрузите ваши файлы: index.html, style.css, папки img и fonts. Основной index.html должен лежать прямо в htdocs, а не во вложенной папке — иначе сайт не откроется.

Более продвинутый способ — использовать FTP-клиент FileZilla. В панели хостинга найдите FTP-данные и подключитесь через программу. Это удобнее для больших проектов, но для первого сайта веб-менеджера будет достаточно.

Проверяем результат

Через несколько минут после загрузки ваш сайт будет доступен по адресу. Откройте его в браузере — если всё сделано правильно, увидите свою страницу. Если что-то не работает, проверьте, что index.html лежит в корне htdocs, а style.css загружен в ту же папку.

Реальность бесплатного хостинга

Для изучения основ и создания первых проектов на HTML и CSS это отличный вариант. Регистрация занимает 1 минуту, никаких настроек, можно сразу экспериментировать и видеть результат.

Помните про обратную сторону медали. Бесплатные хостинги жёстко ограничивают ресурсы — трафик, место на диске, нагрузку на сервер. Иногда вставляют рекламу на ваш сайт. Серверы часто «падают» — страница может быть недоступна по несколько часов.

Самая большая проблема — нестабильность бизнеса. Бесплатные хостинги закрываются без предупреждения. Сегодня ваш сайт работает, а завтра компания решила, что бесплатные услуги больше не окупаются.

Скрытые ограничения:

• В рекламе бесплатные хостинги обещают безлимитный трафик и неограниченное место, но вынуждают переходить на платный тариф после 100 посетителей в день.
• Про индексацию можно забыть — поисковые системы не пропустят бесплатные поддомены на первые страницы выдачи.
• На бесплатных хостингах слабая защита. Ваш сайт могут использовать для размещения вредоносного кода, а вы об этом даже не узнаете.

Когда стоит переходить на платный хостинг

Бесплатный хостинг — это тренировочная площадка, а не постоянное решение. Если планируете заниматься веб-разработкой, создавать портфолио или коммерческие проекты, лучше сразу инвестировать в качественный хостинг и собственный домен.

Самый простой домен стоит 200-1000 рублей/год, а базовый хостинг — 100-300 рублей/месяц. Плюс получите доступ к технологиям (PHP, MySQL), более стабильную работу и нормальную техподдержку. Начните с минимального тарифа — его хватит на тренировочные проекты, а потом можно масштабироваться.

Куда двигаться дальше?

Мы создали первый сайт и опубликовали его в интернете. Если повторяли за нами то поздравляем — многие останавливаются на теории, а вы дошли до результата. Теперь у вас есть понимание основ:

• как работает HTML,
• зачем нужен CSS,
• что такое хостинг и домен.

Следующий шаг — подробнее изучить CSS. Сайт-визитка из примера нормально отображается только на больших экранах. Однако 60% пользователей заходит с телефонов. Изучите медиазапросы, они применяются только на определённых размерах дисплея.

Подробнее про адаптив рассказал старший фронтенд-разработчик Никита Кушнарёв: Если вы умеете покрасить кнопочку, но хотите узнать больше о вёрстке веб-приложений.

Попробуйте переделать карточку так, чтобы она нормально выглядела на телефоне. Уменьшите размеры, измените отступы, сделайте кнопку на всю ширину. Потом изучите Flexbox и CSS Grid — современные способы вёрстки макетов.

Когда почувствуете уверенность в CSS, пора знакомиться с JavaScript. Это язык программирования, который делает сайты интерактивными. Сложные анимации, всплывающие окна, динамическое изменение контента — это JS. Предупреждаем, он сложнее HTML и CSS. В нём есть функции, условия, циклы — всё то, что пугает новичков.

Подробнее про JavaScript: Разработка на JavaScript с нуля: дорожная карта.

Изучайте инструменты разработчика в браузере. Нажмите F12 на любом сайте — откроется интерфейс для просмотра структуры сайта, отладки JS, тестирования адаптива. Смотрите, как устроены другие сайты, изучайте чужой код.

Самое время узнать о большем количестве инструментов программиста. Читайте в нашем тг-канале!

Больше новостей — в нашем тг-канале «Представляешь»

Он отмечает, что многие советы кажутся логичными на бумаге, но в реальной работе теряют свою ценность.

Например, философия чистого кода, популяризированная дядей Бобом, действительно помогает писать понятный и поддерживаемый код, но её применение может быть сложным в старых, нагруженных легаси-системах. Многие из них были созданы задолго до появления современных принципов, и переписывать их просто ради красоты — не всегда оправданно.

Тренды не всегда важны

Ещё один миф — необходимость следовать последним технологическим трендам. Разработчик напоминает, что PHP, которому часто предрекают конец, всё ещё используется на большинстве сайтов, включая WordPress. А Java и C/C++ продолжают работать в критически важных системах и управляют миллиардами устройств:

«Новые технологии, такие как Rust или Next.js, действительно крутые, но это не значит, что работа с устаревшими системами делает вас менее ценным специалистом»

Производительность не главное

Автор также развенчивает культ оптимизации. Многие разработчики стремятся к максимальной скорости кода, забывая, что для большинства бизнес-систем надёжность и стабильность важнее скорости.

Например, банкоматы работают на старых финансовых системах, и никто не требует от них микросекундной реакции — главное, чтобы деньги выдавались исправно.

Масштабируемость — не всегда приоритет

Разработчик подчёркивает, что большинство стартапов не требуют архитектур, готовых к миллионам пользователей. Стремление проектировать системы для гипотетических нагрузок часто приводит к усложнению кода и потере фокуса на реальных задачах бизнеса.

ИИ не заменит программистов

И наконец, автор отрицает миф о том, что ИИ заменит разработчиков. По его словам, ИИ может помочь автоматизировать рутинные задачи, но не заменит людей, которые понимают бизнес-логику и умеют принимать сложные архитектурные решения.

Вместе с экспертами Kursfinder я изучила более 50 предложений, чтобы отобрать 36 лучших онлайн-курсов по созданию сайтов на WordPress. Для удобства я разделила курсы на несколько подборок. В первой вы найдете 10 лучших программ, которые выделяются своим качеством и содержанием. Далее представлены 6 дополнительных вариантов на случай, если ни один из лидеров вам не подойдет. А в заключении — список бесплатных курсов для тех, кто хочет начать обучение без вложений. С полным каталогом курсов по WordPress можно ознакомиться на сайте Kursfinder.

ТОП-10 лучших курсов по WordPress в 2026 году

1. Онлайн-курс по WordPress от HEDU (irs.academy) — интенсивные занятия для полного погружения в тему.
2. Посадка верстки и создание тем на CMS WordPress от beONmax.com — курс для освоения не только верстки, но и «изнанки» сайта.
3. WordPress Интернет магазин с нуля от itProger — создание своего онлайн-магазина с любого уровня подготовки.
4. WordPress – Быстрый старт! от beONmax.com — экспресс-обучение для первого знакомства с CMS.
5. Создание сайта на WordPress от itProger — основы работы с интструментом Wordpress.
6. WordPress разработчик от Glo Academy — подробный курс с глубокой проработкой смежный тем по разработке сайта
7. WordPress. Уровень 1. Создание и настройка сайта от Специалист.ru — онлайн или офлайн формат учебы по желанию.
8. Создание сайтов на базе CMS WordPress: WP_01 от Сетевой Академии Ланит — исключительно практические знания по администрированию веб-страниц в CMS.
9. WordPress. Уровень 2. Разработка сайтов со сложной структурой и создание тем оформления от Специалист.ru — программа для опытных разработчиков и желающих администрировать сайты со сложной структурой.
10. WordPress 5 с Нуля до Гуру от Михаила Русакова — мини-курс для создания своего первого сайта без изучения HTML.

Курсы по WordPress подойдут начинающим веб-разработчикам, предпринимателям и фрилансерам, которые хотят создавать сайты быстро и без глубоких знаний программирования. Они также будут полезны маркетологам и контент-менеджерам для управления веб-ресурсами и их оптимизации. Это отличный выбор для тех, кто ищет новую профессию или хочет развить актуальные навыки.

Онлайн-курсы по Wordpress

1. Онлайн-курс по WordPress | HEDU

Это компактный курс, который подойдет широкому кругу людей — от новичков, впервые пробующих себя в веб-разработке, до опытных программистов и контент-менеджеров, желающих углубить знания и улучшить навыки работы с WordPress. В рамках программы вас ждут вебинары, насыщенные практической информацией, самостоятельные задания для закрепления материала и поддержка менторов, готовых ответить на вопросы и помочь с решением сложных задач. К концу курса вы не только освоите основы платформы, но и сможете защитить полноценный проект, который станет отличным дополнением к вашему портфолио.

• Стоимость: 43 500 руб.
• Длительность: 18 часов
• Формат обучения: вебинары, видеолекции, домашние задания, защита проекта
• Сертификат: электронный сертификат

Кому подойдет: разработчикам, желающим переквалифицироваться в веб-сферу; администраторам и контент-менеджерам; блогерам и бизнесменам, которые хотят самостоятельно сделать себе сайт. Можно приходить совсем с нуля и получить твердые навыки веб-разработки.

Преимущества:

• без воды и посторонних тем;
• много практики;
• гибкий график;
• обучение основам СЕО;
• готовая работа для портфолио;
• архив видеоуроков в постоянное пользование;

Недостатки:

• один готовый проект по шаблону.

Программа обучения:

• Введение и настройка WordPress;
• Блок по СЕО;
• Сайт-визитка;
• Первый лендинг;
• Блог (по готовым шаблонам);
• Онлайн-магазин;
• Дополнительные настройки сайта.

Ознакомиться с полной программой >>>

2. Посадка верстки и создание тем на CMS WordPress | beONmax.com

Короткое интенсивное обучение WordPress для тех, кто хочет лучше понять backend разработку. Создание административной части страницы, настройка систем безопасности, совмещение верстки с движком Wordpress — все это вы найдете в данном обучении. После окончания учебы вы сможете создавать полноценный, законченный продукт.

• Стоимость: от 1 497 руб.
• Длительность: 6 часов
• Формат обучения: видеоуроки с самостоятельной проработкой материала
• Сертификат: сертификат

Кому подойдет: только тем, кто хорошо знаком с HTML и CSS. Новичкам лучше начинать с более базовых вещей.

Преимущества:

• свой темп прохождения программы;
• глубокая проработка темы backend-разработки;
• обучение работе с локальными серверами;
• знакомство с плагинами WordPress.

Недостатки:

• не подходит начинающим;
• нет обратной связи;
• неудобный формат оплаты при выборе только одного курса.

Программа обучения:

• Знакомство с CMS Wordpress;
• Динамическая работа с сайтом через админку;
• Сайты-многостраничники;
• Заключение и итоговый проект.

Ознакомиться с полной программой >>>

3. WordPress Интернет магазин с нуля | itProger

Это мини-курс для начинающих, посвященный созданию интернет-магазинов на платформе WordPress. Программа курса построена таким образом, что даже человек без опыта в веб-разработке сможет разобраться с настройкой шаблонов, установкой плагинов для электронной коммерции и созданием каталога товаров. Однако стоит учитывать, что обучение ориентировано исключительно на формат интернет-магазинов и не охватывает другие типы сайтов, такие как лендинги, сайты-визитки или многостраничные проекты.

• Стоимость: от 716 руб.
• Длительность: 6 уроков
• Формат обучения: видеоуроки с домашними заданиями
• Сертификат: не предусмотрен

Кому подойдет: владельцам бизнеса, администраторам, менеджерам. Эта программа для быстрого самостоятельного создания онлайн-магазина для людей, которые раньше этим не занимались.

Преимущества:

• доступно для начинающих;
• обучение в комфортном темпе;
• видео доступны бесплатно.

Недостатки:

• платный доступ к самостоятельной работе;
• мало взаимодействия с менторами.

Программа обучения:

• Знакомство с ECommerce;
• Базовая настройка сайта;
• Дизайн;
• Наполнение товарами;
• Система оплаты;
• Заключение.

Ознакомиться с полной программой >>>

4. WordPress – Быстрый старт! | beONmax.com

Этот мини-курс по WordPress посвящен основам работы с популярной CMS WordPress, что делает его отличным выбором для тех, кто только начинает знакомство с веб-разработкой. В ходе обучения вы получите базовые знания, которые помогут вам освоить ключевые функции платформы: от создания веб-страниц и настройки шаблонов до управления контентом и администрирования сайтов. Программа курса рассчитана на новичков, не требуя предварительной подготовки, поэтому даже человек без технического опыта сможет понять основы работы с системой. Этот курс станет полезным стартом для дальнейшего изучения веб-разработки или началом самостоятельной работы над собственными проектами.

• Стоимость: от 1 497 руб.
• Длительность: 3 часа
• Формат обучения: видеоматериалы с практическими заданиями
• Сертификат: сертификат о прохождении обучения

Кому подойдет: начинающим, которые раньше не имели никакого отношения к разработке. Не требуются знания HTML, CSS, основ дизайна.

Преимущества:

• кратчайшие сроки обучения;
• индивидуальный темп освоения программы;
• знакомство со всеми основными темами (создание сайта, дизайн, перенос с хостинга на хостинг, администрирование);
• быстрый результат в виде готового сайта.

Недостатки:

• курс предполагает самостоятельную работу;
• очень мало взаимодействия с кураторами;
• неудобный формат оплаты для тех, кто хочет пройти один курс.

Программа обучения:

• Знакомство с темой CMS;
• Основы WordPress;
• Дизайн и оформление сайта;
• Перенос и резервное копирование.

Ознакомиться с полной программой >>>

5. Создание сайта на WordPress | itProger

Небольшой онлайн-курс по созданию веб-страниц на платформе WordPress. Удобный и доступный формат обучения для тех, кто готов самостоятельно и вдумчиво работать с полученной информацией. В программе курса основное внимание уделяется основам работы с платформой, включая изучение интерфейса, базовые настройки и установку необходимых плагинов. Отдельный блок посвящен созданию простого сайта с использованием готовых шаблонов. Это компактное и эффективное обучение подойдет тем, кто хочет освоить базовые навыки и понять, как работать с WordPress, чтобы в дальнейшем развивать свои умения в этой сфере.

• Стоимость: от 716 руб.
• Длительность: 6 уроков
• Формат обучения: видео в открытом доступе + задания для отработки навыков
• Сертификат: не предусмотрен

Кому подойдет: продвинутым разработчикам и контент-менеджерам не подойдет, а начинающим и желающим самостоятельно делать простые сайты это обучение будет полезно.

Преимущества:

• открытый бесплатный доступ к видеоматериалам;
• свободный темп обучения;
• понятные и наглядные задания;
• сжатая подача материала без воды;
• небольшие теоретические блоки под видео.

Недостатки:

• оплата нужна для доступа к заданиям;
• мало подробной информации;
• нет документа о завершении курса.

Программа обучения:

• Установка нужных программ;
• Плагины;
• Интерфейс WordPress;
• Главная страница сайта;
• Дополнительные страницы;
• Заключительный урок.

Ознакомиться с полной программой >>>

6. WordPress разработчик | Glo Academy

Этот курс представляет собой тщательно проработанную программу, которая подходит для тех, кто хочет освоить веб-разработку на профессиональном уровне. После его завершения вы сможете создавать полноценные, сложные сайты, включая интернет-магазины, корпоративные порталы и многопользовательские платформы. В программу входит не только базовое знакомство с CMS, но и основны HTML, PHP, Figma. Вы научитесь СЕО-оптимизации, подробно разберете бэкенд, и, конечно, очень тщательно изучите Wordpress.

• Стоимость: 1 490 руб.
• Длительность: 3 модуля
• Формат обучения: уроки с заданиями на отдельной закрытой платформе
• Сертификат: не предполагается

Кому подойдет: этот вариант учебы для тех, кто настроен долго работать с WordPress и заниматься созданием сайтов профессионально. Подойдет серьезно настроенным новичкам.

Преимущества:

• глубокое погружение в тему;
• разные инструменты для работы;
• единовременный доступ сразу ко всем материалам;
• поддержка преподавателей;
• объемная дипломная работа, которую можно будет предъявлять заказчикам и работодателям.

Недостатки:

• для планомерной работы требуется самодисциплина;
• сложные темы для совсем не подготовленных людей;
• нет сертификата.

Программа обучения:

• Основы кода;
• Что такое сервер;
• HTML;
• PHP;
• Figma;
• Работа с хостингом;
• Работа в WordPress;
• СЕО-оптимизация;
• Дипломная работа.

Ознакомиться с полной программой >>>

7. WordPress. Уровень 1. Создание и настройка сайта | Специалист.ru

Онлайн-курс для всех желающих освоить создание веб-страниц в Wordpress. Программа рассчитана на 24 часа интенсивного обучения, в рамках которого вы научитесь создавать сайты с нуля: от установки платформы и настройки хостинга до подключения всех необходимых плагинов и инструментов для полноценной работы. Для жителей Москвы доступно очное обучение. Особенность курса — формат обучения: его можно пройти онлайн, а для жителей Москвы доступен очный формат, где есть возможность работать в небольшой группе под руководством преподавателя.

• Стоимость: от 18 490 руб.
• Длительность: 24 часа
• Формат обучения: 4 модуля обучения онлайн или офлайн с отработкой полученных знаний
• Сертификат: сертификат или удостоверение о повышении квалификации

Кому подойдет: менеджерам, администраторам и веб-разработчикам, которые только в начале своего пути найдут в этом курсе много полезного. Подойдет также и фрилансерам, которые хотят освоить новую профессию.

Преимущества:

• возможность учиться онлайн и офлайн
• живое взаимодействие с кураторами;
• подробный разбор темы во всех модулях;
• готовый сайт для вашего портфолио;
• опытные преподаватели-практики.

Недостатки:

• учеба по расписанию — нет возможности работать в своем темпе;
• нужны базовые знания верстки в HTML.

Программа обучения:

• Введение, настройка сервера;
• Оформление сайта, готовые темы;
• Плагины;
• Структура HTML;
• СЕО-оптимизация;
• Итоговая работа.

Ознакомиться с полной программой >>>

8. Создание сайтов на базе CMS WordPress: WP_01 | Сетевая Академия Ланит

Экспресс-курс для обучения Wordpress с нуля. Он создан для всех желающих научиться создавать собственные веб-приложения или страницы. Магазины, организации, стремящиеся привлечь новых клиентов, популярные блогеры — все они могут стать заказчиками человека, владеющего навыками работы в CMS Wordpress.

• Стоимость: 12 000 руб.
• Длительность: 16 часов
• Формат обучения: 5 модулей с уроками, практические задания
• Сертификат: не предусмотрен

Кому подойдет: всем желающим освоить новый навык и научиться верстать сайты с нуля. Достаточно основных умений работы с компьютером.

Преимущества:

• онлайн и офлайн форматы;
• каждая тема закрепляется практикой;
• практические навыки по административной работе с веб-страницей;
• без воды и лишних тем.

Недостатки:

• нет сертификата;
• установленное расписание.

Программа обучения:

• Начальные знания о WordPress;
• Работа с темами оформления;
• Различные плагины;
• Основы безопасности веб-страниц.

Ознакомиться с полной программой >>>

9. WordPress. Уровень 2. Разработка сайтов со сложной структурой и создание тем оформления | Специалист.ru

Курс для продвинутых веб-программистов, которые уже обладают опытом работы и стремятся углубить свои знания. Программа сосредоточена на тонкостях бэкенда, администрировании сложных, многосайтовых платформ и оптимизации их производительности. Вы узнаете, как эффективно работать с расширенными функциями WordPress, такими как настройка пользовательских типов записей, взаимодействие с REST API и управление базами данных.

• Стоимость: уточняется на сайте
• Длительность: 24 часа
• Формат обучения: 4 модуля уроков и лабораторные работы
• Сертификат: сертификат или удостоверение о повышении квалификации

Кому подойдет: для уверенных пользователей Wordpress, хорошо знакомых с HTML, CSS и основами PHP. На сайте есть бесплатный тест для определения вашего уровня подготовки.

Преимущества:

• глубокое погружение в тему;
• лабораторные работы с наглядным результатом;
• документ государственного образца;
• практика по созданию собственных плагинов.

Недостатки:

• не подойдет для начинающих;
• фиксированное расписание.

Программа обучения:

• Создание сложной структуры сайта и работа с ней;
• Создание шаблонов;
• Создание плагинов;
• Защита сайта.

Ознакомиться с полной программой >>>

10. WordPress 5 с Нуля до Гуру | Михаил Русаков

Курс по WordPress от Михаила Русакова — автора нескольких практических программ обучения по программированию и разработке сайтов. Если вы хотите освоить самую популярную CMS систему с нуля, то здесь вы найдете основную информацию с самостоятельными работами. Небольшая стоимость, удобный формат обучения и концентрированные знания — отличительные черты этого курса.

• Стоимость: 4 970 руб.
• Длительность: 5 часов
• Формат обучения: 4 модуля уроков и практические занятия для закрепления знаний
• Сертификат: именной сертификат

Кому подойдет: для прохождения курса достаточно самых базовых навыков по работе с компьютером и файлами. Он подойдет для начинающих разработчиков и людей, совсем не знакомых с разработкой.

Преимущества:

• базовые знания понятным для новичка языком;
• упражнения для закрепления результата;
• документ об окончании обучения;
• подробный разбор темы безопасности сайта.

Недостатки:

• нет комьюнити;
• основная часть работы — самостоятельная;
• для более глубокого погружения в тему надо купить другие курсы автора.

Программа обучения:

• Рекомендации по началу работы;
• Основы Wordpress;
• Админ-панель;
• Практика по верстке веб-страницы;
• Размещение в сети;
• Безопасность.

Ознакомиться с полной программой >>>

Еще 6 курсов по Wordpress

Знание принципов работы с CMS системами полезно для самых разных специалистов, даже для тех, кто не имеет прямого отношения к веб-разработке. Далее перечислено еще 6 курсов по обучению WordPress с нуля для желающих освоить этот инструмент.

• Курс по созданию сайта на WordPress с нуля от Миши Рудрастых — 9 модулей интенсивного обучения, которые познакомят вас с контент-менеджментом и азами создания веб-страниц. Также вы узнаете много интересного о фрилансе и о том, как искать заказчиков.
• Идеальный сайт на WordPress 2.0 от ICHIGAREV — удачный формат обучения для тех, кто хочет зарабатывать на создании сайтов. Доступ к материалам остается у вас на протяжении года. Автор — опытный вебмастер, который делится своим опытом с начинающими.
• Как быстро и правильно вносить правки в WordPress-сайт от WPCourses — короткий курс длительностью всего 3 часа по созданию отзывчивой верстке и дизайну сайта. Хорош для быстрого вхождения в тему и освоения азов.
• Курсы WordPress от ArtWork — очные и онлайн занятия по WordPress с наставником. Тщательная проработка темы, объемные домашние задания и два итоговых проекта, которые не стыдно будет показать заказчикам — вот что предлагает АртВорк своим клиентам.
• Администратор WordPress от Ариона — это обучение для тех, кто хочет администрировать сайты. За 4 месяца вы научитесь работать в админ-панели и освоите верстку лендингов, создание интернет-магазинов, получите проект для демонстрации заказчикам.
• Курс WordPress – с нуля до Профи! от beONmax.com — на этом курсе вы не только научитесь работать с CMS системой WordPress, но и получите базовые знания по продвижению сайтов в поисковой выдаче. После окончания обучения вы сможете устроиться на работу техническим специалистом по обслуживанию сайтов, менеджером, администратором или вебмастером.

Бесплатные курсы по Wordpress

Не всегда хочется сразу платить за обучение, особенно если тема еще кажется незнакомой. Многие только планируют заняться созданием и администрированием сайтов, а про WordPress знают лишь поверхностно. Обучение WordPress бесплатно позволит без лишних затрат времени и денег понять, интересна ли эта область, и получить базовое представление о работе с платформой. Ниже вы найдете подборку из 20 бесплатных курсов, которые подходят для знакомства с WordPress.

1. Сайт на Wordpress. Верстка сайта и перенос на CMS — Stepik

Этот курс предназначен для начинающих веб-разработчиков, желающих освоить создание и запуск сайтов на WordPress. Вы научитесь верстать сайты, используя различные инструменты (Figma, Pixso, Marsy), создавать темы WordPress, настраивать плагины и переносить проекты на реальный хостинг.

Главное о курсе:

• Полный цикл создания сайтов на WordPress: от верстки до публикации;
• Практическое обучение на трех проектах разной сложности;
• Обучение работе с популярными плагинами и инструментами;
• Мастерство верстки сайтов по современным макетам (Figma, Pixso).

2. Создаем первый сайт по шагам 3.0 — WPCourses

Этот бесплатный курс — пошаговое руководство по установке и настройке WordPress для новичков. Вы создадите свой первый сайт, освоив все необходимые технические аспекты, от выбора домена до SEO-оптимизации, при минимальных затратах (около 300 рублей на домен и хостинг).

Главное о курсе:

• Понятное изложение материала в видеоформате, доступное даже новичкам;
• Пошаговые уроки с практическими заданиями после каждого;
• Доступ в групповой чат для общения с автором и другими участниками;
• Готовый к использованию сайт с настроенной аналитикой, SSL-сертификатом и подборкой необходимых плагинов.

3. Создание сайта на CMS WordPress — Гоша Дударь

Это серия коротких видео на YouTube. Здесь вы найдете 6 коротких роликов с основами работы с движком WordPress и два больших. Один из них посвящен профессии бэкенд-разработчика, второй — наглядный и подробный разбор верстки сайта. Очень полезная р концентрированная информация для начинающих.

Главное о курсе:

• Короткие, информативные ролики;
• Большой практический разбор верстки в WordPress с самого начала;
• Для людей с любым уровнем подготовки;
• Постоянный доступ.

4. Сайт за 5 дней — Адель Гадельшин

Онлайн-тренинг поможет вам создать собственный сайт на WordPress, даже если вы никогда раньше этим не занимались. Обучение ориентировано на практическое применение знаний и поможет вам освоить создание сайтов, найти новые источники дохода, или начать свой онлайн-проект, не требующий больших технических знаний.

Главное о тренинге:

• Вы создадите свой сайт на WordPress своими руками;
• Охватывает создание сайта, дизайн, оформление соцсетей и привлечение первых посетителей;
• Подходит для людей с разным уровнем подготовки и опытом;
• Доступ к видеоурокам продлится 7 дней, а возможность продления будет обсуждаться в процессе тренинга.

5. Уроки WordPress: как сделать блог — Web Developer Blog

Как начать с полного нуля и быстро дойти до первого работающего сайта? Этот курс из 8 маленьких (до 10 минут каждый) уроков поможет вам создать свой блог и разместить его на хостинге. Есть два дополнительных видео про создание собственной темы и про инструмент разработки Бутстрап.

Главное о курсе:

• Информация в основном о создании блога;
• Общие сведения о движке Wordpress;
• Знакомство с Бутстрап для тех, кто делает первые шаги в верстке;
• Подробный разбор темы размещения сайта в сети.

6. Wordpress с нуля | Урок 1. Что такое Wordpress — Moment School

9 коротких, но информативных видео с базовой информацией по движку WordPress. Создатели курса дают только общие понятия, отрабатывать навыки придется самостоятельно. Не затронута тема размещения сайта в сети.

Главное о курсе:

• Курс рассчитан на начинающих;
• Подробно рассмотрена тема плагинов (в двух уроках);
• Мало примеров и практики.

7. Натяжка сайта на WordPress — ВЕРСТАЧ

Длинное (4 с лишним часа) видео, которое будет интересно тем, кто знаком с HTML, но раньше не работал с CMS-системами. Из него вы узнаете, как «натянуть» свою верстку (созданную в других средах разработки) на движок WordPress, как сохранить структуру своей страницы при загрузке в сеть и получите много полезной сопутствующей информации.

Главное о курсе:

• Активное обсуждение в комментариях, где можно задать свой вопрос;
• Максимально подробный разбор темы;
• Полезные ссылки в инфобоксе;
• Наглядный процесс работы с комментариями специалиста.

8. Курс "ELEMENTOR - конструктор лендингов на WordPress — Анфиса Бреус

Огромная коллекция (66 + три дополнительных) обучающих роликов по WordPress. Основная часть курса посвящена плагину Elementor. Автор разбирает не только азы, но и мелкие детали оформления страницы, отдельные тонкости в работе с плагинами и вопросы защиты сайта.

Главное о курсе:

• Вся работа через плагин Elementor;
• Очень подробный разбор и практические примеры для каждой темы;
• Автор — специалист по WordPress.

9. WordPress Masterclass: The Complete Beginner Website Course — GigaPress

6 часов детального разбора работы платформы WordPressот ведущих специалистов. Программа выложена на YouTube в открытом доступе, поэтому пройти ее может любой желающий. Вы можете переходить к интересующим вас разделам по таймкодам в описании.

Главное о курсе:

• Свободный доступ и гибкий график обучения — вы сами выбираете, когда заниматься и пересматривать видео;
• Нет обратной связи, в комментариях авторы курса не отвечают на вопросы.

10. Обучающие видео — WordPress

Это раздел со справочными руководствами по использованию WordPress.com, структурированные по категориям. Вы освоите основные функции платформы, от создания контента до настройки доменов и плагинов, и сможете создать собственный функциональный и привлекательный веб-сайт.

Главное о курсе:

• Пошаговое руководство по использованию WordPress.com;
• Обучение работе с контентом, доменами, плагинами и настройками сайта;
• Практическое применение знаний для создания собственного веб-сайта;
• Доступ к обширной базе справочных материалов и руководств.

11. Курс создания сайта на WordPress — Жизнь программиста

14 обучающих видео с базовыми и некоторыми специфическими темами верстки в WordPress. Среди особенностей — переводы на любые языки и неочевидные моменты по обеспечению безопасности. Простые вещи объясняются простым языком, доступным для начинающих.

Главное о курсе:

• Курс подходит начинающим;
• Автор активно участвует в обсуждениях в комментариях, отвечает на вопросы;
• Все видео в бесплатном доступе на платформе Youtube.

12. Как создать сайт на WordPress — Denis Bezrodnyy

Небольшой урок длительностью 1.5 часа от Дениса Безродного. В процессе просмотра видео можно повторять за автором все действия, и в итоге получится полноценный веб-сайт, который станет отличным стартом для начинающего разработчика.

Главное о курсе:

• Бесплатный и открытый доступ;
• Подробно рассмотрена тема адаптивности верстки;
• Есть ссылки на полезные инструменты для разработчика.

13. Создаем сайт на Wordpress за несколько часов — Proger Web

Еще один практический онлайн-урок, во время которого автор на глазах у зрителей создает сайт через WordPress. Он длится 3 с небольшим часа и содержит всю необходимую информацию для новичка. Следуя рекомендациям автора, вы сможете без особых проблем повторить его действия и сделать собственную страницу.

Главное о курсе:

• Есть отдельный блок по СЕО-оптимизации;
• Для тех, кто хочет глубже изучить предмет, под видео есть ссылки на другие лекции;
• Создатель курса общается с учениками в комментариях.

14. Как создавать онлайн курсы на Wordpress — Опыт Тичера

Это маленький разбор отдельного плагина для WordPress— Tutor LMS. Он предназначен для создания страниц с онлайн-курсами и может быть полезен всем, кто хочет запустить свое обучение. Это первая, вводная часть, у автора имеется второе видео по этой теме.

Главное о курсе:

• Больше подойдет тем, кто уже знает основы WordPress;
• Обучение именно для создания страницы курса, не подойдет для блога, лендинга, магазина и т.д;
• Подробный разбор типичных технических проблем, с которыми сталкиваются создатели обучений.

15. Курс по WordPress — Glo Academy

Если вы не уверены в том, подойдут ли вам платные курсы Glo academy, попробуйте пройти их бесплатное обучение. 15 подробных бесплатных видеоуроков научат вас работе с CMS системой и ее популярными плагинами. В курсе рассмотрены формы, темы, СЕО, описаны шаблоны страниц и даны рекомендации по оптимизации загрузки.

Главное о курсе:

• Все уроки в свободном доступе на YouTube;
• Бесплатный вариант закрытого курса (без доступа к личному кабинету с домашними заданиями);
• Преподаватели показывают практические примеры работы.

16. Сайт с нуля на WordPress + Elementor— Уроки WordPress & Figma

Пошаговая инструкция по созданию своей первой веб-страницы. Обучение длится всего 2 часа, но их хватит для первого представления о предмете. Здесь не раскрыты многие нюансы, нужные для системной работы с WordPress, но для желающих самостоятельно сверстать простой сайт это видео подойдет.

Главное о курсе:

• Полезно тем, кто никогда раньше не делал веб-страницы;
• Только самая базовая информация;
• Можно сделать сайт даже без опыта, следуя простым инструкциям.

17. Базовый курс по WordPress — Школа Федора Васильевича

Один из бесплатных видеокурсов автора, посвященный начальному освоению WordPress. Из него можно почерпнуть информацию о самых первых шагах в работе с этим движком. Для желающих более полноценно ознакомиться с возможностями CMS у автора можно найти другие полезные плейлисты на эту тему.

Главное о курсе:

• Много полезной бесплатной информации;
• Хороший стиль изложения (просто о сложном);
• Есть много дополнительных плейлистов с более продвинутыми уроками по WordPress.

18. Пример создания сайта на WordPress 5 — Михаил Русаков

Этот короткий видеокурс предназначен для начинающих пользователей, желающих быстро освоить создание сайтов на WordPress 5. За 22 минуты вы получите практический опыт и базовые знания, необходимые для запуска собственного проекта. Курс не требует предварительной подготовки.

Главное о курсе:

• Быстрое и доступное обучение (22 минуты);
• Подходит для новичков без опыта;
• Пошаговое создание сайта с нуля;
• Бесплатный доступ к видеоматериалу и поддержке автора.

19. Как создать сайт на WordPress в 2026 году (БЫСТРО И ПРОСТО) — Metics Media

Короткое обучающее видео для тех, кто не может ждать создания своего первого сайта долго. Из него можно узнать о том, как получить домен, установить WordPress, настроить тему и приступить к базовой настройке страницы.

Главное о курсе:

• Сжатая подача информации;
• Подойдет для первого знакомства с темой CMS и принятия решения, стоит ли этим заниматься;
• Только для тех, кто никогда раньше не делал сайты.

20. Как создать сайт на WordPress с нуля. Пошаговый план — Александр Дейнека

Видео, в котором разобран общий план по созданию веб-страницы в WordPress. Так же как и предыдущее видео, оно дает только первичную информацию по теме и не подойдет для продвинутых разработчиков. В описании есть шаблоны, которые можно использовать в своей работе.

Главное о курсе:

• Для неосведомленных о разработке людей;
• Короткое ознакомительное видео;
• Автор наглядно демонстрирует интерфейс системы и объясняет, как в нем разобраться.

Веб-разработчик

Веб-разработка — востребованная и динамично развивающаяся сфера, предлагающая широкие возможности для самореализации и высокого заработка. Знание WordPress, как одной из самых распространенных CMS, значительно расширяет спектр возможностей и делает веб-разработчика высоко конкурентным специалистом на рынке труда.

Чем занимается веб-разработчик на WordPress?

Веб-разработчик отвечает за создание, настройку и поддержку сайтов, используя систему управления контентом WordPress. Это включает в себя:

• Разработку дизайна и структуры сайта.
• Написание и редактирование кода (HTML, CSS, PHP, JavaScript — в зависимости от уровня задач).
• Интеграцию плагинов и тем.
• Настройку функциональности сайта и оптимизацию производительности.
• Поддержку и обновление сайта.
• СЕО-оптимизацию (повышение расположения страницы в выдаче поисковика).
• Взаимодействие с клиентами (если работа ведется на заказ).

Необходимые навыки

• Глубокое понимание CMS WordPress: принципы работы, настройка и оптимизация.
• Владение языками разметки и программирования: HTML, CSS, JavaScript; желательно знание PHP и основ работы с базами данных.
• Работа с плагинами и темами: настройка, разработка, оптимизация.
• Навыки SEO-оптимизации: для повышения видимости сайтов в поисковых системах.
• Создание адаптивного дизайна: обеспечение корректного отображения сайтов на всех устройствах.
• Опыт работы с системой контроля версий Git: управление кодом и проектами.
• Знание REST API и фреймворков (например, ACF, Customizer API) для сложных решений.
• Понимание веб-безопасности: защита сайтов от уязвимостей.
• Знание CI/CD: навыки работы с системами непрерывной интеграции.
• Инструменты автоматизации и тестирования: упрощение и ускорение разработки.
• Эффективная коммуникация и работа в команде: для успешного участия в проектах.
• Постоянное самообразование: отслеживание новых тенденций и технологий в веб-разработке.

Где учиться?

Пути освоения профессии веб-разработчика разнообразны: от прохождения курсов по созданию сайтов на WordPress различного уровня сложности до обучения в специализированных учебных центрах под руководством опытных преподавателей. Самостоятельное обучение с использованием онлайн-ресурсов и документации также возможно, но наиболее эффективно в сочетании с практическим опытом, который можно получить, работая фрилансером или в веб-студии.

Специализация в веб-разработке на WordPress

Успешная карьера веб-разработчика на WordPress требует не только базового знания платформы, но и узкой специализации, которая помогает выделиться на рынке и повысить доход. Рассмотрим перспективные направления:

• Разработка высоконагруженных сайтов: специалисты в этой области занимаются оптимизацией производительности, масштабируемостью и безопасностью. Они работают с базами данных, кэшированием, настройкой серверов и используют инструменты вроде Redis, Nginx и Apache. Это востребовано крупными компаниями с большой аудиторией.
• Разработка e-commerce решений: создание интернет-магазинов на WordPress включает настройку WooCommerce, интеграцию платежных систем, модулей доставки и управление запасами. Знания UX/UI-дизайна также важны. Разработчики интернет-магазинов востребованы из-за роста онлайн-торговли.
• Кастомные темы и плагины: создание уникальных решений требует глубокого знания PHP, HTML, CSS, JavaScript и API WordPress. Разработчики кастомных продуктов работают над индивидуальными проектами, часто с крупными заказчиками.
• Специализация по безопасности WordPress: эти специалисты защищают сайты от атак, проводят аудит безопасности, настраивают фаерволы и устраняют уязвимости. Они востребованы компаниями, для которых важна защита данных и репутации.
• Работа с фреймворками: использование ACF и Customizer API помогает создавать мощные, настраиваемые решения. Это ускоряет процесс разработки и позволяет брать сложные проекты, повышая конкурентоспособность.

Сколько зарабатывает вебмастер?

Уровень заработной платы веб-разработчика варьируется в зависимости от опыта, навыков и региона. Начинающие специалисты могут зарабатывать от 30 000 до 80 000 рублей в месяц, а опытные разработчики — от 100 000 рублей и выше.

На hh.ru можно найти вакансии с зарплатой 50 000, 80 000 и 120 000 рублей, и это далеко не предел. Размер дохода во многом зависит от уровня квалификации и дополнительных навыков кандидата. Я изучила предложения, где знание WordPress указано как обязательное требование, но важно понимать, что вебмастеру необходим гораздо более широкий спектр компетенций.

Заключение

В заключение хочется отметить, что профессия веб-разработчика остается крайне востребованной. Обратите внимание, что Wordpress используют не только веб-разработчики, но и многие другие профессионалы в диджитал сфере. Выбор подходящих курсов по WordPress зависит от вашего уровня подготовки и целей. Новичкам лучше начинать с базовых курсов, таких как WordPress – Быстрый старт!, а опытные разработчики могут обратить внимание на курсы продвинутого уровня. Независимо от выбранного пути, практика и постоянное самообучение — залог успеха в освоении этой перспективной профессии.

Подборки по схожим темам:

1. Лучшие курсы по созданию сайтов
2. Лучшие курсы веб-разработчика
3. Лучшие курсы HTML и CSS
4. Лучшие курсы по языкам программирования

Хотите поделиться своим опытом обучения на курсах по WordPress или посоветовать другие интересные программы? Жду ваших комментариев и предложений!

Мулленвег заявил, что считает себя счастливчиком, так как ему удалось стать сооснователем такого проекта как WordPress.

В своём посте он также отметил, что на сегодняшний день под управлением именинника работает более 40% современного интернета. Разработчик также заявил, что спустя почти двадцать лет после выхода первой версии, инструмент работает лучше, чем когда-либо раньше.

Отметим, что подобные посты он писал в честь пятилетия, десятилетия, пятнадцатилетия и семнадцатилетия проекта.

А вы когда-нибудь работали с WordPress? Или может ваш нынешний проект использует эту CMS в качестве основы? Пишите в комментариях — нам будет интересно почитать ваши истории.

Источник: Блог Мэтта Мулленвега

Сегодня на WordPress работают более 40% из 10 миллионов популярных сайтов [1. Статистика использования систем управления контентом].

Что может WordPress?

Система позволяет быстро проверять идеи, не тратя много времени и средств. Так в случае открытия интернет-магазина, самым трудоёмким станет выбор платёжного агрегатора и онлайн кассы, большинство которых имеет готовые плагины для подключения к WordPress. Товары же могут быть импортированы из складксой системы вместе с изображениями или загружены из файла.

В репозитории WordPress.org больше 7400 тем и 50 тысяч плагинов с открытым исходным кодом: от простых слайдеров до редакторов блогов, альтернативных встроенному WYSIWYG. А также мощные решения для электронной коммерции и дополнения к ним.

При этом внешний вид и функционал WordPress, включая подключения к сторонним системам, можно менять, не затрагивая контент и не переделывая то, что уже реализовано. Это значительно снижает издержки на доработку и модернизацию и позволяет быстро решать задачи развивающегося бизнеса.

Использование разработчиками API является ключевым для дальнейшего роста и развития проекта на WordPress. API системы представлен хуками (фильтрами и событиями) [2. Как работают хуки в WordPress (фильтры и события)
Hooks | Plugin Developer Handbook | WordPress Developer Resources (на английском)
Актуальный список доступных хуков (на английском)].

Минимальный набор плагинов для большинства сайтов:

• плагин безопасности — защищает от подбора пароля, блокирует ботов и так далее. В платных версиях доступна двухфакторная авторизация и многое другое;
• плагин для транслитерации URL и названий загружаемых файлов;
• SEO-плагин — для создания оптимизированных заголовков и описаний, оценки качества контента, добавления данных по Schema.org, настройки sitemap.xml и так далее;
• плагин для конвертации изображений в формат webp. Он уменьшает размер растровых изображений и радует Google PageSpeed;
• плагин для защиты от спама, если для страниц или записей включены комментарии;
• плагин кэширования может быть эффективен или нет, в зависимости от динамики обновления контента, посещаемости и сложности системы в целом.

Изменения CSS

Стилистические корректировки реализуются дополнительными инлайн стилями, которые записываются в специальное поле кастомайзера (Панель управления > Внешний вид > Настроить > Дополнительные стили).

Кастомизация

+ HTML, PHP и API WordPress и плагинов.

Что можно сделать:

• Изменить готовую тему или расширить её функционал через создание дочерней темы к бесплатной или премиум-теме. При таком подходе родительская тема сохраняет обновления. Со стороны разработчика дочерней темы нужна минимальная поддержка;
• У плагинов, выводящих информацию на фронтенд, есть шаблоны, которые можно изменить в папке родительской или дочерней темы. Так можно решить, как будет отображаться контент и какой будет логика плагина в целом. Пример плагина со своими шаблонами и обширным API — WooCommerce.

Разработка

+ JavaScript, MySQL, система контроля версий (Git), система управления пакетами (NPM, Composer, Yarn и другие), системы сборки пакетов (Gulp, Webpack и другие), Bash, следование стандартам кодирования WordPress (Coding Standards) [3. WordPress Coding Standards (на английском)].

Что можно сделать:

• создать темы с уникальным дизайном под цели конкретного проекта;
• создать плагины, реализующие дополнительный функционал под конкретный проект;
• превратить WordPress в приложение с помощью PWA.

+ React и интерфейс WordPress для работы с ним [4. @wordpress/element — уровень абстракции поверх React (на английском).].

Что можно сделать:

• разработать блоки и паттерны для Редактора блоков или другого функционала для фронтенда и бекенда;
• разработать темы с полносайтовым редактированием.

+ другие технологии, фреймворки и платформы.

Что можно сделать:

• интегрировать WordPress со сторонними приложениями, настройка синхронизации и обмена данными;
• подключить к WordPress собственное мобильное приложение;
• использовать WordPress исключительно как CMS и реализовать фронтенд на фреймворке — Gatsby, Vue.js и других.

Интерфейс REST API помогает взаимодействовать со сторонними приложениями и использовать WordPress только как систему управления контентом. Такая технология носит название Headless или Decoupled CMS [5. На конференции WordCamp Europe 2020 Луис Эрранц, соучредитель и ведущий разработчик Frontity, фреймворка с открытым исходным кодом для разработки сайтов на базе WordPress с использованием React рассказал об особенностях Headless/Decoupled CMS (на английском)].

В версии WordPress 5.6 в 2020 году в ядро системы также вошли «Пароли приложений» [6. Вопросы и ответы о Паролях приложений (на английском)]. Они дают возможность, приложениям авторизоваться с правами пользователя, без основного пароля аккаунта.

Альтернатива REST API — GraphQL, доступный с плагином WPGraphQL [7. Мухаммад Мухсин: Использование WordPress с GraphQL (на английском).
Плагин WPGraphQL].

Реализация проекта на WordPress ограничивается квалификацией разработчиков, потребностями и бюджетом клиента. И позволяет получить максимальную отдачу от вложений. Если проект можно чётко описать, его можно реализовать на WordPress.

Бонусный уровень

WordPress — программное обеспечение с открытым исходным кодом, которое поддерживают волонтёры. То есть каждый может доработать систему: сообщить об ошибке, предложить идею или написать патч.

Будущее WordPress

В июле 2021 в ядро WordPress 5.8 войдёт возможность полносайтового редактирования — Full Site Editing. FSE откроет новые возможности для разработчиков. Пользователи WordPress без установки новой темы с поддержкой FSE не почувствуют существенных изменений.. Но привычные пользователям и разработчикам инструменты сохранятся. Как и совместимость с уже существующими темами и плагинами.

Также в декабре 2020 был запущен проект «Learn» [8. Платформа Learn WordPress (на английском, другие языки в разработке).
Представляем Learn WordPress (на русском)]. Это многоязычная учебная платформа с мастер-классами, викторинами, курсами и планами уроков. В рамках платформы проводятся группы для обсуждения, рассчитанные на пользователей и на разработчиков WordPress.

Почему пользователи и разработчики поддерживают WordPress?

Во-первых, положительная обратная связь в действии. Разработчикам нравится работать с WordPress и в какой-то момент они хотят поучаствовать в его развитии. Это хорошая тренировка и возможность сравнить себя с разработчиками из более чем 50 стран мира и стать лучше в дружественной среде.

Составить представление о работе сообщества можно посетив сайт Make WordPress [9. Make WordPress — глобальное сообщество волонтёров (на английском)].

Во-вторых, WordPress — это конференции и митапы, в разных уголках мира.

В-третьих, компании-разработчики плагинов, крупные агентства и хостинговые компании, предоставляют решения специально под WordPress. Так хостинги предлагают отладочный сайт (staging site), контроль за работоспособностью сайта, управление автоматическими обновлениями и другие возможности. Они избавляют программистов от рутины. А ещё крупные компании спонсируют мероприятия и разработчиков, которые развивают ядро WordPress и занимаются другими направлениями в рамках концепции «Five for the Future» [10. Five for the Future (на английском)].

Для тех, кто хочет попробовать свои силы в разработке ядра, Сергей Бирюков, WordPress Core Committer написал подробную инструкцию [12. Как внести свой вклад в ядро WordPress (на русском)]. А если еще сомневаетесь, подходит ли WordPress для проекта, приходите на русскоязычный форум поддержки [13. Форум поддержки WordPress].

В своём Twitter-аккаунте компания описала требования к эксплоиту. Он должен работать на самой свежей версии WordPress, при этом с дефолтными настройками и без сторонних плагинов. Также важно, чтобы метод взлома не требовал аутентификации или взаимодействия с пользователем.

Представители Zerodium также объявили, что предложение о награде — временное. При этом никаких сроков окончания выплаты повышенного вознаграждения они не озвучили.

Если вам удалось обнаружить уязвимость, удовлетворяющую требованиям компании, можете связаться с ней, кликнув по ссылке.

Источник: Twitter/Zerodium

Команда исследователей под руководством Джинсона Варгезе обнаружила возможность неограниченной загрузки файлов в версии плагина 5.3.1 и старше. Используя данную брешь, хакеры могли загружать на сервер абсолютно любые файлы, несмотря на установленные пользователем ограничения. Также найденная уязвимость позволяла посторонним внедрять вредоносный код, в том числе и в виде веб-шеллов.

Astra Security Research уже направила письмо разработчику плагина, в результате чего он успел выпустить патч, закрывающий дыру в безопасности. В свою очередь пользователям специалисты из Astra посоветовали обновиться до Contact Form 7 5.3.2.

Напомним, что Contact Form — один из самых популярных плагинов для создания контактных форм на сайте. С его помощью можно создавать формы любых видов. Также в числе преимуществ плагина часто называют гибкость и удобство его настройки вместе с огромным коммьюнити, способным помочь в решении тех или иных проблем.

Источник: Astra Security

Патч есть?

Да. В версии 2.4.22 уязвимость закрыли. По словам специалистов из Wordfence, разработчики плагина выпустили обновление буквально на следующий день после сообщения об уязвимости.

Почему это важно?

У плагина Abandoned Cart Lite for WooCommerce больше 20 тысяч загрузок, он широко распространён. Разработчики уже выпустили патч в версии 5.2.

Что случилось? Владимир Путин рассказал, что думает об угрозах, которые приводятся в проекте об автономном Рунете.

Что сказал? Если говорить своими словами, примерно следующее:

Россия не собирается «сама себя отключать» от Интернета. Да и «партнёры» «сто раз подумают», прежде чем это сделать, ведь «ущерб для них будет очень большой, если не сказать колоссальный». Кроме того, это невыгодно зарубежным спецслужбам. «Они же там сидят, это же их изобретение, и все слушают, видят и читают, что вы говорите, и накапливают эту информацию, а так не будут».Тем не менее, мы не можем залезть «партнёрам» в головы и проверить, «что у них на уме». «Всё может быть». Поэтому «чем больше суверенитета, в том числе в цифровой сфере, тем лучше».

***

Что случилось? Правительство РФ начало раздавать задачи министерствам и ведомствам по проекту об автономном Рунете. Пока сосредоточились на информационной системе (для мониторинга и управления сетями связи) и Центре (мониторинга и управления сетями связи).

Кому что поручили? РКН — создать Центр (к июлю) и систему (к январю). Минкомсвязи — определиться, какие данные будут стекаться в информационную систему (к маю), и подготовить регламент взаимодействия этой системы с другими государственными информационными системами (к январю).

Уязвимости

Что случилось? В даркнете появились в продаже базы пользовательских данных восьми ресурсов. Затронуты 93 миллиона пользователей.

Как узнать, затронуты ли мои данные? Портал ZDNet опубликовал список ресурсов, откуда предположительно были украдены данные: Legendas.tv, Jobandtalent, Onebip, StoryBird, StreetEasy, GfyCat, ClassPass, Pizap.

Если у вас есть учётная запись на одном из них, лучше перестраховаться и сменить пароль или вообще удалить аккаунт.

***

Что случилось? Microsoft поделилась интересной статистикой. Из всех уязвимостей, выявленных и пропатченных в продуктах компании за последние 12 лет, в среднем 70 % относятся к проблемам доступа к памяти.

Почему это? Говорят, потому что Windows в основном писали на C++ и C — языках, в которых управление памятью ложится на хрупкие плечи разработчиков

***

Что случилось? В WordPress нашли уязвимось, которая была активна на протяжении шести лет. Чтобы удалённо выполнить на сервере произвольный код, злоумышленнику нужен был лишь доступ к целевому сайту хотя бы с правами автора и полминуты времени.

Защита есть? Да, в WordPress 4.9.9 и 5.0.1 возможность удалённого исполнения кода перекрыта патчем для другой уязвимости. Однако если на сайте какой-нибудь плагин некорректно обрабатывает поля Post Meta, это открывает сервер для удалённого исполнения кода. Количество таких сайтов, говорят специалисты, исчисляется миллионами.

Разработчики WordPress обещали исправить это в следующем выпуске ядра.

***

Что случилось? В WinRAR нашли уязвимость, затрагивающую все версии архиватора за 19 лет. Если злоумышленник убедит жертву распаковать вредоносный архив, то может закинуть малварь в список автозагрузки. Устройство будет запускать её каждый раз с запуском системы.

Что с патчем? Во всём виновата устаревшая сторонняя библиотека unacev2.dll, которая отвечала за распаковку файлов формата ACE. В WinRAR 5.70 Beta 1 разработчики удалили её, так что работу с ACE-файлами архиватор теперь не поддерживает, зато и дыра исчезла.

Веб

Что случилось? Разработчик Патрик Халс исследовал, сколько времени загружаются разные части кода самых популярных сайтов.

Какие результаты? Выяснилось, что 60 % времени загрузки сайта занимает загрузка сторонних скриптов, в том числе рекламных и следящих. В исследовании приводится анализ скриптов разного назначения, так что веб-разработчики могут покопаться и приметить из них наиболее эффективные.

***

Что случилось? Google разъяснила свою позицию по третьей версии «Манифеста» — правил для расширений Chrome. Этот документ вызвал немало споров из-за того, что одно из изменений может «сломать» стороннин блокировщикт рекламы.

Что сказала Google?

Нет, компания не собирается «ломать» блокировщики. И webRequest API полностью не закроет. Прямо сейчас никаких потрясений не ждите: третья версия «Манифеста» пока на стадии черновика, он дополняется и исправляется. Так что присылайте фидбек, особенно если новый «Манифест» оказывается несовместим с расширением.

***

Что случилось? Как и было обещано в прошлом году, Google открыла ранний доступ к регистрации доменов в зоне .dev. Она специально создана под IT-ресурсы. Зарегистрировать домен по этой программе можно до 28 февраля, но за отдельную плату. С марта регистрацию откроют для всех желающих.

Зачем тогда нужен ранний доступ? Чтобы успеть «застолбить» самое лакомое доменное имя. К примеру, так появились women.dev, privacy.dev, web.dev, agile.dev и куча других, к сожалению, уже занятых сайтов.

А теперь к учебно-полезному. Лежит у нас подборка бесплатных видеокурсов на русском языке по работе с популярными бесплатными CMS. Это Joomla, WordPress, MODX и Drupal. Не откладывайте на завтра то, что можно узнать сегодня.

Fold

Что случилось? Samsung наконец показала Galaxy Fold — свой первый коммерческий складной смартфон с гибким экраном.

Что получилось? В разложенном состоянии он напоминает скорее планшет, чем смартфон: на большом экране помещается целых три активных приложения. У Galaxy Fold два аккумулятора, 512 ГБ встроенной и 12 ГБ оперативной памяти. Камер аж шесть: одна на лицевой стороне (10 Мп), две на внутренней (8 и 10 Мп) и три на задней панели (12, 12 и 16 Мп).

Поставки начнутся 26 апреля, в том числе, в Россию. Цена — от 2 тысяч долларов (около 140 тысяч рублей).

В этой статье мы собрали видеокурсы на русском языке по популярным бесплатным движкам для сайта — Joomla, WordPress, MODX и Drupal.

Joomla!

Joomla! — это CMS с открытым исходным кодом. Система написана на языках PHP и JavaScript. При первоначальной установке Joomla! содержит минимальный набор функций, который можно увеличить с помощью многочисленных расширений.

На YouTube есть русскоязычный проект Joomla Sensei, который охватывает как основы движка Joomla! 3, так и работу с различными расширениями CMS. Уроки помогут разобраться с тонкостями настройки движка, создать красивый и производительный дизайн и расширить функциональность сайта, добавив всплывающие окна, интеграцию с «ВКонтакте», музыкальный плеер, галерею изображений и многое другое.

WordPress

В этом видеокурсе вы познакомитесь с одной из самых известных CMS — WordPress. Система обладает обширной функциональностью для создания сайтов-блогов. Внешний вид сайта можно настроить с помощью большого количества как платных, так и бесплатных тем, а разнообразные плагины помогут достаточно неплохо персонализировать функции сайта под свои нужды.

Курс научит:

• работе с базовыми компонентами движка (Post Type, Taxonomy, Widget и Sidebar);
• созданию миниатюр и персональных шаблонов (Custom Template), поддерживающих мультиязычность;
• внедрению в сайт JavaScript-библиотек и CSS-стилей;
• реализации навигации на сайте.

MODX

Система MODX свободно распространяется по лицензии GPL. Её ядро написано на PHP. MODX позволяет создать сайт различного уровня сложности — от одностраничного сайта-визитки до полноценного интернет-магазина. Актуальная версия CMS — MODX Revolution. Именно её используют в следующих видеоуроках:

В первом видео автор рассказывает о том, как установить MODX, какие плагины использовать в первую очередь и как настроить CMS для дальнейшей работы. Следующие уроки поясняют, как разграничить права доступа на сайте, создать настраиваемый фильтр контента, перенести готовую вёрстку страниц на MODX и многое другое.

Drupal

Drupal также является CMS с открытым исходным кодом. В отличие от WordPress, Drupal даёт возможность реализовать практически любой сайт. К тому же, CMS обладает развитым сообществом, которое поможет найти ответ на многие вопросы. Однако из-за его универсальности движок достаточно сложен, поэтому потребуется много времени на его освоение.

Видеокурс от канала loftblog подойдёт в качестве введения в разработку сайта на Drupal. В нём объясняется, как установить Drupal и локализацию интерфейса, что такое модули и как с ними работать, что умеет административная панель управления, а также как перевести сайт на более новую версию движка.

В предыдущем курсе рассматривается Drupal 7, однако актуальной версией является Drupal 8. Если хотите продолжить изучение этого движка, можно просмотреть видеокурс ниже. В нём более подробно рассказывается о разработке сайта на Drupal:

Дополнительную информацию о движке можно узнать из официальной документации или на форуме русскоязычного сообщества.

Смотрите также: Обзор лучших конструкторов сайтов

• Релизы: PyTorch, Git, Qt Creator, WordPress и Rust.
• Взлом linux.org и утечка в Google+.
• Нейросеть, которая «оживляет» людей на фото. Не так, как в «Гарри Поттере», но тоже круто.

Сплошные релизы

К концу года все как с цепи сорвались, так что по обновлениям пробежимся галопом.

• PyTorch0 — наконец-то полностью стабильная версия ML-библиотеки от Facebook. Она получила набор JIT-компиляторов, которые трансформируют код модели в Torch Script. Это снимает зависимость от совместимости других проектов с Python. По словам разработчиков, такие модели можно использовать в C++ API. Кроме того, библиотека получила интерфейс на C++ и поддержку крупных облачных платформ.
• Git20 — в этом выпуске разработчики внесли изменения в интерфейс и то, как обрабатываются рабочие процессы, а ещё подкрутили производительность и изменили функционирование некоторых команд. Команда проекта говорит, это самый крупный релиз из ветки 2.x.x — он потребовал внести 962 изменения в код.
• Qt Creator 4.8 — новая версия IDE получила поддержку протокола языкового сервера (LSP), плагин ClangFormat для автоформатирования кода, анализатор Cppcheck, а также возможность одновременно запускать сразу несколько отладчиков.
• Rust 2018 (1.31) — разработчики дали этой версии дополнительное числовое название «2018», чтобы отделить её от предшествующих, помеченных как «2015». Обе эти ветки языка будут поддерживаться наравне, но некоторые новые возможности войдут только в «восемнадцатую» версию, поскольку с «пятнадцатой» несовместимы. Такие изменения уже есть: доработанная проверка заимствования и изменённая работа путей для доступа к пространству имён.

Нет, про WP не забыли.

Версия WordPress 5.0 получила кодовое название Bebo, в честь Бебо Вальдеса — кубинского джазового музыканта.

В этом релизе разработчики делают упор на блочный принцип: он помогает безболезненно менять структуру сайта, тасуя блоки контента. Редактор Gutenberg оперирует типами контента и даже позволяет создавать свои собственные варианты блоков.

Если кому-то новый редактор придётся не по нраву (или же он внезапно поломается), можно подключить плагин Classic Editor, который вернёт редактор прошлой версии. Плагин будет поддерживаться до 2021 года.

Кто увлекается веб-технологиями — все сюда. Tproger ищет человека, который бы вёл Telegram-канал по вебу. Нужно уметь грамотно изъясняться на русском и иметь опыт в разработке — чтобы «чувствовать» тему. В обмен предлагаем зарплату. Всё честно.

Протестные настроения в Linux

В прошлую пятницу некие неизвестные (предположительно, пользователь Твиттера kitlol5) взломали сайт linux.org и наделали там много шума. Главная страница пестрила лозунгами против новой версии CoC, насмешками над документом и его составителями. Нормативной лексикой хакер себя не ограничивал. Сейчас контроль над сайтом восстановлен.

Ещё ближе к концу G+

Google сказала, что закроет социальную сеть Google+ не в августе 2019 года, а в апреле. Причина — ещё одна брешь в API, которая раскрывала данные 52,5 миллионов аккаунтов. Уязвимость вроде бы никто не использовал, но компания всё равно на всякий случай уведомляет пользователей. К середине марта 2019 года доступ к API G+ будет закрыт.

“Живые” люди

Исследователи из Facebook и Вашингтонского университета разработали систему, которая на основе одной фотографии/рисунка человека строит его 3D-модель и показывает её в движении. Анимированная фигурка, сохраняя реалистичное внешнее сходство с оригиналом, умеет прыгать, ходить, бегать. Пользователи могут менять положение рук, ног, туловища и головы — и сохранять фотографию в новом виде. То же самое можно увидеть и в дополненной реальности.

Кстати, фон, с которого «фигурка» уходит, самовосстанавливается, как будто там никого и не было. Как тебе такое, Гарри Поттер?

Новый редактор и новая тема

В WordPress 5.0 появился новый блочный редактор контента Gutenberg. Вместе с ним разработчики WordPress добавили новую тему оформления по умолчанию. Она называется Twenty Nineteen и явно намекает этим на скорый 2019 год. Тема использует стили редактора, что позволяет добиться единообразия в отображении. Отмечается, что общий стиль сделан простым и современным, что должно положительно отразиться на скорости загрузки страницы. Для этого также используются системные шрифты.

Однако, если кому-то не по душе новый редактор, в сборке есть штатный плагин Classic Editor, который вернёт оригинальный редактор сайта из прошлой версии, а также редактор статей. При этом сами разработчики рекомендуют использовать именно Classic Editor в случае проблем с новым. Его поддержка продлится до 2021 года.

Блоки

В этой версии WordPress основой построения контента являются блоки: для картинок, текста, видео и других данных. Причём множество элементов уже доступно по умолчанию. По словам разработчиков, это позволит упростить разработку дизайна. Также пользователи могут создавать собственные варианты.

Утверждается, что с помощью новой блочной системы можно проще, быстрее и безопаснее менять дизайн и компоновку веб-страницы, не опасаясь потери данных в ходе редактирования.

Подробнее о редакторе WordPress 5.0 можно прочитать в документации к Gutenberg.

В феврале 2018 года вышла сборка 4.9.3, а через несколько дней появилась и 4.9.4. Дело в том, что ранняя версия «сломала» автоматическое обновление CMS. Это привело к отключению функции после обновления до 4.9.3.

Суть уязвимости

В плагине сразу две проблемы. Первая состоит в том, что в модуле, добавляющем роли для пользователей, используется система привилегий WordPress. Плагин добавляет новую роль, а затем ограничивает её взаимодействие с настройками системы, используя собственные механизмы.

Одной из ролей является Shop Manager («менеджер магазина») с правом edit_users для редактирования учётных записей пользователей вплоть до администратора. В обычных условиях WooCommerce ограничивает это право. Но при отключении плагина защита снимается и Shop Manager получает доступ к другим учётным записям.

Вторая ошибка на версиях WooCommerce 3.4.5 и ниже приводит к тому, что Shop Manager может удалить любой файл плагина, в том числе критически важный для работы. Если это произойдёт, WordPress отключит плагин. Именно это и даст Shop Manager возможность редактировать чужие профили.

Опасность бреши

По словам исследователей, хакеру достаточно получить доступ к аккаунту Shop manager. Это возможно при использовании фишинга или XSS-уязвимостей. После этого злоумышленник может взять контроль над всем сайтом, просто сменив администратора.

Разработчики WooCommerce уже выпустили версию 3.4.6, в которой убрали эту брешь. Однако проблема остаётся, поскольку не все сайты на WordPress автоматически обновляют плагины. Потому рекомендуется проверить это и, в случае необходимости, обновить WooCommerce вручную. Актуальной версией является 3.5.1

В феврале 2017 года в WordPress была обнаружена брешь, которая позволяет провести десериализацию кода и, в определённых случаях, нарушить работу PHP-фреймворков.

В чем суть уязвимости?

Исследователи из Malwarebytes полагают, что злоумышленники используют уязвимости не в самой системе WordPress, а в устаревших темах и плагинах. Как правило, заражение сайта вредоносным кодом происходит с помощью изменения PHP или JavaScript файлов. Впрочем, некоторые пользователи также заявили об обнаружении вредоносных изменений в базах данных.

После получения доступа к сайту злоумышленники перенаправляют часть пользователей на поддельные страницы технической поддержки. Цель подобного обмана — продажа ненастоящих антивирусных программ или получение удаленного доступа к компьютеру пользователя.

Кроме того, часть подобных мошеннических схем также использует баг Google Chrome под названием «evil cursor», который не позволяет пользователю закрыть вредоносный сайт.

Насколько распространена уязвимость?

Согласно отчету исследователей, вредоносный код можно найти на более чем 2500 сайтах. Однако реальное количество зараженных ресурсов может оказаться значительно больше, поскольку значение в 2500 было получено обыкновенным поиском в Google части вредоносного кода на JavaScript. Владельцам веб-сайтов, пострадавших от атак, нужно будет определить, с помощью чего произошло заражение, и выполнить тщательную очистку страниц и баз данных.

Напомним, что это не единственная уязвимость, способная навредить сайтам на данной CMS. В конце августа 2018 года на конференции BSides представили доклад об уязвимости WordPress, также способной нанести ущерб многочисленному количеству сайтов. Впрочем, несмотря на то, что о проблеме известно уже более года, она так и не была решена.

Суть проблемы

Сэм объяснил, как злоумышленники могут навредить ресурсу. Разрешение на добавление изображений позволяет им загрузить иконку и инициировать обработку файла через распаковщик архивов phar://. В свою очередь, эксплойт осуществит атаку XXE (XML External Entity) и вызовет ошибки SSRF (Server Side Request Forgery). Всё это приведёт к десериализации кода. Несмотря на то что из-за ошибок произойдёт незначительная утечка информации, их можно использовать для проведения более серьёзных атак. Десериализация происходит в момент, когда переменные конвертируются для PHP. При включённой автозагрузке выполнение кода нарушит работу PHP-фреймворков.

Расположение

По заявлению представителей компании Secarma, уязвимость WordPress на данный момент не получила номер в CVE. Она находится в функции wp_get_attachment_thumb_file файла /wpincludes/post.php. Как только злоумышленники получают доступ к параметрам вызова функции file_exists, проявляется баг.

К сожалению, эта уязвимость WordPress далеко не единственная. В конце мая 2018 года авторы плагина Wordfence обнаружили новый способ установки бэкдоров на WordPress. Несмотря на сложность метода, хакерам удалось провести несколько атак до выявления уязвимости. Затем в начале июня 2018 года исследователи Defiant опубликовали отчёт о малвари «Баба Яга». Она атаковала сайты на WordPress, внедряла на страницы SEO-трафик и перенаправляла пользователей на торговые площадки. И уже в конце июня 2018 года сотрудники компании RIPS сообщили об уязвимости WordPress, позволяющей загружать в систему вредоносный код и удалять критически важные файлы. Для решения этой проблемы разработчики RIPS выпустили хотфикс.

Суть проблемы

Пользователи с правами редактора могут управлять изображениями, а также внедрять в CMS произвольный код и удалять критически важные для работы системы файлы. В нормальных условиях эти данные быть открыты только администратору на сервере или через FTP.

По словам экспертов RIPS, даже доступа уровня User может быть достаточно для использования уязвимости.

Файлы

Злоумышленник может удалить файл wp-config.php и заново установить систему с вредоносным контентом.

Представители WordPress никак не прокомментировали ситуацию. Хотя официального патча пока нет, разработчики RIPS выпустили собственный временный хотфикс, код которого нужно добавить к файлу functions.php.

Часто виновниками уязвимостей в WordPress становятся плагины. В феврале 2018 года из-за зараженной JS-библиотеки в Browsealoud 4000 сайтов, включая ресурсы государственных структур, в течение четырех часов майнили Monero.

Возможности

В отличие от аналогичных малварей, «Баба Яга» может обновлять и переустанавливать WordPress на сайте жертвы, а также создавать резервные копии на случай неудачных обновлений. Программа удаляет другие вредоносы, способные нарушить ее работу или работу сайта.

В Defiant полагают, что с помощью вируса «Баба Яга» также можно атаковать ресурсы под управлением Joomla и Drupal.

Модули

Вредонос состоит из двух основных модулей, один из которых размещает спамерский контент на зараженных сайтах. Второй представляет собой бэкдор, который дает злоумышленникам полный контроль над ресурсом.

Создатели

По мнению исследователей, «Баба Яга» была создана русскоговорящими хакерами. Она появилась давно, но ранее ничем не выделялась и не представляла большой опасности, уверены специалисты.

В мае 2018 года авторы плагина Wordfence обнаружили новый способ установки бэкдоров на WordPress-сайты. Сначала злоумышленники взламывают аккаунты, а затем используют плагин Jetpack для массовой установки вредоносного дополнения.

WordPress и Jetpack

Первым делом злоумышленники взламывают аккаунты пользователей. Примечательно, что логин и пароль от панели управления WordPress.com отличаются от данных, используемых для входа в консоль сайтов под управлением одноименного движка.

Заполучив доступ, хакеры используют плагин Jetpack для массовой установки вредоносного дополнения во все сайты, подключенные к аккаунту. При этом установленные надстройки не отображаются в панелях администраторов.

В период с 16 по 21 мая 2018 года злоумышленники устанавливали бэкдоры с названиями «pluginsamonsters» и «wpsmilepack». Они используются для направления пользователей на фишинговые страницы.

Защита от взлома

Владельцам сайтов, связанных с Wordpress, рекомендуется изучить список установленных плагинов. При обнаружении подозрительных пакетов нужно их удалить, сменить пароль и включить двухфакторную аутентификацию.

Уязвимости в движке WоrdPress нередки. В мае 2017 года специалист по безопасности Давид Голунский обнаружил способ получить ссылку для сброса пароля от панели управления сайтом.

Особенности

Плагин разработан командой Amazon AWS на основе системы распознавания и чтения машинописного текста Polly. Сервис поддерживает 47 женских и мужских голосов на 25 языках. В их число входят и два русскоязычных «диктора». Polly умеет «читать» в нескольких режимах, включая шёпот, ударение на словах, а также смену интонации и голоса при озвучивании цитаты, обрамленной кавычками.

Новый модуль можно интегрировать в любой сайт на движке WordPress. После успешной установки плагин будет вызывать Polly на обработку текста каждый раз, как пост сохраняется/обновляется в панели администратора.

А подкастерам плагин предлагает функцию Pollycast, позволяющую управлять настройками iTunes, которые генерируются в новостных лентах RSS-агрегаторов:

С иллюстрированной инструкцией по установке расширения можно ознакомиться на официальном сайте Amazon AWS.

Всем обновившимся до 4.9.3 придется устанавливать следующую версию уже вручную через панель администратора.

Следует отметить, что и в самом свежем релизе движка на данный момент отсутствует патч для устранения недавно обнаруженной проблемы с load-scripts.php, позволяющей «положить» практически любой сервер на WP.

Детали находки

Файл load-scripts.php с уязвимостью внедрен в WP для обработки пользовательских запросов. Изначально он был создан для увеличения производительности сайтов путем объединения нескольких JS-файлов. Оказалось, что этот файл не оснащен дополнительной защитой. Это позволяет скрипту работать без необходимости вводить логин и пароль.

Основная задача load-scripts.php заключается в выборочной загрузке файлов JavaScript, названия которых перечисляются после параметра load. Так как этот файл включает в себя список используемых модулей, то можно одним запросом вывести все входящие в него элементы. В среднем общий объем предоставляемых файлов составляет 4 Мб. Посылая множество тяжеловесных запросов, можно создать нагрузку на подсистему хранения, что в итоге может привести к отказу от обслуживания.

Барак Товайли отметил, что с одного устройства можно навредить только WordPress-сайту на «слабом» сервере. Для успешной атаки на более серьезные проекты потребуются большие вычислительные мощности. Специалист опубликовал видеоролик, в котором продемонстрировал эксплуатацию уязвимости:

Структура атаки

В качестве цели злоумышленники выбирают незащищенные ресурсы на WordPress (преимущественно на старых версиях движка или с небезопасными плагинами) и используют эксплойты для внедрения вредоносных вставок в исходный код CMS.

Зловредный код состоит из двух частей. Первая — кейлоггер со стороннего домена, загружаемый в страницу входа администратора. А вторая часть отвечает за фронтенд, внедряя туда Coinhive — популярный браузерный майнер криптовалюты Monero.

Согласно отчету Sucuri — компании, отслеживающей действия мошенников с апреля 2017 года, — на данный момент кейлоггеры злоумышленников хранятся на трех доменах: cdjs.online, cdns.ws и msdns.online. До этого вредоносные программы загружались с cloudflare.solutions.

Что делать?

Эксперты настоятельно рекомендуют всем владельцам WordPress-сайтов проверить движок на наличие обновлений и провести полноценный аудит исходного кода.

Это не первый случай массового заражения сайтов на популярной CMS. Например, в конце декабря 2017 года прошла массированная брутфорс-атака WordPress-ресурсов, поражавшая до 14 млн сайтов в час.

Для сравнения быстродействия были установлены четыре клиента, отсылающие одновременно 128 запросов на главную страницу сайта. При этом использовалась WordPress 4.7, MySQL и две платформы: .NET Core 2.0 и Apache с PHP 7.2.

Из полученных данных выясняется, что на весь тест Peachpie потратил всего 7,7 секунд, в то время как у PHP на это ушло целых 11,7 секунд. Общее значение быстродействия у Peachpie составило 833,34 кбит/с, а у PHP — 593,94 кбит/с. Два значения, играющие основную роль в исследовании — это requests per second и time per request — сколько запросов обработал сервер за секунду, и сколько времени у него ушло на один запрос. Как оказалось, Peachpie смог обработать примерно 16 запросов за одну секунду, против 11 запросов у PHP. А 60,414 мс потраченного в среднем на один запрос времени у .NET превосходит 84,992 мс/запрос у Apache. Следующие графики визуализируют эти данные:

Следуя информации, полученной на графиках, Peachpie обрабатывает на 40 % больше запросов в секунду, да и делает это на 40 % быстрее, чем PHP. Но и это не окончательный результат, ведь исследователи не брали в расчет оптимизацию кода и тому подобные детали. Для полноты картины рассмотрим также различные типы страниц в WordPress и различные уровни параллелизма, используя те же методы:

Как видно из графиков, Peachpie работает быстрее Apache, причем с уменьшением параллелизма возрастает разница в производительности. Так, при одном пользователе .NET работает почти в два раза быстрее.

Мы не считаем себя экспертами в проведении бенчмарков, и в наших методах могут быть изъяны. Тестирование проводилось исключительно на платформе Windows, а не на каких-нибудь особенных дистрибутивах Linux с особенным ПО. К тому же, мы не настраивали PHP и не устанавливали opcache. Настроенный PHP будет работать гораздо быстрее, чем тот, что в примере. Однако, мы и не оптимизировали наш код на Peachpie.

Выводы

Приведенные выше тесты показали, что PHP может хорошо показать себя при работе с .NET. Однако эти цифры не являются окончательными. Разработчикам еще предстоит хорошо поработать над оптимизацией производительности Peachpie. К тому же, существует ряд настроек, которые исследователи опустили при тестировании и которые могли бы ускорить работу Apache. Однако, уже эти тесты показали, что Peachpie вполне работоспособная платформа, которую после ряда улучшений веб-разработчики смогут использовать в своих проектах бок о бок с .NET.

Бэкдоры обнаружены в плагинах Duplicate Page and Post, No Follow All External Links и WP No External Links. Все три плагина были приобретены за прошедшие шесть месяцев, с целью внедрения SEO-спама на запущенных с ними сайтах. Внимание также привлекает тот факт, что их покупку оплатила одна компания.

Найденные бэкдоры имеют схожие принципы работы: отправляется запрос на определенный сервер, который возвращает информацию в зависимости от URL и статуса пользователя. Так, рядовой пользователь, администратор и бот могут получить на выходе различающийся контент. Предположительно, это используется для продвижения сайтов в рейтинге поисковиков.

Позиция компании

В WordPress и WordFence считают, что череда инцидентов несет умышленный централизованный характер:

Мы уверены, что за приобретением и добавлением бэкдоров во все три плагина может стоять одно преступное лицо, с целью внедрения SEO-спама в тысячи веб-сайтов с запущенными плагинами. Принимая во внимание тот факт, что все расходы оплатила Orb Online, мы предполагаем, что эта компания использовала внедренные спам-ссылки для продвижения своих клиентов в поисковых системах.

В целях безопасности WordFence рекомендует пользователям удалить вышеперечисленные плагины, а также проверить корректность информации на своих сайтах.

Ранее мы уже писали об инциденте с Captcha — популярном плагине, в котором был выявлен бэкдор, предоставлявший злоумышленнику доступ к серверу с правами администратора.

Невероятные объемы

По заявлению службы безопасности WordPress — Wordfence, — с такой масштабной кампанией движок сталкивается впервые за все время своего существования.

Это самая агрессивная кампания, которой мы когда-либо подвергались. В определенный момент число атак возросло до 14 миллионов в час. Чтобы выстоять перед таким тяжелым нападением, нам пришлось прибегнуть к расширению инфраструктуры логирования.

По статистическим данным фирмы, брутфорс-запросы поступали с 10 000 уникальных IP-адресов и были нацелены на 190 000 WordPress-сайтов в час. Поначалу команда Wordfence предполагала, что атаки были спровоцированы размещенным на Reddit и GitHub торрент-файлом, содержащим около 1,4 млрд комбинаций логинов и паролей. Однако более глубокий анализ ситуации показал, что хакеры используют “комбинации из общих списков паролей и эвристики на основе имени домена и содержимого атакуемого сайта”.

Цель атаки

Как только хакеры получают управляющий доступ к сайту, они устанавливают на него майнер Monero. Или же подключают к общей сети для продолжения брутфорс-атак. Поскольку все успешно захваченные сайты присоединяются к выполнению разных функций, число скомпрометированных ресурсов, вероятнее всего, в разы превышает количество IP-адресов, участвующих в кампании.

Большие деньги

Судя по адресным данным двух кошельков Monero, подключенных к незаконной майнинговой операции, хакеры уже успели заработать на ней порядка 100 000 $. Однако реальная сумма может быть намного больше, сообщает Wordfence. По словам экспертов, выбор криптовалюты Monero не удивителен, так как ее курс в этом месяце вырос вдвое, что привлекло серьезное внимание со стороны мошенников.

Конец уходящего года стал для WordPress настоящим испытанием. Напомним, что 21 декабря в одном из популярных плагинов для движка был обнаружен бэкдор, устанавливающий аутентификационные cookie через учетную запись администратора. А месяцем ранее в CMS нашли уязвимость, позволяющую хакерам осуществлять SQL-инъекции в сайт.

Обнаружение бэкдора в Captcha

Captcha был создан компанией BestWebSoft, и его бесплатная версия была продана ещё в сентябре 2017 года стороннему разработчику Simply WordPress. В начале декабря новый владелец плагина представил новую версию Captcha 4.3.7, которая и содержала вредоносный код.

Он заставлял плагин подключаться к внешнему домену simplywordpress.net, загружать обновление в обход официального репозитория WordPress.org. Такое действие запрещено правилами WordPress. Кроме того, устанавливаемое обновление содержало полноценный бэкдор.

Данный бэкдор создаёт сессию, используя user ID 1 (по умолчанию это учётная запись администратора, которая создаётся во время первой установки WordPress), устанавливает аутентификационные куки, а затем удаляет себя. При этом его установка никаким образом не обнаруживается.

Дело случая

Плагин и его действия привлекли внимание разработчиков по воле случая. Новый автор использовал в названии торговую марку WordPress, что нарушает авторские права. Из-за этого команда WordPress вынуждена была удалить Captcha из официального репозитория, чем самым и привлекла внимание сотрудников Wordfence.

Как только репозиторий WordPress удаляет плагин с огромной клиентской базой, мы начинаем проверку произошедшего. Возможно, удаление связано с проблемами безопасности плагина.

После обнаружения бэкдора WordPress заменила плагин на чистую версию 4.4.5 и начала насильно обновлять пострадавшие веб-сайты, удаляя версии с бэкдорами. По словам представителей команды WordPress, за прошедшие выходные удалось обновить более ста тысяч веб-сайтов. Все они получили чистые версии Captcha.

Ещё несколько плагинов с уязвимостями

Исследователи Wordfence проанализировали деятельность Simply WordPress и обнаружили, что домен simplywordpress.net распространяет обновления с бэкдорами и для других плагинов. Ни один из них не представлен в репозитории WordPress:

• Covert me Popup;
• Death To Comments;
• Human Captcha;
• Smart Recaptcha;
• Social Exchange.

Личность злоумышленника раскрыта

По результатам своего расследования эксперты Wordfence пришли к выводу, что Simply WordPress связана с Мэйсоном Сойза, который уже был уличён во внедрении зловредов в плагин Display Widgets. Он использовал скомпрометированные версии плагинов для вставки скрытых обратных ссылок на спам-домены. В их числе была ссылка на Payday Loans – компанию, которой владеет Сойза. Цель его ухищрений – улучшенное ранжирование сайтов в результатах выдачи поисковых систем.

В чем причина уязвимости?

Уязвимость CVE-2017-14723 возникает в версиях WordPress 4.8.2 и ниже из-за того, что $wpdb->prepare() создает «неожиданные и небезопасные запросы», которые могут привести к SQL-атакам.

По словам команды WordPress, непосредственной опасности ядро WordPress не подвержено, однако в новой версии будет добавлена дополнительная защита, на случай, если плагины или темы случайно спровоцируют проявление этой уязвимости.

Об этой проблеме 20 сентября на платформе HackerOne сообщил Энтони Феррара. Разработчики WordPress уже пытались исправить данную ошибку в версии 4.8.2, однако безопасность ядра так и не была обеспечена. Обновление повлияло на функциональность многих веб-сайтов, потенциально скомпрометировав более 1,2 миллиона строк кода.

На следующий день после релиза Феррара сообщил об ошибке, однако на его запрос несколько недель не обращали внимание. Только после того, как Феррара уведомил команду WordPress о том, что он собирается публично раскрыть эту проблему, и спустя пять недель переговоров, они смогли договориться о времени публичного объявления.

WordPress в сотрудничестве с Феррарой выпустила исправление, которое облегчает проблему. Однако, по словам все того же Феррары, этого недостаточно, чтобы решить проблемы, вызванные предыдущим патчем.

Возможное решение проблемы

Феррара отметил:

Текущее исправление полностью убирает механизм prepare, который возвращает строку SQL-запросов. Сделайте то, что делают и все остальные: возвращайте объект выражения или запроса, либо выполняйте запрос напрямую. Таким образом вы не сможете продублировать строку.Стоит заметить, что данное решение повлечет за собой кардинальные изменения для WP.Не обязательно сразу все менять — можно разрабатывать альтернативное решение параллельно с существующим API. Это будет проблематично, но необходимо.Существующий API небезопасен. Это не значит, что он постоянно подвергается атакам, но означает, что он нуждается в срочной переработке.

«Опасность снижена, — добавил Феррара. — Сначала перспектива сотрудничества не внушала оптимизма, но с течением работы положение улучшалось. Если прошлые 6 недель я был разочарован, то теперь я надеюсь на лучшее».

Установить обновление можно автоматически либо вручную, скачав WordPress 4.8.3.

Включайте режим отладки

Зачем использовать отладку, если код работает нормально? Отладка — это встроенная функция в WordPress, которая поможет отобразить все ошибки PHP, предупреждения и уведомления (включая устаревшие функции). С отключенной отладкой тяжело регистрировать нештатные ситуации, возникающие на сайте, что в конечном итоге может принести массу проблем. Кроме того, ошибки могут привести к существенному снижению скорости открытия страниц. Каждый раз, добавляя новый скрипт или пользовательский код в WordPress, включайте отладку (но не забывайте отключать её при введении новой функциональности в эксплуатацию).

Чтобы активировать режим отладки, нужно отредактировать файл wp-config.php в корневом каталоге установки WordPress:

Это не исчерпывающий список параметров конфигурации, которые можно использовать, но этой настройки должно хватить для решения большинства проблем на вашем ресурсе.

Не добавляйте все скрипты в верхнюю часть сайта

Хотя в WordPress есть множество популярных скриптов, многие разработчики добавляют дополнительные скрипты в wp_head. Это может привести к сильному снижению скорости загрузки страниц.

Решить эту проблему поможет очередность — удобный способ добавления скриптов и стилей для WordPress. Очередность используется для предотвращения возможных конфликтов плагинов и обработки зависимостей, которые могут возникать при использовании различных скриптов. В WordPress есть встроенные функции wp_enqueue_script и wp_enqueue_style, которые отвечают за выполнение скриптов и стилей соответственно. Основное отличие между этими двумя функциями заключается в том, что с wp_enqueue_script у нас есть дополнительный параметр, который позволяет переместить скрипт в подвал:

Если скрипт не нужен для рендеринга контента, мы можем смело перемещать его в нижнюю часть сайта. Таким образом страница будет быстро загружаться, а скрипт выполнится уже после полной загрузки контента.

Для того, чтобы проверить, насколько успешно вы провели эту или любую другую оптимизацию, воспользуйтесь одним из веб-чекеров — инструментов для сканирования и анализа сайтов.

Создавайте дочерние темы и не меняйте файлы движка

Всегда создавайте дочернюю тему, если планируете вносить изменения в шаблон. В родительских элементах поверх внесенных изменений может быть перезаписано что угодно, и после обновления вы увидите, что ваши старания пропали навсегда.

Чтобы создать дочернюю тему, поместите файл style.css в подкаталог папки дочерней темы и наполните подобным содержимым:

В приведенном выше примере создается дочерняя тема, основанная на теме «WordPress Twenty Sixteen». Важной строкой этого кода является слово Template, которое должно соответствовать имени каталога родительской темы, с которой вы клонируете шаблон.

Такие же принципы применяйте к основным файлам WordPress: не нужно изменять файлы движка, постарайтесь использовать функции и фильтры CMS так, чтобы ваши изменения не были перезаписаны после обновления. Подключаемые функции позволяют вам переопределить некоторые базовые функции, но этот подход используется всё реже и заменяется фильтрами. С фильтрами достигается тот же результат, что и с подключаемыми функциями: изменение вывода функций WordPress. Не забывайте добавлять в код if ( !function_exists() ) при использовании подключаемых функций, поскольку несколько плагинов, пытающихся переопределить одну и ту же подключаемую функцию без этой оболочки, будут приводить к фатальной ошибке.

Не используйте хардкодинг

Очень часто нам кажется, что проще вставить значение в код напрямую (например, ссылку), но в итоге время, затраченное на отладку и устранение проблем, которые возникают в результате таких действий, сильно возрастает. Лучше всего использовать функцию для генерации нужного нам результата динамически, что принесет меньше проблем в будущем.

Пример: вы переносите сайт с тестовой среды на хостинг с прописанными вручную значениями для всех ссылок (хардкодинг), в итоге вам придётся потратить больше времени на то, чтобы заставить его работать. Поэтому лучше использовать функции, аналогичные представленным ниже, для получения путей к файлам и генерации ссылок:

Другим плохим примером хардкодинга является запись пользовательских запросов. Например, в качестве меры безопасности мы меняем установленный по умолчанию префикс WordPress из wp_ на нечто более уникальное, например, wp743_. Наши запросы не сработают, если мы когда-нибудь переместим наш сайт на WordPress, поскольку префиксы таблиц могут меняться между средами. Чтобы этого не произошло, мы можем ссылаться на свойства таблицы класса wpdb:

Обратите внимание, что в коде выше не используется значение wp_users, а имя таблицы мы получаем с помощью WordPress. Использование этих свойств для генерации имён таблиц поможет гарантировать корректный результат.

Не давайте постоянно индексировать ваш сайт

Индексация нужна, не так ли? Тем не менее при создании веб-сайта вы вряд ли хотите, чтобы поисковые системы индексировали его, пока вы не закончили работу над ним и не создали его структуру. Кроме того, если у вас есть тестовый сервер, на котором вы проводите обновления своего ресурса, вы не хотите, чтобы поисковые системы, такие как Google, индексировали эти повторяющиеся страницы. Когда есть несколько страниц с одинаковым контентом, поисковым системам сложно решить, какая версия более релевантна поисковому запросу. Поисковые системы наказывают сайты с повторяющимся контентом, и ваш сайт просядет в результатах поиска.

Как показано ниже, в настройках чтения WordPress есть флажок, который гласит: «Попросить поисковые системы не индексировать сайт» (хотя это не гарантирует, что поисковые системы отработают данный параметр):

Поэтому, если вы хотите надёжно предотвращать индексацию вашего сайта поисковыми системами, отредактируйте файл .htaccess и вставьте следующую строку:

Перепроверяйте работоспособность плагинов

Зачем проверять, включена ли функция плагина, если он активен? Конечно, в 99 % случаев это так, однако этот один процент может привести к тому, что ваш сайт будет выводить некоторые ошибки PHP. Чтобы этого не произошло, мы можем проверить, активен ли плагин, прежде чем использовать его функции. Если функция плагина вызывается через фронтенд, то нужно включить библиотеку plugin.php в код, чтобы вызвать функцию is_plugin_active():

Этот метод обычно достаточно надёжный. Однако могут быть случаи, когда автор изменил имя основного каталога плагина. Более надёжным методом было бы проверить наличие класса в плагине:

Вообще, авторы не часто меняют имя класса плагина, поэтому лучше использовать этот подход.

Не загружайте слишком много ресурсов

Зачем выборочно загружать ресурсы для страниц? Нет веской причины загружать стили и скрипты для плагина, если этот плагин не используется на странице, на которой находится пользователь. Используя плагины только тогда, когда это необходимо, мы сможем существенно ускорить время загрузки страниц. Возьмем, например, сайт WooCommerce, где нам нужно, чтобы плагин загружался только на торговых страницах, что позволит снизить нагрузку на сайт. Для этого следует добавить следующий код в файл шаблона functions.php:

Сценарии также можно удалить с помощью функции wp_dequeue_script ($ handle) через дескриптор, с которым они были зарегистрированы.  Аналогично wp_dequeue_style ($ handle) предотвратит загрузку таблиц стилей. Но, если это технически сложно для вас, можно установить Plugin Organizer, который обеспечивает выборочную загрузку плагинов на основе определенных критериев, таких как тип сообщения или имя страницы. Рекомендуется отключить любые кэширующие плагины, такие как W3Cache, чтобы изменения стали заметными.

Не оставляйте панель управления в верхней части сайта

Можно ли оставить панель администратора WordPress видимой для всех? Да, вы можете позволить своим пользователям получить доступ к страницам администратора. Но если вы хотите, чтобы ваш сайт выглядел профессионально, вы должны отключить панель администратора для пользователей и оставить её только для себя:

Этот код нужно вставить в файл functions.php вашей темы. Таким образом, панель будет отображаться только для администратора сайта. Используя current_user_can ($), можно добавить пользователю любую роль, а также исключить его из панели управления.

Используйте фильтр GetText

Можно использовать CSS или JavaScript для изменения ярлыка кнопки, что с этим не так? Да, можно. Однако вы добавляете лишний код и тратите дополнительное время, чтобы отобразить кнопку, когда вместо этого вы можете использовать один из самых удобных фильтров в WordPress — gettext. Используя этот фильтр совместно с textdomain, мы можем изменять текст до загрузки страницы. Если изменяемый текст находится в теме, найдите строку кода load_theme_textdomain ($ domain).

На примере WooCommerce рассмотрим, как изменить текст, который появляется для заголовка «Related Products». Вставьте следующий код в файл functions.php вашей темы:

Этот фильтр применяется к переведённому тексту с помощью функций интернационализации __() и __e(), если textdomain определен с помощью вышеупомянутых функций.

Меняйте значения для постоянных ссылок

По умолчанию WordPress использует строку запроса с идентификатором post, чтобы вернуть запрашиваемый контент. Такой формат ссылок будет неудобным для использования, кроме того, это может сказаться на индексации вашего ресурса поисковыми системами. Включение постоянных ссылок, например, в режим «Произвольно», поможет поднять ранжирование страниц, ведь там могут также находиться ключевые слова. Лучше всего это делать сразу после установки WordPress. Вы можете выбрать формат ссылок на экране «Настройки постоянных ссылок»:

Заключение

Приведённые здесь примеры не являются полным списком допускаемых ошибок при работе с сайтами на WordPress. Не стесняйтесь делиться с нами некоторыми ошибками, которые вы сделали в прошлом, и, что более важно, с любыми извлечёнными уроками, оставив комментарий ниже.

Исследователь сообщил о своей находке команде безопасности WordPress в июле прошлого года. Спустя десять месяцев, так и не получив ответа, Голунский решил сообщить владельцам сайтов на WordPress об этой проблеме, чтобы они могли защитить свои сайты.

Как устроена уязвимость?

Ошибка безопасности, получившая идентификатор CVE-2017-8295, затрагивает все версии WordPress и связана с тем, как сайты WordPress создают письма для изменения пароля.

По данным Голунского, злоумышленник может создать вредоносный HTTP-запрос, который запускает операцию сброса пароля с помощью инъекции изменённой переменной SERVER_NAME, например, со значением attacker-domain.com.

Это означает, что когда на сайте WordPress создается создаётся письмо для изменения пароля, значения From и Return-Path будут в формате wordpress@attacker-domain.com.

И чем же она опасна?

Большинство пользователей полагают, что эта уязвимость бесполезна, так как злоумышленник сможет всего лишь отправить законному владельцу сайта письмо для восстановления пароля с неправильным адресом отправителя.

На самом деле это не так. Голунский описал некоторые сценарии, в которых злоумышленник может использовать эту уязвимость.

Например, злоумышленник может заполнить почтовый ящик владельца сайта ненужными письмами. Когда придёт заражённое электронное письмо для смены пароля, из-за того, что почтовый ящик будет переполнен, сервер вернет письмо своему отправителю, которым в этом случае будет злоумышленник.

Вот другой сценарий атаки, более простой для выполнения. Достаточно определить, когда владелец сайта уезжает в отпуск. Если администратор сайта включил автоответчик «вне офиса» и он содержит исходный адрес электронной почты, то злоумышленник сможет получить письмо с измененным паролем, приложив минимум усилий.

Другие сценарии, описанные Голунским, требуют применения социальной инженерии, поэтому их использование маловероятно.

Сложность этих сценариев , скорее всего, и является основной причиной, по которой команда WordPress до сих пор не уделила внимание исправлению этой проблемы.

Как же защититься?

Для этого есть несколько способов. Голунский предложил:

В качестве временного решения пользователи могут включить UseCanonicalName для применения статического значения SERVER_NAME.

На Reddit владельцам сайтов порекомендовали «создать фиктивный виртуальный хост, который будет перехватывать все запросы с нераспознанными заголовками Host».

В зависимости от вашего технического мастерства вы также можете поэкспериментировать с другими вариантами, обсуждаемыми в этом посте на Reddit — по крайней мере, пока команда WordPress не исправит эту проблему.

Стоит отметить, что Голунский также сообщил дополнительные подробности об обнародованной ранее RCE-уязвимости в PHP Mailer, библиотеке, встроенной в WordPress по умолчанию.

Технические детали

Разберемся подробнее, чем вызван данный баг. Первое, на что стоит обратить внимание — это файл ./wp-includes/rest-api/endpoints/class-wp-rest-posts-controller.php:

Данный кусок кода спроектирован так, чтобы принимать параметр запроса ID в виде цифрового значения. Например, если вы посылаете запрос на /wp-json/wp/v2/posts/1234, ID будет равняться 1234.

Это хороший способ предотвратить использование невалидных ID, но если взглянуть на код еще раз, можно увидеть, что значения от $_GET и $_POST являются приоритетными по отношению к тем, которые вычисляются из регулярного выражения. Исходя из этого, злоумышленник может послать запрос вроде /wp-json/wp/v2/posts/1234?id=12345helloworld, и ID будет равняться 12345helloworld.

Взглянем на метод update_item_permissions_check на скриншоте ниже.
Вкратце, он передает наше значение ID, содержащее буквы и цифры, в метод get_post(). Эта функция валидирует запрос, проверяя, что такой пост существует и что у текущего пользователя есть привилегии на редактирование этого поста. Если мы пошлем ID, который не соответствует ни одному посту, мы можем обойти проверку привилегий и перейти в метод update_item, продолжая выполнение запроса.

Интересно то, что метод get_post() также может потерпеть неудачу в поиске поста вследствие использования статического метода get_instance(), который используется в wp_posts для поиска постов.Как вы можете увидеть в коде, метод работает неправильно на любой строке, которая состоит не только из цифр.

Для злоумышленников это означает, что WordPress выполнит метод update_item, посчитав, что у пользователя достаточно привилегий для редактирования поста.Последнее, на что стоит обратить внимание — WordPress приводит параметр ID к типу integer перед тем, как передать его в get_post. Это вызывает проблемы из-за того, как в PHP реализовано приведение типов. На скриншоте ниже можно увидеть эту проблему наглядно:Это приводит нас к опасной ситуации, когда злоумышленник может использовать запрос, вроде /wp-json/wp/v2/posts/123?id=456ABC, чтобы изменить пост с ID 456. Следовательно, любой пост на сайте с версией WordPress 4.7.0 или 4.7.1 может быть изменен злоумышленниками.

Если вы используете версии WordPress, подверженные данной уязвимости, рекомендуем вам немедленно обновить версию WordPress.

Дефект, найденный в PHP-хуке внутри api.wordpress.org, позволял разработчикам использовать любой алгоритм хэширования для верификации обновлений.

Мэтт Бэрри (Matt Barry), ведущий инженер безопасности в WordPress и создатель инструмента WordFence, обнаружил, что атакующие могли вставить свой алгоритм хеширования в процесс верификации, что позволило бы получить доступ к секретному ключу всего через несколько часов банальным перебором. Причем, из-за малого количества попыток, злоумышленники не были бы даже замечены системой безопасности WordPress.

Затем атакующие могли послать URL, содержащий вредоносное обеспечение, к серверу обновлений WordPress, который отослал бы его на сайты под управлением WordPress, на которых оно было бы автоматически установлено. Согласно статистике сервиса W3techs.com, 27,1% сайтов используют WordPress.

Но злоумышленники могли пойти и дальше. Например, после того, как вредоносный апдейт был бы установлен, они могли бы запретить автоматические обновления, тем самым лишая WordPress возможности восстановить атакованные сайты.

WordPress не проверяет обновления — он просто доверяет всем адресам и пакетам от api.wordpress.org.

Хешированный процесс верификации WordPress мог быть ослаблен, позволяя атакующим использовать параметр POST, переданный shell_exec, делая возможным удаленное выполнение кода и атаку сервера обновлений api.wordpress.org.

Используя слабый алгоритм хеширования adler32, Бэрри смог уменьшить количество перебираемых хэшей, необходимых для взлома системы, с 4,3 миллиардов до 100–400 тысяч.

Мэтт сообщил о баге создателю WordPress 2 сентября, и через 5 дней проблема была решена. Однако Мэтт всё ещё считает api.wordpress.org “ахиллесовой пятой” многих сайтов, использующих сервера обновлений.

Он говорит, что Automattic (компания-создатель WP) не ответила на его предложения об обсуждении уязвимости и необходимости введения механизма аутентификации для обновлений. Похожая проблема с OpenWall уже обсуждалась на этой неделе.

Стоит отметить, что идею обновлений с использованием аутентификации предложили ещё три года назад, но она была проигнорирована.

За годы работы я часто слышал вопросы о выборе технологий для того или иного веб-проекта. Кто-то спрашивает у нас, как у разработчиков, как правильно, а кто-то приходит и просит сделать на какой-то конкретной технологии.

Проблема в том, что большинство выбирают технологии по субъективным причинам и пока я не слышал достойного и внятного рассуждения, которое позволит выбрать технологию объективно, основываясь на фактах, а не желаниях. Даже немногие IT-шники могут правильно выбрать технологию, ведь для этого нужно: понимать специфику проекта, иметь многолетний опыт разработки на нескольких языках, знать, как устроены подобные проекты и т.д.

Но прежде, чем что-то выбирать, давайте посмотрим, какие технологии бывают, чем они отличаются и в каких случаях какую технологию выбрать.

Как чаще всего выбирают технологию сейчас:

1. Она мне нравится
2. Знакомый посоветовал
3. Прочитал в Интернете
4. На этой технологии сделан аналогичный сайт

В чем тут проблема:

1. Нравится. Очень субъективно. А что, если по требованиям она не подходит? Или на ней очень дорогие и редкие специалисты? Или она вообще умирает?

2. Знакомый. Обычно это тот знакомый, который «чуть лучше» разбирается в ИТ, чем тот, кому он советует. И даже если он программист с опытом, он не может знать всех решений на всех популярных языках. Ведь никто не спрашивает, по каким критериям выбирал этот знакомый. Если этот знакомы не CTO Google, я бы так просто не доверял такой рекомендации.

3. Прочитал. Тут уже лучше, можно найти разные сравнения и аргументацию. Но опять же, чтобы разобраться во всех решениях человеку, пусть даже с крепкими знаниями в разработке, нужно время. А без знаний в разработке все прочитанные технические обзоры ничего не стоят.

4. Аналог. Большинство популярных сайтов написаны на тех или иных технологиях потому, что так «исторически сложилось» . Если бы Facebook сейчас выбирал технологию для себя, я сомневаюсь, что он взял бы за основу PHP. А еще может быть, что технология уже устарела, её продавили на основе прошлых 3х пунктов, выбрали какую-то разрекламированную технологию, а не действительно эффективную и т.д. Вы вряд ли можете знать реальные причины выбор технологий в других проектах. Оптимальные технологии используются крайне редко в аналогичных проектах.

Таким образом, ни один из вышеперечисленных методов выбора технологий разработки не отвечает критериям объективности. Поэтому стоит сначала определить эти критерии, а уже потом подбирать по ним техническую платформу. Ниже я попытаюсь выделить действительно важные для проекта критерии, на которым мы и будем основываться.

Важные критерии при выборе технологий:

1. Размер и тип проекта
2. Сложность проекта
3. Скорость разработки
4. Стоимость специалистов
5. Доступность специалистов
6. Доступные инструменты разработки
7. Наличие готовых решений
8. Гибкость решения
9. Наличие широкого сообщества
10. Отказоустойчивость решения
11. Тренд его развития
12. Наличие подробной документации
13. Стоимость поддержки
14. Требования к нагрузкам
15. Требования к безопасности
16. Кроссплатформенность
17. Возможности интеграции с другими решениями

Выбирая технологию по таким критериям мы сможем добиться объективного выбора и тем самым сэкономить себе время и деньги.

Какие бывают проекты

К технологиям мы еще вернемся, а пока давайте разберемся, какие бывают проекты. Часто тип проекта говорит сам за себя и можно сразу сказать, что подойдет: либо уже готовое решение, либо хотя бы в какую сторону нужно двигаться.

Сложность проекта

1. Простые (визитки, лендинги, простые интернет-магазины, простые приложения) — такие решения обычно делаются на тематических коробочных решениях, CMS или шаблонах.
2. Средние (сложные интернет-магазины и маркетплейсы, порталы национального масштаба, разнообразные сервисы, продвинутые приложения) — такие решения обычно делаются на фреимворках.
3. Сложные (огромные порталы, социальные сети, инновационные и нетиповые решения) — ядро таких проектов обычно разрабатываются на чистом (нативном) языке программирования.

По тематике: интернет-магазины, доски объявлений, социальные сети и т.д. Для большинства популярных тематических решений уже давно есть коробочные продукты и, если мы не пытаемся сделать какого-то монстра, то правильнее будет выбрать именно их. Решений очень много, все в одной статье описать невозможно.

Языки программирования

В технологиях я бы выделил 3 уровня абстракции:

1. Чистый язык — это материал, из которого можно сделать все, что угодно. Ограничивают нас только возможности языка. На чистом языке сделаны все крупнейшие сайты мира с посещаемостью в сотни миллионов и миллиарды пользователей, такие как: Instagram, YouTube, Pinterest, Tumblr, Dropbox, Twitter, Facebook, Amazon, Digg, LinkedIn и другие. Более того, крупнейшие проекты в мире даже создают новые технологии для себя, так как уже существующие их не устраивают.
2. Фреимворк — это некая среда разработки для программиста с готовыми правилами и инструментами. Фреимворк с одной стороны помогает и ускоряет разработку, а с другой накладывает определенные ограничения. На фреимворках делаются проекты средней сложности с посещаемостью в миллионы.
3. CMS — это уже готовое решения, конструктор, в котором мы по частям собираем нужный проект. Его скорее не программируют, а настраивают. Ограничений тут огромное количество, выйти за границы коробки сложно и неэффективно. На CMS делаются простые сайты с посещаемостью до миллиона пользователей в месяц.

Чаще всего один уровень абстракции базируется на другом. То есть на чистом языке делают фреимворки, а на фреимворках делают CMS. Для каждого популярного языка есть много разных фреимворков и CMS, но об этом позже.

Сегодня есть огромное количество разных языков программирования, на которых делают сайты. И, более того, на всех популярных языках есть примеры огромных сайтов. Если 10 лет назад, говоря о технологиях больших сайтов, все говорили преимущественно про Java, то сегодня это может быть почти любой язык и утверждать, что сайты делаются на каком-то конкретном языке — стереотип. Это связанно с развитием самих языков, за последнее десятилетие многие сильно продвинулись в развитии и получили широкие возможности. Конечно, каждый язык чем-то отличается и выбирая мы опять же должны руководствоваться объективными критериями с оглядкой на задачи проекта.

На чистом языке, без использования фреимворков и коробочных решений, пишутся огромные проекты с повышенными требованиями по гибкости, нагрузкам и безопасности. Для таких огромных проектов часто бюджет не играет такого значения, как эффективность. Чем больше проект, тем больше будет требований по гибкости и нагрузкам, а значит, проще писать все с нуля, выделяя на это лучших специалистов, чем если брать какие-то готовые решения, которые непонятно кем писались и непонятно какие проблемы в них скрыты. К примеру, когда речь про небольшой проект с посещаемостью в 10 тыс. человек в день, то нам будет дешевле сделать его на CMS, которая будет потреблять в 3 раза больше ресурсов сервера, поставить дополнительный сервер за 50$ / мес. и оно будет работать. Когда же мы говорим про сайт с посещаемостью в 100 млн. пользователей в день, стоимость добавления серверов у нас будет просто космической, поэтому нам проще и дешевле вложить деньги в разработку решения на чистом языке, которое будет оптимальным именно для конкретного проекта.

Чем больше проект, тем больше стек технологий, который в нем используется. В огромных порталах может использоваться сразу несколько языков программирования. Опять же, мы приходим к объективным критериям выбора технологий. Часто один язык может хорошо делать одну задачу, а другой — другую. Такие проекты могут быть на столько огромными, что его части могут работать на разных серверах, с разными доменами (поддоменами) и разными технологиями. Не следует боятся винегрета технологий в большом проекте, хотя и допускать его нужно только когда это действительно необходимо, а также помнить, что далеко не все технологии совместимы. Самый яркий пример использования разных технологий — Google. Он на столько большой, что разные его части написаны на C/C++, Java, Python, JS и других языках. Более того, Google активно создает новые технологии, как, например, популярный нынче AngularJS.

Попробую дать краткую характеристику каждому из популярных языков:

1. PHP — его используют в основном для простых и средних проектов. Очень много коробочных решений. Относительно дешевые программисты. Антитренд последних лет, хотя с выходом последней версии языка под номером 7, он получил действительно мощные возможности.
2. Python — современный язык, разработка на нем быстрая и качественная. Используют его для средних и больших проектов. Программистов найти проблематично и стоят они не дешево.
3. Ruby — современный язык, разработка на нем так же быстрая. Его используют в основном для разработки простых и средних проектов, часто разрабатывают стартапы. Программистов также мало и они дорогие.
4. Java — разработка на нем очень долгая и дорогая. Его используют в основном для больших проектов со специфическими требованиями. Однако является самым популярным языком программирования в рейтинге TIOBE по состоянию на март 2016.
5. C# — аналог Java, также используют для больших проектов, часть в сфере FinTech.
6. JavaScript — очень быстро развивается, тренд последних лет и самый популярный язык программирования в рейтинге Redmonk по состоянию на июнь 2016. Огромное количество наработок и можно писать все, что угодно, даже игры. Его используют для средних и больших проектов, но действительно мощные возможности этот язык получит недавно, потому примеров больших проектов пока мало, специалисты самые дорогие и найти их сложнее всего.

Я описал самые популярные языки, которые сегодня используются под веб. Есть много новых языков, которые очень быстро растут, в частности Scala и некоторые другие. Но пока они довольно молодые и сырые. Я бы не рекомендовал бежать за модой и писать на них, пока они не разовьются во что-то большее.

Примеры больших сайтов:

• PHP: Facebook, Вконтакте, КиноПоиск
• Python: Instagram, Pinterest, Reddit
• Ruby: 500px, Groupon, Airbnb
• Java: Ebay, Amazon, Alibaba
• C#: Guru, Stack Overflow, Bank of America
• JS: LinkedIn, Walmart, PayPal

Эти примеры отлично показывают, что большие сайты могут быть написаны на разных языках, и это нормально. Опять же, приходим к тому, что выбирать технологию нужно под требования, руководствуясь объективными причинами.

Фреймворки и платформы

Это некая среда разработки для программистов, где есть готовая инфраструктура и ряд готовых функций со стандартными решениями типичных задач. Такой себе полуфабрикат, из которого можно сделать конфетку. На каждом языке есть много разных фреймворков. Есть как общие, которые создавались для разработки любых решений, так и специализированных, под узкие задачи. Например, Sylius — специализированный E-commerce фреймворк на основе Symfony. Также есть те, на которых делаются большие и сложные решения, а другие для этого не предназначены. Ниже я опишу популярные фреймворки для каждого из языков, на которых можно писать большие и сложные решения.

На фреймворках разрабатываются довольно большие и сложные сайты с уникальным функционалом. Это значительно быстрее и дешевле, чем на чистом языке, но при этом такое решение позволяет разрабатывать действительно сложные вещи и оптимизировать все это под нагрузки. Кроме того, это почти всегда более безопасно, чем любая коробочная CMS. Если вы хотите узнать об этом больше, посмотрите материал про веб-фреймворки для начинающих.

Популярные фреймворки и платформы:

1. PHP: Symfony, Laravel
2. Python: Django
3. Ruby: Ruby On Rails
4. Java: Spring
5. C#: .NET
6. JS: Node.js, AngularJS

Больше всего фреймворков на PHP и на этом языке есть, из чего выбирать, но действительно функциональных не так много. Меньше на других языках, а на некоторых действительно качественных фреймворков вообще всего один, как у языка Ruby. У Java вообще очень много разных фреймворков для разных целей, и не только для сайтов. Все эти фреймворки ежегодно развиваются, выходят все новые и новые версии, одни фреймворки обгоняют другие. Например, Laravel только в последние несколько лет вышел на первое место по популярности, хотя самые сложные сайты до сих пор делаются на Symfony.

.NET и Node.js — это целые самостоятельные платформы, которые базируются на определенных языках, но имеют очень широкие возможности.

CMS и CMF

Это готовое программное обеспечение, которое нужно только настроить, реже — дописать / переписать какую-то из частей. Таких решений очень много на любом языке, но исторически так сложилось, что в основном все популярные CMS сделаны на PHP. Тут дело в развитие языков, раньше простые сайты, для которых и создавались CMS, писались на PHP. Я еще застал те времена, когда CMS почти не было, были скрипты — отдельные готовые части разных сайтов. Позже эти скрипты собирали в коробочный продукт, который был призван решить потребности 90% простых сайтов. Так и получилось, что основные CMS сделаны на PHP. Сегодня CMS на других языках развиваются слабо, потому, что уже есть сильные конкуренты на PHP, а простому сайту язык не играет большой роли, поэтому все смотрят на возможности этих готовых продуктов.

CMF — если говорить простым языком, это что-то среднее между CMS и фреймворком по возможностям. Обычно CMF используют для самых сложных сайтов из этой категории. Этот подход позволяет избавиться от лишних частей CMS, которые не нужны конкретному проекту.

CMS бывают разные по назначению: общие, для интернет-магазинов, для блогов и т.д. Разные по условиям использования: платные и бесплатные. Для каждой популярной CMS есть куча разных платных и бесплатных модулей, которые легко подключать и использовать.

Маленькие сайты, которые в основном нужны для малого бизнеса, почти всегда используют CMS. Это позволяет очень сильно экономить время на разработку. Кроме того, для настройки таких решений не нужны дорогие программисты, обычно это могут делать новички в программировании, по крайней мере саму настройку, если уже нужно писать код, тут сложнее.

Именно в работе с CMS возникает больше всего непонимание среди конечных заказчиков таких решений. Любая CMS — это тонны готового программного кода, на все случае жизни. В коробочной поставке идут десятки и сотни модулей. Все это очень сильно ограничивает специалистов. Такие решения сильно «тормозят» , они абсолютно не гибкие, их очень легко взломать, особенно бесплатные CMS. Еще часто взламывают CMS через модули сторонних разработчиков, в которых есть критические уязвимости, потому что мы никогда не знаем, какого уровня программист писал тот или иной модуль. То есть любая CMS НЕ рассчитана для большого и сложного сайта. Она не могут выдержать большие нагрузки. Это решение не безопасно, чтобы не говорили разработчики конкретной CMS.

Я видел решения почти на всех популярных CMS, с многими за более, чем 10 лет работы, пришлось поработать лично. Часть из них популярна в рунете, а часть знают в основном на западе. На используемые в них языки CMS разбивать нет смысла, по причинам, описанным выше. Лучше сказать несколько слов про каждую популярную CMS:

1. WordPress — некогда блоговый движок, сейчас на ней делаются почти любые сайты, включая магазины. Одна из самых популярных CMS в мире, есть примеры довольно посещаемых сайтов. На ней часто делают информационные сайты, в том числе разные СМИ. Система бесплатная.
2. Joomla! — CMS общего назначения. Качеством особо не отличается, на ней делают очень маленькие сайты и обычно дешевле всех других вариантов, так как именно с этой CMS начинают учиться многие начинающие программисты. Система бесплатная.
3. Drupal — это уже CMF для общего назначения, с недавнего времени поставляется со встроенных фреймворком Symfony. Довольно мощная, на ней есть известные сайты, например, официальный сайт Белого Дома. Система бесплатная.
4. Magento — самая популярная система управления для интернет-магазинов в мире. Довольно мощная и сложная. В рунете используется редко, в основном на западе.
5. PrestaShop — одна из самых популярных CMS для магазинов в мире. Тоже довольно мощная, используют в основном на западе. Система бесплатная.
6. OpenCart — еще одна популярная система для интернет-магазинов, но её, наоборот, больше используют в рунете, чем на западе. В основном для маленьких и несложных магазинов. Система бесплатная.
7. 1С-Битрикс — очень распиаренная CMS общего назначения, номер 1 в рунете. Возможности очень широкие. На ней часто пытаются делать большие и сложные сайты, а после определенного порога в посещаемости переписывают их на других технологиях. Многие считают, что только эта CMS может интегрироваться с 1С, что не является правдой, поскольку все перечисленные CMS из этого списка могут интегрироваться с 1С, для этого у всех CMS есть специальные модули. Система платная.

Со всеми перечисленными CMS я работал. В основном со стороны разработчика. Точно НЕ рекомендую — Joomla, с остальными можно работать. Для магазинов лучше выбирать специализированные, а не общие CMS. Кроме 1С-Битрикс в рунете есть еще аналогичные коммерческие CMS, они во многом схожи. У каждой из систем есть свои особенности, но все они не предназначены для больших и сложных проектов, главное это не забывать.

Шаблоны

В последние 5 лет очень активно развивают шаблонные решения. Это еще на одну ступеньку выше, чем CMS. Если CMS — это конструктор и его нужно настраивать, то шаблоны — это уже готовые решения под типовые случаи. Например, в каждом городе есть свои рестораны, такси, клиники и т.д. Для всех этих типов малого бизнеса нужно примерно одно и тоже. Поэтому, можно просто выбрать готовый тематический шаблон, заменить в нем логотип, цвета и контент. При желании такие шаблоны можно дорабатывать по усмотрению владельца.

Преимущества таких решений в том, что они очень дешевые и их можно запускать моментально. Но при этом, такие решения не учитывают особенностей бизнеса и конверсия будет не очень высокой.

Есть специальные каталоги шаблонов: TemplateMonster, ThemeForest и др. Часто встречаются онлайн-конструкторы, в том числе тематические: Wix, PageCloud и др.

Мобильные приложения

В мобильных приложениях в последнее время используется два подхода: нативная разработка и кроссплатформенные технологии. Нативная ведется на оригинальных языках программирования, в частности Swift (для iOS, ранее был Objective-C) и Java (для Android). Кроссплатформенных технологий сейчас довольно много, они есть на базе разных языков программирования, в частности: Apache Cordova, React Native и др. Некоторые лучше, некоторые хуже. В любом случае, сложные приложения всегда пишутся на нативных технологиях. С кроссплатформой часто возникают проблемы, вплоть до того, что некоторые функции просто нереализуемы на тех или иных кроссплатформенных технологиях, сильно грузится оперативная память устройства, быстро садится батарея и т.д.

В этих двух подходах люди тоже часто путаются, пытаясь использовать кроссплатформенные подходы на все случаи жизни. Оно и понятно, ведь кроссплатформа позволяет писать код один раз, который сразу работает и на iOS и на Android, в то время, как на нативных технологиях это минимум в два раза дороже выходит. Однако мало кто знает про возможные дальнейшие проблемы в разработке. Я бы рекомендовал очень тщательно выбирать технологии и кроссплатформу брать только для простых приложений, иначе придется переписывать. Впрочем, кроссплатформенные технологии постепенно развиваются и становятся все лучше, а приложения написанные на них все сложнее.

Стек технологий в больших проектах

Выше я описал разные языки и фреймворки, которые используются в больших проектах, однако, если присмотреться к действительно большим проектам, там можно найти целый комплекс языков и технологий. Почти все большие сайты используются в основе один язык и еще несколько дополнительных. Тоже самое с базами данных: для одних задач могут использоваться реляционные, а для других нереляционные базы, и все это органично сочетается в рамках одного проекта.

Выбор технологий зависит от предлагаемой архитектуры проекта. Именно архитектор продумывает основные блоки будущего сайта. Какой язык ляжет к основу, будет ли он нативный или фреймворк, какую систему кэширования выбрать, какие базы данных, как все это связано и т.д.

Для примера рассмотрим технологии Instagram (данные Insight IT):

• Ubuntu Server 14.04 LTS — основная серверная операционная система
• Python — основной язык программирования серверной части
• Django — фреймворк
• nginx — второй уровень балансировки входящих HTTP-запросов
• gunicorn — WSGI-сервер
• HAProxy — балансировка нагрузки внутри системы
• PostgreSQL — основное хранилище данных
• postgis — поддержка гео-запросов
• pgfouine — отчеты на основе логов
• pgbouncer — создание пула соединений
• Redis — дополнительное хранилище данных
• Memcached — кэширование
• Gearman — очередь задач
• Solr — гео-поиск
• munin, statsd, pingdom — мониторинг
• Fabric — управление кластером
• xfs — файловая система

И это вполне нормальный стек технологий. Сам Instagram не самый большой и сложный сервис в мире.

Стоимость специалистов

Один из важнейших факторов выбора технологии является стоимость и доступность специалистов, потому что именно это самая затратная часть в любом проекте. В рунете есть только одна пузомерка по зарплатам — я отфильтровал по Киеву, уровень Senior, опыт 3-5 лет. Сравним средние значения.

Зарплаты:

1. C# — 3072$
2. Java — 3300$
3. JS — 3500$
4. PHP — 2780$
5. Python — 3000$
6. Ruby — 3000$
7. Scala — 3900$

В США немного другая картина:

Теперь переведем цифры на человеческий язык. Java хоть и не новый язык, но специалисты на ней всегда были одними их самых дорогих. PHP всегда был самым дешевым, да и специалистов на рынке очень много. В сравнение я внес еще и Scala как один из новейших и трендовых языков, по этой причине он дороже всех. Еще дорогой JS, это связанно с его бурным ростом в последние годы и растущей популярностью Node.js, а также AngularJS.

Таким образом, если мы хотим экономить — то лучше смотреть на PHP, специалисты дешевые, а комьюнити большое. А если хотим самое качественное — то смотрим на Scala, который называют будущем веб-разработки, но, правда, на ней найти специалистов почти невозможно и наработок просто нет.

Еще важным параметром будет скорость разработки. Ведь важна не только зарплата программистов, но и скорость разработки. Если не учитывать уже существующие наработки, то одним из самых быстрых в разработке будет Python и Ruby, а самый медленный — Java. Кстати, по этой причине за последние 10 лет почти не вышло новых мегапроектов на Java, зато вышло много проектов на Python, о чем я расскажу ниже.

Тренды

Выбирая технологию, нам нужно смотреть вперед. Особенно, если речь о большом проекте. Все технологии очень быстро развиваются, выходят все новые и новые версии. Языки сильно меняются каждые 5-7 лет, фреймворки — каждые 2-3 года, а CMS — каждые 1-2 года. Важно выбрать не просто хорошую технологию сегодня, а предугадать тренды развития так, чтобы остаться на коне через несколько лет. Иначе, в конечном счете, придется переписывать проект, что всегда очень проблематично.

Есть всевозможные исследования, которые нам могут подсказать некоторые статистические выкладки. Например, исследование TIOBE Index показывает интересную статистику:

По результатам разных исследований можно выделить явных лидеров по росту — это JS (версия ES6 и выше) и мультипарадигмальные языки, в частности Scala. Кстати, именно Scala считается преемником языка Java и во многом на него похож. Также не плохо себя показывает Python.

Антитренды держат ряд старых языков и PHP. Правда, недавно вышла 7я версия PHP, в которой исправлены многие серьезные недостатки. Так что, я думаю, мы скоро увидим новый виток развития PHP. Еще многие большие проекты переписываются с Ruby на другие языки, тоже некий антитренд.

Для иллюстрации посмотрим, каких специалистов не хватает в США:

Именно это можно считать реальной картиной трендов, которые мы видим и у нас.

На чем делались большие проекты за последние 10 лет?

1. Airbnb — Ruby
2. Instagram — Python
3. Pinterest — Python
4. Foursquare — Python
5. Groupon — Ruby → JS
6. Twitter — Ruby → Scala
7. Uber — JS

Это уже не теоретическая статистика, а реальная практика. Python и JS очень хорошо себя показывают.

Стоимость поддержки

Безусловно, важный критерий выбора технологии — это стоимость поддержки, о которой мало кто задумывается в начале разработки. Обычно все мыслят категориями стоимости часа поддержки, что в корне неправильно. Нам важны несколько параметров: стоимость часа, количество часов, официальная поддержка технологии, доступность специалистов, правильный подход к разработке и некоторые другие.

Стоимость часа зависит от зарплаты специалисты, с этим мы уже разобрались. А вот количество часов зависит от самой технологии и качества написания кода. Если решение коробочное, то часов на него может уходить очень много. То есть, с одной стороны, мы можем сэкономить при разработке первой версии проекта, но после погрязнуть в его постоянной доработке. Хорошо, когда решение популярное и есть официальная документация, но часто выбирают малоизвестные коробочные решения без какой-либо документации — в таких решениям стоимость поддержки будет во много раз выше стоимости самой коробки. То же касается некачественной разработки: у нас почему-то полностью отсутствует культура проведения технических аудитов готовых решений или его частей. В среднем за 20-40 часов можно проверить почти любое решение и найти его основные минусы. Чем более качественный код, тем легче, а следовательно и дешевле его поддерживать.

Также следует смотреть на версию языка, фреимворка, CMS. Нужно всегда использовать самую последнюю стабильную версию, чтобы она не устарела до выхода проекта в продакшн. При появлении новой версии, нужно сразу рассматривать возможность перевода проекта на эту версию. Потому что, если пропустить несколько версий, потом будут проблемы сделать резкое обновление.

Так что выбрать?

Подведем итог. Для простых сайтов чаще всего отлично подходят коробочные решения и шаблоны. Сложные сайты делаются только на фреимворках или даже чистых языках программирования. Делать можно на очень разных языках, язык выбирается под проект. Простые мобильные приложения можно делать на кроссплатформенных технологиях, а сложные обычно делаются на родных технологиях. Ну и, выбирая платформу, всегда стоит руководствоваться объективными критериями, которые я описал в статье.

Молодой WordPress

Это была чистая установка движка WordPress с популярной темой Bliss, которая впоследствии была значительно переделана.

WordPress занимает второе место в рейтинге самых ужасных технологий по версии пользователей StackOverflow — и это совершенно не зря. Ядро, разработанное озверевшими индусами, и сторонние плагины, случайно созданные африканскими пятиклассниками в ходе попытки разжигания костра, из коробки не выдерживают и малейшей нагрузки.

В общем, наш сайт с треском упал через минуту после публикации ссылки на него в сообществе. И нам пришлось позвать человека-надо-было-ставить-линукс — Александра Фольца и теперь уже нашего сотрудника.

Стал администратором инфраструктуры типичного я чисто случайно. На тот момент я уже работал в ТП редактором в течение нескольких месяцев. Как мне помнится, всё началось с просьбы нашего главного типичного настроить небольшой php-скрипт. Задание было весьма тривиальным, и я подумал: почему бы и нет? Получив кое-какой первоначальный доступ, я был удивлён весьма плохим состоянием инфраструктуры (как оказалось, этим просто было некому полноценно заниматься).

После нескольких небольших задач мне предложили постоянное место. Помнится, я потратил с месяц на доведение всех параметров инфраструктуры до актуального состояния (обновление, автоматизация некоторой рутинной работы). Сначала я контролировал всё вручную, но потом мы стали разрастаться — мне пришлось использовать Icinga (форк nagios) для контроля всех основных параметров. Возможно, кто-то скажет, что целая система мониторинга «для небольшого сайта» — это перебор, однако спешу вас уверить, мы больше, чем кажемся.

Пожалуй, отдельного упоминания заслуживает веселье в начале этого года, которое связано с DDoS-атаками на tproger.ru. Нам пришлось экстренно переходить за CloudFlare, что, в свою очередь, породило кучу жарких споров в своё время. Главное в таких делах — вовремя приходить к консенсусу. Также мы получали множество угроз от весьма сомнительных личностей. Один раз я даже ночевал на работе из-за проблем с сайтом.

Сейчас мы развиваемся более равномерно, чем раньше, а скоро планируем очередное расширение инфраструктуры для повышения стабильности работы нашего проекта.

Конечно, без 100 грамм и трех уровней кеширования на WordPress высоконагруженный проект не запустить, но эта CMS стала самой популярной не просто так: оценить такие вещи стоит не только с позиции программиста, в команде есть и много других людей. Да и бизнес обычно не терпит долгие ожидания.

«Если вы запустили первую версию продукта, и вас ничего в ней не раздражает, вы запустили её слишком поздно» — Рид Хофман, основатель LinkedIn.

C тех пор утекло немало воды. Текущую версию вы видите прямо сейчас. Можете убедиться в том, что изменилось почти всё: страницы стали более информативными, поиск стал удобней с переходом на Google CSE, с мобильных всё выглядит так же хорошо, как и с десктопа, появились Push-уведомления и многое другое.

Конечно, некоторые из компонентов удалось скачать бесплатно в официальном магазине WordPress, но далеко не все. На сегодняшний день 80% всех установленных на сайте плагинов писались самостоятельно — в публичном доступе аналогов, сравнимых по качеству с нашими, просто не существует.

Интерактивные статьи

Одним из таких плагинов является движок рубрики «Эксперты»:

Он позволяет любому читателю проголосовать за тот или иной ответ общепризнанного эксперта и, посмотрев на рейтинг, понять: чьему мнению стоит доверять, а чьему нет.

Также важной частью нашего сайта стали викторины и тесты — интерактивные веб-приложения, которые помогают человеку оценить уровень своих знаний и понять, чего он действительно хочет в своей карьере.

К слову, присоединиться к созданию тестов и викторин на добровольной основе может каждый желающий — присылайте материал на admin@tproger.ru.

Дальнейшие планы

Несмотря на большой пройденный путь, Tproger не планирует останавливаться и продолжит вас радовать свежим и интересным контентом. Одним из последних тасков было обновление страницы 404, но впереди нас ждут более глобальные изменения, вплоть до полного редизайна сайта, который мы уже тестируем.

Мы всегда открыты для ваших баг-репортов, идей и предложений: контакты, по которым писать.

Сегодня tproger представляет целую подборку бесплатных Photoshop-плагинов, которые помогут каждому фронтендщику облегчить себе наиболее монотонную часть работы — перевод PSD-шаблона в готовые картинки, стили и верстку.

CSS3Ps

Для использования этого плагина понадобится интернет: он производит основную свою работу в облаке. А работа его — превращать набор стилей слоя в готовый CSS-код. Опробовать плагин можно на PSD-примере с сайта разработчиков — со своей задачей он справляется отлично.

Cut&Slice Me

Плагин, который умеет нарезать макет по слоям на готовые элементы под разные типы устройств — Android, iOS и полные версии сайтов. А настройка преобразования производится добавлением специальных пометок в имена слоев.

Layrs Control 2

Коллекция из 7 небольших скриптов, каждый из которых умеет выполнять какую-то несложную задачу. Один из них умеет находить и удалять неиспользуемые эффекты на слоях, другой — очищать исходник от пустых слоев, которые частенько появляются при работе с макетом, и так далее.

Renamy

У вас была проблема с PSD-шаблоном, поэтому вы решили использовать регулярные выражения. Теперь у вас две проблемы.

Впрочем, называть этот плагин проблемой будет несправедливо — регулярные выражения он задействует для манипуляций с названиями слоев. С его помощью можно переименовывать сразу по несколько слоев, используя маски и правила именования, искать нужные слои с помощью регулярок и многое другое. Отличный помощник в работе с большим документом со сложной структурой.

Elemente

Настоящий тяжеловес в мире плагинов. Шутка ли — монстр, умеющий создавать из шаблона готовую WordPress-тему (уже со всем PHP-кодом), генерировать сетки, подобные bootstrap, работать со шрифтами и еще целую кучу всего.

Вообще плагин можно купить, но у него имеется и бесплатная пробная версия. Попробуйте, вам понравится.

Flaticon

Маленький плагин, который поможет вам с иконками для шаблона. Можно будет прямо из фотошопа искать нужные иконки в базе по названиям и сразу же вставлять их в документ.

Ink

А этот плагин может вам пригодиться, если понадобится сгенерировать документацию для слоя — например, чтобы кому-то показать. Одним нажатием кнопки можно получить красиво оформленную информацию о слое: размер, прозрачность, код цвета, точные размеры занимаемой им области.

Он, кстати, очень залипательно выполняет все измерения и генерацию, попробуйте ?

Size Marks

Совсем маленький, но очень полезный скрипт — позволяет расставлять на холсте измерительные линейки с подписанными размерами в любом количестве. Его ценность поймет каждый, кому приходилось вымерять расстояния в пикселях на холсте, создавая поверх слоев прямоугольное выделение.