Desenvolvimento de site WordPress: como um site profissional é construído por dentro

01 O que é, de verdade, desenvolver um site em WordPress

O WordPress é um sistema de gerenciamento de conteúdo: um software que permite criar, organizar e publicar páginas sem editar código a cada mudança. Segundo a W3Techs, ele está presente em 40,1% de todos os sites da internet, o que faz dele o sistema mais usado do mundo. É gratuito, de código aberto e mantido por uma comunidade global.

Essa popularidade tem um efeito curioso: como é possível colocar um site WordPress no ar em poucas horas, muita gente imagina que desenvolver em WordPress é simplesmente instalar um tema e trocar os textos. Para um site pessoal ou um teste, isso pode bastar. Para um site profissional, que precisa gerar contatos, ser rápido, seguro e durar anos, o trabalho é outro.

Se você ainda está decidindo entre WordPress e um site programado do zero, o guia WordPress ou sob medida compara as duas abordagens. Este guia parte da decisão já tomada e mostra o que acontece por dentro de um projeto WordPress bem feito, para que você saiba o que esperar, o que perguntar e o que exigir.

Por que tantas empresas escolhem WordPress

• Autonomia: a equipe da empresa consegue editar textos, publicar posts e trocar imagens sem depender de programador.
• Ecossistema: milhares de temas, plugins e profissionais disponíveis, o que reduz o risco de ficar preso a um único fornecedor.
• Custo de software: o núcleo é gratuito, com licença GPL.
• Flexibilidade: serve de sites institucionais simples a portais com milhares de páginas e lojas virtuais.
• Portabilidade: o site pode ser levado de uma hospedagem para outra, com conteúdo e estrutura.

E as desvantagens

O mesmo ecossistema que dá flexibilidade traz riscos. Plugins mal escolhidos deixam o site lento e inseguro; temas carregados de recursos que ninguém usa pesam no carregamento; atualizações ignoradas abrem brechas. Um site WordPress é tão bom quanto as decisões de quem o desenvolve e a rotina de quem o mantém. Os próximos capítulos tratam exatamente dessas decisões.

Mitos comuns sobre WordPress

02 As camadas de um site WordPress

Para entender o desenvolvimento, ajuda enxergar o site em camadas. Cada uma depende da que está abaixo, e um problema em qualquer nível afeta o site inteiro.

Diagrama criado para este guia. A coluna à direita indica quem costuma ser responsável por cada camada.

O que isso significa na prática

• Hospedagem conta: versões antigas de PHP ou servidores sobrecarregados deixam qualquer site lento, por melhor que seja o tema. A página oficial de requisitos do WordPress indica as versões recomendadas de PHP e banco de dados.
• O núcleo não deve ser alterado: modificações diretas nos arquivos do WordPress se perdem na próxima atualização. Personalizações vão no tema ou em plugins.
• O tema deve ter um tema filho quando houver personalização de código, para que atualizações do tema principal não apaguem os ajustes.
• Cada plugin é código de terceiros rodando no seu site, com acesso ao banco de dados. Por isso a escolha importa tanto.
• Conteúdo é o único ativo exclusivo da empresa. Tema e plugins podem ser trocados; textos, imagens e a reputação construída no Google, não.

Hospedagem para WordPress: o que perguntar

A hospedagem é a fundação. Antes de contratar, ou de aceitar a hospedagem indicada pelo fornecedor, faça estas perguntas:

• Qual versão de PHP está disponível e é possível atualizar quando o WordPress recomendar uma versão mais nova?
• Há cache no servidor ou é preciso usar plugin?
• Como funcionam os backups: frequência, por quanto tempo ficam guardados, onde são armazenados e como restaurar?
• Existe ambiente de homologação (staging) incluído no plano?
• O certificado HTTPS é instalado e renovado automaticamente?
• Onde ficam os servidores e qual a latência para visitantes no Brasil?
• Como é o suporte: canais, horários e conhecimento específico de WordPress?
• Em nome de quem fica a conta e como transferir se a empresa mudar de fornecedor?

03 Montador interativo: a pilha de plugins do seu site

Marque as funções que o seu site precisa ter e o que a sua hospedagem já oferece. O montador organiza a pilha de plugins por categoria, indica o que a hospedagem dispensa, estima a complexidade e aponta cuidados específicos. Os nomes citados são exemplos conhecidos do mercado, não recomendações: a escolha deve seguir os critérios do capítulo 5. Nada é salvo nem enviado.

O número de plugins, por si só, não define a qualidade de um site. Dez plugins bem mantidos, de desenvolvedores confiáveis, podem ser mais seguros e rápidos do que três mal escolhidos. Mas cada plugin acrescenta código, possíveis conflitos e mais um item na rotina de atualizações. Por isso a regra profissional é: cada plugin precisa justificar a sua presença.

04 Tema: pronto, construtor de páginas ou tema próprio

O tema define a aparência e boa parte da estrutura do site. Existem três caminhos principais, e cada um tem consequências diferentes para desempenho, autonomia e custo.

Padrões reutilizáveis: autonomia sem quebrar o layout

Seja com o editor de blocos ou com um construtor, uma boa prática é criar padrões reutilizáveis para as seções mais comuns: cabeçalho de página de serviço, bloco de depoimento, chamada para orçamento, lista de perguntas frequentes. Com isso, a equipe da empresa monta páginas novas encaixando peças já aprovadas, em vez de criar layouts do zero. O resultado é um site que continua consistente com o passar dos anos, mesmo com várias pessoas editando.

Tema filho: onde ficam as personalizações

Quando o projeto exige ajustes de código no tema, como um modelo de página específico ou uma mudança em funções, o caminho correto é um tema filho. Ele herda tudo do tema principal e guarda apenas as alterações. Assim, quando o autor do tema lança uma atualização de segurança, ela pode ser aplicada sem apagar o trabalho feito. Personalizações de estilo mais simples podem ficar no campo de CSS adicional do personalizador ou nas configurações do próprio tema. O que não deve acontecer é editar diretamente os arquivos do tema principal.

Como avaliar um tema antes de usar

1. Histórico de atualizações

   Atualizações recentes e compatibilidade declarada com a versão atual do WordPress.

2. Desempenho da demonstração

   Teste a página de demonstração no PageSpeed Insights, versão celular.

3. Acessibilidade

   Navegação por teclado, foco visível e contraste adequado.

4. Dependências

   Quantos plugins o tema exige ou "recomenda" instalar? Muitos é sinal de peso.

5. Origem

   Comprado no site oficial do autor ou em marketplace confiável. Nunca versões "liberadas".

6. Saída

   Se um dia trocar de tema, o conteúdo continua legível ou fica preso em códigos do construtor?

05 Como escolher plugins: critérios profissionais

O repositório oficial do WordPress reúne dezenas de milhares de plugins gratuitos, além dos comerciais vendidos por seus autores. Diante de tantas opções, o desenvolvedor profissional segue critérios objetivos.

Categorias de plugins num site institucional típico

*Quando a hospedagem não oferece a função no servidor. Classificação criada para este guia.

Plugin ou código próprio?

Nem toda função precisa de um plugin. Pequenos ajustes, como incluir um script de medição, alterar um texto padrão ou criar um tipo de conteúdo simples, podem ser feitos com algumas linhas de código no tema filho ou num plugin próprio do site. Isso reduz dependências. Por outro lado, funções complexas e sensíveis, como formulários, segurança e loja, costumam ser mais bem atendidas por plugins maduros, testados por milhares de sites e com equipes dedicadas à manutenção. O critério é equilibrar dependência e responsabilidade: código próprio também precisa ser mantido.

Quando substituir um plugin

• Ficou sem atualizações por muito tempo ou foi removido do repositório oficial.
• Tem vulnerabilidade conhecida sem correção.
• Passou a carregar scripts pesados em todas as páginas.
• Mudou o modelo de licença e deixou de caber no projeto.
• Duplica uma função que outra ferramenta já faz.

06 Segurança: o que os dados de 2025 mostram

A empresa de segurança Patchstack publica anualmente um relatório sobre as vulnerabilidades encontradas no ecossistema WordPress. Os números do relatório sobre 2025 deixam claro onde está o risco.

A leitura é direta: o núcleo do WordPress, mantido por uma comunidade grande e com processo de segurança estabelecido, é raramente o problema. O risco está nos complementos, e em especial naqueles que não recebem correção. Um plugin com falha conhecida e sem correção deve ser removido ou substituído, não apenas "mantido atualizado".

Medidas de segurança num projeto profissional

Acessos de fornecedores

Agências, freelancers e desenvolvedores de plugins às vezes precisam de acesso ao painel ou ao servidor. Crie usuários individuais para cada fornecedor, com a permissão mínima necessária, e remova o acesso quando o trabalho terminar. Evite enviar a senha do administrador principal por e-mail ou mensagem. Se isso já aconteceu no passado, troque a senha. O mesmo vale para acessos à hospedagem, ao domínio e às contas do Google.

Sinais de que um site WordPress foi comprometido

• Redirecionamentos estranhos para outros sites, principalmente no celular.
• Usuários administradores que ninguém da empresa criou.
• Aviso de "site perigoso" no navegador ou nos resultados do Google.
• Páginas com conteúdo em outros idiomas indexadas no Google com o seu domínio.
• Lentidão súbita ou consumo anormal de recursos da hospedagem.

Diante desses sinais, o caminho é isolar o problema, restaurar um backup limpo quando possível, corrigir a causa, trocar todas as senhas e verificar o site no Google Search Console. Quanto antes, menor o dano.

Plano de resposta em cinco passos

1. Conter

   Colocar o site em manutenção ou bloquear o acesso suspeito, para evitar mais danos.

2. Diagnosticar

   Identificar a porta de entrada: plugin vulnerável, senha vazada, arquivo alterado.

3. Limpar ou restaurar

   Restaurar um backup anterior ao incidente ou remover o código malicioso.

4. Corrigir a causa

   Atualizar ou remover o componente vulnerável e trocar todas as senhas.

5. Verificar

   Conferir o Search Console, pedir revisão se houver alerta de segurança e monitorar os dias seguintes.

07 Desempenho: rápido no celular, de verdade

WordPress não é lento por natureza. Sites WordPress ficam lentos por causa de escolhas: hospedagem fraca, tema pesado, plugins demais, imagens grandes e scripts de terceiros. O Google mede a experiência real dos visitantes com as Core Web Vitals.

Faixas consideradas boas pelo Google (web.dev), medidas no percentil 75 das visitas reais. Não é a medição de um site específico.

A pilha de desempenho de um site WordPress

Imagens: o peso mais comum

Na maioria dos sites institucionais, as imagens são a maior parte do peso das páginas. Uma foto enviada direto da câmera ou do celular pode ter vários megabytes e dimensões muito maiores do que a tela de qualquer visitante. O WordPress gera automaticamente versões em tamanhos diferentes de cada imagem e oferece carregamento tardio nativo, mas a boa prática começa antes: redimensionar e comprimir as fotos antes de enviar, escolher o formato certo e definir qual imagem é a principal de cada página, para que ela carregue com prioridade.

Medir antes e depois

Toda otimização deve ser medida. Teste as páginas principais no PageSpeed Insights, na versão celular, antes de cada mudança importante, e repita depois. Quando o site tem tráfego suficiente, acompanhe também o relatório de Core Web Vitals no Search Console, que mostra os dados de visitantes reais ao longo do tempo. Sem medição, é impossível saber se um novo plugin, um vídeo ou uma mudança de tema piorou a experiência.

Atenção a um efeito colateral comum: ferramentas que adiam a execução de JavaScript podem quebrar elementos interativos, como calculadoras, menus e formulários. Em projetos profissionais, os scripts que precisam rodar imediatamente são excluídos dessa otimização e testados depois de cada configuração.

Nos sites da própria Agência Criar Sites, que usam WordPress com o construtor Bold Builder e o WP Rocket, os blocos interativos dos artigos, como este montador de plugins, são excluídos da opção de atrasar JavaScript justamente por esse motivo.

08 Ambientes: local, homologação e produção

Um dos sinais mais claros de desenvolvimento profissional é que mudanças não são feitas diretamente no site que está no ar. O trabalho passa por ambientes separados.

• Local: onde o desenvolvedor constrói e experimenta, sem risco para ninguém.
• Homologação (também chamada de staging): uma cópia do site, acessível só à equipe e ao cliente, para testes e aprovação. Muitas hospedagens oferecem esse recurso.
• Produção: o site real. Só recebe o que foi testado e aprovado.

Esse fluxo evita o cenário clássico: uma atualização feita direto no site quebra o layout ou o formulário, e ninguém percebe até um cliente reclamar. Com homologação, o problema aparece antes, onde ninguém de fora vê.

Conteúdo e banco de dados entre ambientes

Um cuidado técnico importante: no WordPress, o conteúdo fica no banco de dados. Se a equipe da empresa publica um post no site em produção enquanto o desenvolvedor trabalha na homologação, copiar a homologação inteira por cima da produção apagaria esse post. Por isso, projetos profissionais definem o que sobe de um ambiente para o outro: em geral, código e configurações vão da homologação para a produção, e o conteúdo vai da produção para a homologação. Em redesigns, combina-se um período de congelamento de conteúdo antes da publicação.

09 O fluxo de desenvolvimento, etapa por etapa

1. Planejamento

   Objetivos, público, mapa do site, conteúdo e funcionalidades. Define o que será construído.

2. Escolha técnica

   Hospedagem, tema ou abordagem de construção e lista de plugins, com justificativa.

3. Design

   Layout das páginas-modelo para computador e celular, aprovado antes da montagem.

4. Configuração da base

   Instalação, tema filho, links permanentes, idioma, fuso horário, usuários e segurança inicial.

5. Construção

   Montagem dos modelos de página, componentes reutilizáveis e menus.

6. Conteúdo

   Inserção de textos e imagens otimizadas, com títulos e descrições para SEO.

7. Funcionalidades

   Formulários, integrações, consentimento de cookies, medição de contatos.

8. Testes

   Navegadores, celulares, velocidade, acessibilidade, formulários, links e redirecionamentos.

9. Publicação

   Migração para produção, HTTPS, Search Console, sitemap e verificação final.

10. Treinamento e entrega

    Capacitação da equipe, documentação, acessos e início da rotina de manutenção.

Checklist de publicação

• Visibilidade para mecanismos de busca liberada.
• HTTPS ativo em todas as páginas, sem conteúdo misto.
• Redirecionamentos dos endereços antigos testados.
• Formulários enviando e chegando aos destinatários certos.
• Sitemap enviado ao Search Console e propriedade verificada.
• Medição de contatos funcionando no Google Analytics.
• Backup automático ativo e primeiro backup completo feito.
• Usuários de teste e plugins de desenvolvimento removidos.
• Teste final no celular, com a rede móvel.

10 SEO técnico no WordPress

O WordPress oferece uma boa base para SEO, mas a configuração faz diferença. Estes são os pontos que um projeto profissional ajusta.

Categorias e tags no blog

Categorias organizam os posts em grandes temas; tags marcam assuntos específicos. Um erro comum é criar dezenas de tags usadas uma única vez, gerando páginas de arquivo quase vazias. Para um blog institucional, poucas categorias bem definidas, ligadas aos serviços da empresa, costumam ser suficientes, e tags devem ser usadas com moderação. Cada post deve estar numa categoria principal e ter links para a página de serviço relacionada.

Uma armadilha comum: durante o desenvolvimento, o site é bloqueado para os buscadores, como deve ser. Na publicação, alguém esquece de liberar, e o site passa semanas invisível no Google. Esse item deve estar no checklist de publicação. Em redesigns, o guia redesign sem perder posições detalha a migração.

11 Usuários e permissões: cada pessoa com o acesso certo

O WordPress tem funções de usuário nativas, cada uma com um conjunto de permissões. Usar a função certa para cada pessoa é uma das medidas de segurança mais simples e mais esquecidas.

• Nunca compartilhe uma única conta de administrador entre várias pessoas. Com contas individuais, é possível saber quem fez cada mudança e remover o acesso de quem sai da empresa.
• A empresa deve ter um administrador próprio, mesmo que a manutenção seja feita por uma agência.
• Revise os usuários periodicamente e remova contas de ex-funcionários e ex-fornecedores.

Registro de atividades

Em sites com várias pessoas editando, um registro de atividades mostra quem alterou o quê e quando. Isso ajuda a entender mudanças inesperadas, a investigar incidentes de segurança e a organizar o trabalho da equipe. O próprio WordPress guarda revisões de páginas e posts, que permitem voltar a uma versão anterior do texto.

12 Formulários, LGPD e acessibilidade

Formulários são o ponto onde o site coleta dados pessoais. Por isso exigem cuidado técnico e legal.

Um detalhe técnico que costuma passar despercebido: muitos plugins de formulário guardam uma cópia de cada envio no banco de dados do site. Isso é útil, mas significa que o site armazena dados pessoais, que precisam ser protegidos e, conforme a Lei Geral de Proteção de Dados (Lei 13.709/2018), tratados com finalidade definida.

Spam em formulários

Formulários públicos atraem envios automáticos. A proteção deve ser eficaz sem atrapalhar pessoas reais: campos ocultos que só robôs preenchem, verificação invisível e limites de envio costumam funcionar melhor do que desafios difíceis de resolver, que prejudicam a conversão e a acessibilidade.

Acessibilidade no WordPress

O editor do WordPress permite criar conteúdo acessível, mas não garante que ele seja. Textos alternativos nas imagens, títulos em ordem lógica, contraste suficiente (4,5:1 para texto normal, pela WCAG 2.2) e links com textos descritivos dependem de quem publica. Por isso o treinamento da equipe faz parte da entrega. A Lei Brasileira de Inclusão (Lei 13.146/2015) trata da acessibilidade em sites.

Também vale configurar o envio dos e-mails do site, como notificações de formulário e redefinição de senha, por um serviço autenticado no domínio da empresa. Sem isso, mensagens importantes podem cair no lixo eletrônico ou simplesmente não chegar.

13 Manutenção e backups: a rotina que mantém o site saudável

Um site WordPress não é um produto que se entrega e esquece. Com o número de vulnerabilidades crescendo a cada ano, a manutenção é parte do projeto.

Atualizações automáticas: ligar ou não?

O WordPress permite ativar atualizações automáticas para o núcleo, temas e plugins. A vantagem é corrigir falhas de segurança rapidamente, mesmo quando ninguém está olhando. O risco é uma atualização quebrar algo sem que a equipe perceba. Uma abordagem equilibrada é ativar atualizações automáticas de segurança e de plugins simples e bem mantidos, e fazer manualmente, com teste prévio, as atualizações de componentes críticos, como construtor de páginas, loja virtual e tema. Em qualquer caso, backup automático antes de atualizar e monitoramento depois.

A regra 3-2-1 de backup

Uma prática de mercado amplamente usada. No WordPress, o backup precisa incluir os arquivos (tema, plugins, imagens) e o banco de dados (páginas, posts, configurações). E backup que nunca foi restaurado é uma esperança, não uma garantia: teste a restauração em homologação periodicamente.

14 O que a empresa deve receber na entrega

Ao final do desenvolvimento, a empresa precisa ter tudo o que permite operar, manter e, se necessário, trocar de fornecedor sem recomeçar do zero.

Use a lista como checklist na entrega. As marcações não são salvas.

A documentação mínima

Não precisa ser um manual extenso. Um documento simples com a lista de acessos e onde ficam, os plugins e suas funções, como editar cada tipo de página, como publicar um post, onde ficam os backups e como restaurar, e a quem recorrer em caso de problema já evita a maior parte das dificuldades. Se a pessoa que conhece o site sair da empresa, a documentação garante que o conhecimento não vá junto.

Esses itens também são critérios para avaliar propostas antes de contratar. Para comparar fornecedores, o guia desenvolvimento de site: preço e propostas mostra como ler uma proposta linha a linha.

Depois da entrega: manutenção combinada

A entrega não encerra a relação com o site. Antes de assinar o termo de entrega, combine por escrito quem fará as atualizações, com que frequência, como serão feitos os backups, quanto custa a manutenção e qual o prazo de atendimento em caso de problema. Se a própria equipe da empresa ficar responsável, garanta que ela recebeu o treinamento e a documentação necessários para isso.

Sinais de alerta na entrega

• O fornecedor não informa a lista de plugins nem as licenças.
• A empresa recebe apenas um usuário de editor, sem acesso de administrador.
• Domínio ou hospedagem continuam no nome do fornecedor, sem previsão de transferência.
• Não há informação sobre backups.
• O site foi publicado sem teste no celular ou com formulários que não chegam.

15 Perguntas frequentes

Continue lendo: