Site em WordPress para empresas: o que é, quanto custa e o que exige manter

O WordPress é o programa livre usado em 40,2% dos sites (W3Techs, setembro de 2026). Não tem custo de licença, mas o site da empresa paga a construção, de 400 € a 6.000 € na DVCodeWeb, e todos os anos domínio, alojamento, licenças e manutenção. O risco está nos plugins, com 91% das falhas novas.

Quem pesquisa «criar site wordpress» no Google encontra sobretudo alojamentos a anunciar o preço de entrada e guias de instalação. Quase nenhum mostra o preço de renovação, o que custam as licenças ao fim de três anos, ou quantos sites WordPress correm uma versão de PHP que já não recebe correções de segurança: eram 38,2% a 17 de setembro de 2026.

Fazemos criação de sites em WordPress e manutenção, e mesmo assim há empresas para quem o WordPress não é a melhor escolha. Este guia diz o que o WordPress é, quanto custa a três anos e o que exige de quem o mantém, com a fonte de cada número.

O que é o WordPress: o programa livre e o serviço WordPress.com

O WordPress é um sistema de gestão de conteúdos (CMS, na sigla inglesa): o programa que guarda as páginas, os textos e as imagens do site e dá um painel para os mudar sem mexer em código. O aspeto vem de um tema. As funções extra, como um formulário ou uma loja, vêm de plugins, pequenos programas que se instalam por cima.

É software livre: o WordPress.org distribui-o com a licença GPLv2 ou posterior, que permite usá-lo, alterá-lo e levá-lo para outro alojamento sem pagar licença. A W3Techs encontrava-o em 40,2% de todos os sites e em 58,8% dos sites cujo sistema identifica. O nome aparece em dois produtos diferentes, e confundi-los sai caro:

Os preços são os que a WordPress.com mostrava a 17 de setembro de 2026 a quem visita a partir de Portugal. A renovação pesa: no plano Negócios, o primeiro ano custa 300 € e cada um dos dois seguintes 396 €, 1.092 € em três anos, sem contar a construção do site.

Para uma empresa, a diferença prática é quem trata do quê. No WordPress.com, a plataforma aloja o site. No WordPress.org, a empresa escolhe o alojamento e alguém tem de atualizar o programa, o tema e os plugins. O resto deste guia trata deste segundo caso, o WordPress instalado num alojamento.

Porque 40,2% dos sites usam WordPress: 5 razões que pode confirmar

«Fácil», «flexível» e «bom para SEO» aparecem em todas as listas de vantagens e são difíceis de medir. Estas cinco confirmam-se numa fonte pública:

1. Há quem pegue no site. Com 40,2% de todos os sites, contra 5,4% do Shopify e 4,2% do Wix na contagem da W3Techs, a empresa não fica presa a um só fornecedor.
2. A licença é livre. A GPL permite mudar o site de alojamento ou de fornecedor sem pedir autorização nem pagar pelo programa.
3. Muitas funções já existem como plugin. O diretório oficial anuncia mais de 72.000 plugins sem custo, e a página de cada um mostra a última atualização e a versão com que foi testado.
4. O conteúdo sai consigo. Em Ferramentas, Exportar, o WordPress exporta páginas, artigos, comentários, categorias e utilizadores, e a documentação indica este caminho para mudar de alojamento.
5. Cada pessoa tem só o acesso de que precisa. Os papéis de utilizador separam o Administrador, com acesso a tudo, do Editor, que publica e gere conteúdos, e do Autor, que publica apenas os seus.

Quando o WordPress não é a melhor escolha: 4 casos

O WordPress instalado num alojamento pede alguém que o atualize. Quando essa pessoa não existe, ou quando o site tem de fazer o que nenhum plugin faz bem, há caminhos melhores:

Se a empresa ainda está a escolher o caminho, o guia sobre como criar um site para a empresa tem um teste de cinco perguntas e os três caminhos lado a lado. Se o WordPress é a escolha, a pergunta seguinte é o custo.

Quanto custa um site em WordPress: a construção e o que se paga todos os anos

O custo tem duas partes. A construção paga-se uma vez e depende das páginas e das funções, não do WordPress: na DVCodeWeb vai de 400 € numa landing page a 6.000 € num site à medida, e cada faixa está explicada em quanto custa criar um site. A outra parte repete-se todos os anos:

Nenhuma destas licenças é obrigatória: são exemplos de ferramentas pagas comuns, e muitas funções têm plugins sem custo. O que cada linha inclui, e o que se pode cortar, está em quanto custa manter um site. Para somar tudo ao fim de três anos, use a calculadora.

Como a calculadora faz a conta. Ano 1 = construção + domínio + alojamento + licenças + 12 meses de manutenção. Cada ano seguinte = domínio + alojamento + licenças + 12 meses de manutenção. Com «Incluídos na manutenção», o domínio e o alojamento saem da conta, porque já estão na mensalidade. Estes são três exemplos com os valores da tabela:

O primeiro exemplo é o mais barato no papel, mas deixa as atualizações, as cópias de segurança e as renovações a cargo da empresa. A secção sobre segurança mostra o que acontece aos sites em que ninguém as faz. Antes disso, uma escolha que muda a linha das licenças: de onde vem o aspeto do site.

Tema, construtor visual ou design à medida: o que muda no custo de cada ano

Nos sites que desenhamos, o desenho é à medida, sem modelos prontos, e fica um painel para mudar textos e imagens sem mexer em código. Seja qual for o caminho, peça por escrito a lista das licenças pagas e a conta onde fica cada uma. É nas licenças e nos plugins que se decide boa parte do risco.

Plugins: 5 verificações antes de instalar, e o que acontece quando a licença acaba

Um plugin é código de terceiros a correr dentro do seu site, com acesso aos dados dele. Cada plugin a mais é mais uma peça para atualizar e vigiar. Antes de instalar, a página do plugin no pt.wordpress.org responde a quase tudo:

1. A data da última atualização: um plugin parado há muito tempo pode já não acompanhar o WordPress.
2. O campo «Testado até», que deve chegar à versão do WordPress que usa (a mais recente era a 7.1, a 17 de setembro de 2026).
3. A versão de PHP exigida, que tem de existir no seu alojamento.
4. O número de instalações ativas e se o fórum de suporte tem respostas recentes.
5. Se faz o mesmo que um plugin que já tem: duas peças para a mesma função são o dobro das atualizações.

Pagar não torna um plugin mais seguro. Em 2025, a Patchstack recebeu 1.983 relatos de falhas em temas e plugins pagos ou com versão paga, 29% do total, e 76% podiam ser usados em ataques reais. Esses componentes tiveram três vezes mais falhas já exploradas por atacantes do que os que não custam nada.

Segurança em 2026: 91% das falhas novas do WordPress estão nos plugins

O relatório anual da Patchstack, State of WordPress Security in 2026, contou 11.334 vulnerabilidades novas no ecossistema WordPress em 2025, mais 42% do que em 2024. 91% estavam em plugins e 9% em temas. No próprio WordPress foram 6, todas de prioridade baixa.

Dois números explicam porque as atualizações não podem ficar para quando houver tempo. 46% dessas falhas não tinham correção do programador quando foram tornadas públicas, e nesses casos atualizar não chega: é preciso trocar ou desligar o plugin. E cerca de metade das falhas de impacto alto foi explorada nas primeiras 24 horas; nas mais atacadas, a mediana ponderada até ao primeiro ataque foi de 5 horas.

O alojamento sozinho não resolve: num teste da Patchstack, as defesas habituais dos alojamentos bloquearam apenas 12% dos ataques a falhas próprias do WordPress. Se o site já mostra sinais de ataque, veja o que fazer com um site WordPress hackeado; o cadeado no endereço tem um guia próprio, sobre o certificado SSL.

38,2% dos sites WordPress usam PHP sem correções de segurança

O WordPress corre em PHP, a linguagem instalada no alojamento. Segundo o php.net, cada versão tem dois anos de suporte ativo e mais dois só para falhas de segurança graves; depois chega ao fim de vida e deixa de ser corrigida.

Nas estatísticas do WordPress.org desse dia, 38,2% dos sites contabilizados usavam PHP 8.1 ou anterior, versões que já não recebem correções, e 22,8% estavam no PHP 7 ou anterior. O PHP 8.2, em 24,7% dos sites, só recebe correções até 31 de dezembro de 2026: se ninguém mudar de versão, em janeiro de 2027 a parte sem correções passa a 62,9%.

Quem usa uma versão que já não é suportada deve atualizar o mais depressa possível, porque pode estar exposto a vulnerabilidades de segurança por corrigir.PHP Group, página «Supported Versions» do php.net (tradução nossa)

O próprio WordPress recomenda PHP 8.3 ou superior. A versão muda-se no painel do alojamento, mas convém testar o site antes, porque um tema ou plugin antigo pode deixar de funcionar na versão nova. Desde o WordPress 5.5, as atualizações automáticas de plugins e temas podem ser ligadas uma a uma; ajudam, mas não confirmam a seguir que o formulário continua a entregar pedidos.

O que deve ficar em nome da empresa: domínio, alojamento e o utilizador Administrador

Num site WordPress, quem tem os acessos controla o site. Estes cinco devem estar em nome da empresa, ou numa conta com um email que a empresa controla, desde o primeiro dia:

Quem constrói ou mantém o site pode ter o seu próprio utilizador, com o papel de que precisa, sem que a empresa perca o dela. Nos sites que fazemos, o domínio fica registado em nome da empresa e todos os acessos são entregues no fim. As cláusulas a pedir no contrato estão em quem é o dono do seu site, do domínio e do código.

Perguntas frequentes