Как настроить сайт на WordPress?

После установки ядра сделайте по порядку четыре вещи: смените постоянные ссылки на человекочитаемые в Настройках, подключите SSL-сертификат и принудительный редирект на https, настройте автоматический бэкап (плагин или бэкап на стороне хостинга) и проверьте права доступа: 644 на файлы, 755 на папки, отдельно 640 для wp-config.php.

Дальше идут вещи, которые редко делают сразу, а зря. Смените логин admin на что-то менее очевидное — боты перебирают именно это имя первым. Ограничьте число попыток входа плагином или на уровне хостинга. Удалите тестовую запись Hello world и демо-страницы, которые ставятся по умолчанию.

Не ставьте больше 10-15 плагинов про запас: каждый лишний — это отдельная точка отказа и уязвимость, которую тоже придётся обновлять. Включите автообновление минорных версий ядра WordPress — это закрывает часть дыр в безопасности без вашего участия.

Отдельно про права доступа к файлам. После переноса сайта или правок через FTP-клиент многие ставят 777 на всё подряд, чтобы не разбираться с ошибками записи. На деле это открытая дверь: любой скрипт на сервере получает право писать в ваши файлы, и найти это потом на живом сайте сложнее, чем сразу выставить правильные права.