Site pronto em WordPress vale a pena? O que conferir antes de comprar

Site pronto em WordPress vale a pena quando você compra de quem pode vender a licença, confere o que vem no pacote e sabe quem responde pelas atualizações e pelo suporte depois. Deixa de valer quando o tema ou os plugins são piratas, o código está embaralhado ou o vendedor some. Antes de pagar, passe pelos 12 pontos do checklist abaixo. Depois, teste o site num ambiente separado e hospede num servidor com PHP atual, SSL, cópias de segurança e limites claros.

Num site pronto WordPress, o vendedor entrega a aparência e a estrutura. O domínio, a hospedagem, os textos, as fotos e a licença do que está dentro do pacote são assunto à parte, e é neles que a maioria dos problemas aparece.

O que é um site pronto em WordPress e como ele chega até você?

O nome serve para três coisas diferentes. O que muda entre elas é o caminho de instalação e o risco principal.

Tipo	O que você recebe	Como entra no seu WordPress	O que verificar primeiro
Tema com demos importáveis	Um tema com um ou mais demos: modelos de site com páginas, menus e configurações de exemplo	Você instala o tema, ativa a licença, instala os plugins que ele pede e usa o importador de demos	Quais plugins o demo exige e quais deles são pagos
Kit de modelos para construtor de páginas	Modelos de páginas e de seções para um construtor visual, como o Elementor	Você importa o kit pelo próprio construtor e depois ajusta	Se o kit exige a versão paga do construtor
Site completo empacotado	Arquivos e banco de dados de um site inteiro, prontos para restaurar. Às vezes com domínio e hospedagem do vendedor	Você restaura o pacote na hospedagem, como numa migração de site	Quem é o dono do domínio e da licença de tudo que está dentro

Um importador de demos (o One Click Demo Import, do diretório oficial do WordPress.org, é um exemplo) copia o conteúdo, os widgets e as configurações do personalizador do tema. O demo, portanto, é uma vitrine montada, e cabe a você descobrir o que ela exige para funcionar.

O terceiro tipo não é um tema, e sim a cópia de um site inteiro. O que está dentro (plugins, imagens, formulários, códigos de rastreamento) pode vir de um site anterior, e você só descobre abrindo os arquivos.

Site pronto WordPress vale a pena? Quando sim e quando não

Depende do que você espera economizar. O site pronto poupa o trabalho de design e de estrutura. Não poupa domínio, hospedagem, conteúdo nem manutenção.

Costuma valer a pena quando:

• você precisa de um site simples no ar logo e aceita um layout que outras pessoas também podem ter comprado;
• o vendedor mostra a licença, a versão, o histórico de atualizações e um canal de suporte;
• você vai trocar textos, fotos e cores, e o modelo serve de ponto de partida, não de produto final.

Costuma não valer quando:

• o pacote custa uma fração do que o autor cobra pela licença: ou a licença não é legítima, ou algo ficou de fora;
• o seu negócio precisa de uma função específica, como regras de frete, agendamento ou área de membros. O pacote traz o visual, e as regras continuam sendo trabalho a fazer;
• ninguém vai atualizar e cuidar do site depois. Atualizar o WordPress, os temas e os plugins é responsabilidade de quem tem o site, não de quem hospeda (Termos, item 8.3).

Se a alternativa é montar tudo sozinho, o passo a passo está em como criar um site no WordPress. Para somar o que um site custa depois de pronto, veja quanto custa manter um site.

Quais são os riscos de comprar um site pronto?

São cinco, e todos dá para checar antes de pagar.

Tema ou plugin pirata (“nulled”)

“Nulled” é a cópia de um tema ou plugin pago, distribuída sem autorização do autor e com a verificação de licença removida. A Sucuri, empresa de segurança para WordPress, descreve essas cópias como versões alteradas que podem trazer acessos secretos (backdoors), malware e links de spam. No caso que ela documentou, um tema “nulled” baixado de um site de buscas trazia um arquivo com código muito ofuscado, capaz de desativar plugins de segurança, infectar outros arquivos do servidor e enviar a um servidor remoto os dados de acesso ao banco de dados guardados no wp-config.php.

A documentação oficial do WordPress sobre segurança diz o mesmo em outras palavras: não instale temas e plugins de fontes não confiáveis, e fique com o repositório do WordPress.org ou com empresas conhecidas.

A dúvida mais comum vem da licença GPL. O WordPress.org afirma que temas e plugins são trabalhos derivados e herdam a GPL, que permite modificar e redistribuir o código, e reconhece que há uma zona cinzenta jurídica sobre o que conta como obra derivada. Só que o que você paga num produto premium é, em geral, a licença de uso, as atualizações e o suporte. A cópia “nulled” chega sem nada disso garantido e com alterações que ninguém auditou.

Na PW Host, isso não é questão de opinião. Os Termos exigem temas, plugins e programas com licença válida e proíbem versões “nulled” (item 8.3). A Política de Uso Aceitável inclui os “nulled” na lista de pirataria proibida (item 2.1). Nos casos comuns, o descumprimento segue as etapas da política: aviso, prazo para corrigir, limitação e, se nada mudar, suspensão da conta (item 5.2). Com malware em andamento, a suspensão pode ser imediata (item 5.3). O servidor também tem uma ferramenta automática que pode pôr em quarentena, ou limpar, arquivos identificados como maliciosos, sem aviso prévio (item 5.5).

Licença que não cobre o seu uso

Licença é o contrato que diz o que você pode fazer com o produto: em quantos sites vale, se o uso comercial está liberado (inclusive em sites de clientes), por quanto tempo valem as atualizações e o suporte, e em nome de quem fica a chave. Vencidas as atualizações, o produto pode continuar funcionando, mas sem novas correções de segurança. As fotos, as fontes e os ícones do demo têm licença própria e podem valer só como exemplo: sem licença para elas, troque por imagens suas ou de bancos com licença livre. O checklist abaixo diz o que pedir por escrito (itens 2, 3, 4 e 7).

Código ofuscado

Código ofuscado é código embaralhado de propósito para que ninguém consiga lê-lo. As diretrizes do diretório oficial de plugins do WordPress.org exigem que o código seja, em grande parte, legível e não permitem escondê-lo com ferramentas que o embaralham (diretriz 4). O produto vendido fora do diretório não é obrigado a seguir essa regra, mas ela mostra o padrão esperado: um vendedor sério explica o que está protegido e por quê.

A primeira ideia de quem quer se proteger costuma ser procurar funções suspeitas no código. Fizemos esse teste em 03/10/2026, no site de vendas da PW Host, com 9 plugins gratuitos do diretório oficial. O comando wp plugin verify-checksums confirmou que os arquivos deles são idênticos aos do WordPress.org, ou seja, sem nenhuma alteração. Depois, contamos em quantos arquivos PHP aparecia cada texto.

Texto procurado nos arquivos PHP	Arquivos que contêm o texto
base64_decode(	40
eval(	8
gzinflate(, gzuncompress( ou str_rot13(	0
Total de arquivos PHP examinados	5.459

O resultado é um aviso contra o teste fácil demais: 40 arquivos com base64_decode( e 8 com eval( em código idêntico ao do diretório oficial. Essas funções fazem parte do código original desses plugins. Achar uma delas num tema não prova que ele é pirata, e não achar nada não prova que ele é limpo. O que costuma pesar é o conjunto: um trecho que decodifica um bloco enorme de texto e executa o resultado, arquivo PHP dentro da pasta de uploads, nomes de arquivo sem relação com o produto.

O comando usado só confere o que vem do diretório oficial. Para plugins pagos, ele avisa que não encontrou os checksums e pula o item, e o WP-CLI não tem um comando equivalente para temas. Para o produto premium não existe uma verificação pública equivalente, então a segurança vem da origem (o autor), da licença e de uma varredura no ambiente de teste.

Dependência do vendedor

Um site pronto traz junto uma relação com quem vendeu. Os pontos frágeis são estes:

• Atualizações que param. Sem correções do autor, a segurança do site passa a depender só de você.
• Licença que depende do servidor do vendedor. Há produtos cuja chave é validada num servidor do fabricante. Se ele sair do ar ou a licença vencer, recursos podem parar.
• Conteúdo preso ao tema. Algumas ferramentas guardam o conteúdo em códigos próprios (shortcodes). Ao trocar de tema, as páginas podem virar texto cheio de colchetes. Teste a troca de tema no ambiente de teste antes de depender do pacote.

Desempenho

O demo é uma vitrine: costuma trazer vários plugins, um construtor visual, animações, fontes externas e fotos grandes, tudo para impressionar na primeira tela. Isso custa tempo de resposta e recursos do servidor. Num teste da Equipe PW Host de 03/10/2026, com 10 pedidos de cada tipo, uma página do blog da PW Host (WordPress com Elementor e 19 plugins ativos) levou, em mediana, 1,57 s até o primeiro byte sem cache e 0,06 s com o LiteSpeed Cache. O número vale só para aquele site, naquele dia, e muda com o tempo, mas mostra por que o cache entra na conta e por que vale medir o demo antes de se apaixonar por ele.

O que conferir antes de comprar? Checklist de 12 pontos

Envie estas perguntas ao vendedor antes de pagar e guarde as respostas, a licença e o comprovante. Se alguém questionar o seu uso depois, é isso que mostra que ele é legítimo.

#	O que conferir	Como conferir	Sinal de alerta
1	Quem vende	Peça o nome da empresa ou do autor, o site oficial, um canal de contato e a política de reembolso. Confirme que o tema e os plugins vêm do autor ou de um revendedor autorizado por ele	Só um perfil em rede social, sem nome nem endereço, e pagamento sem comprovante
2	Licença de uso	Peça o texto da licença: número de sites, uso comercial e uso em sites de clientes	“Licença total” ou “vitalícia” sem texto
3	Dono da licença	A chave de licença deve ficar numa conta em seu nome, com acesso seu	Chave na conta do vendedor
4	Versão e atualizações	Veja o histórico de versões com datas, a versão do WordPress e do PHP em que o produto foi testado e por quanto tempo valem as atualizações	Sem histórico, ou última atualização muito antiga
5	Plugins exigidos	Peça a lista com nome, versão e se cada plugin é gratuito ou pago, e se a licença dos pagos está inclusa	Plugin sem página oficial ou “versão modificada”
6	Código	Pergunte se há partes ofuscadas ou protegidas e por quê. Procure arquivos PHP fora do lugar, como na pasta de uploads	Resposta evasiva e arquivos criptografados sem explicação
7	Imagens, fontes e ícones	Peça a licença de cada um, ou confirme que o pacote só traz imagens de exemplo, para você trocar	Fotos de outro site ou de banco pago, sem licença
8	Dados do vendedor dentro do pacote	Procure e remova contas de análise, pixels de rastreamento, formulários e links de afiliado do antigo dono	Formulário que envia para um e-mail que não é seu e scripts de endereços que você não conhece
9	Domínio e hospedagem	Se o pacote inclui domínio ou hospedagem, o domínio deve estar no seu nome, com acesso ao painel do registro. Entenda a diferença entre domínio e hospedagem	Domínio no nome do vendedor, ou hospedagem dele sem prazo definido
10	Suporte e manutenção	Combine por escrito quem atualiza, em quanto tempo responde e quanto custa	“Suporte incluso” sem prazo nem canal
11	Reembolso	Peça a política por escrito, com prazo e condições	Política só verbal, ou “não reembolsamos” sem explicação
12	Teste antes de publicar	Combine que o site será testado num subdomínio de teste antes de ir para o domínio final	Vendedor que exige instalar direto no domínio final

Como testar o site pronto antes de apontar o domínio?

O teste num endereço separado evita expor um site incompleto e mostra os problemas antes de o público chegar:

1. Crie um subdomínio de teste no painel. No DirectAdmin, procure o menu de subdomínios (o nome pode variar com a versão). Depois de instalar o WordPress nele, marque no WordPress a opção de evitar que os mecanismos de busca indexem o site, em Configurações, Leitura.
2. Instale um WordPress limpo nesse subdomínio pelo instalador do painel, o Softaculous, como no passo a passo de criar um site.
3. Faça um backup antes de importar o demo. O servidor guarda 1 por dia, durante 7 dias, e você restaura pelo JetBackup, em Recursos Extras (Termos, item 9). Ele não substitui a sua cópia, guardada fora do servidor.
4. Instale o tema com a sua licença e, só então, os plugins que ele pedir. Importe o demo.
5. Compare os plugins instalados com a lista do vendedor. Apague o que você não vai usar: plugin parado também precisa de atualização, e a documentação do WordPress manda apagar o que não está em uso.
6. Varra o site com o plugin de segurança de sua escolha e olhe a pasta de uploads em busca de arquivos .php. No servidor da PW Host a proteção automática também roda, mas ela não substitui a sua conferência.
7. Meça a velocidade com o cache ligado e desligado e abra o site no celular.
8. Troque textos, imagens, formulários e códigos de rastreamento pelos seus e só então aponte o domínio.

Para levar o teste ao domínio final, você pode repetir a instalação e a importação no domínio ou migrar o que testou. A migração não faz parte do plano da PW Host: é um serviço extra (item 3.6 dos Termos). O roteiro para quem já tem um site em outra hospedagem está em como trocar de hospedagem.

O que a hospedagem precisa ter para rodar um site pronto?

Um site pronto exige mais do servidor do que um site simples, principalmente na hora de importar o demo. Esta tabela traz o que conferir e o que a PW Host oferece, com a fonte de cada informação.

Requisito	Por que importa num site pronto	Na PW Host
PHP e banco de dados atuais	O WordPress.org recomenda PHP 8.3 ou mais novo, MariaDB 10.11 ou mais novo (ou MySQL 8.0 ou mais novo) e HTTPS. Pacotes antigos podem pedir versões velhas: pergunte em qual versão o produto foi testado	PHP 8.3 e MariaDB 10.11, lidos numa conta da própria PW Host em 03/10/2026, com seletor de versão do PHP por domínio no painel
Tempo de execução, memória e envio de arquivos	A importação do demo envia o pacote, copia imagens e pode demorar. Limites baixos travam o processo no meio	Valores lidos numa conta da própria PW Host em 03/10/2026 (a de um cliente pode ter valores diferentes): 300 s de tempo de execução, 1.024 MB de memória por script e 1.024 MB para envio de arquivos
Limites da conta	A importação é um pico de uso. Ao chegar a um limite, o site fica lento ou mostra erros temporários até o uso voltar ao normal	Até 5 núcleos de CPU, 3 GB de RAM, 50 processos de entrada simultâneos e 15 conexões ao banco de dados, dentro do uso justo (Termos, item 6.2)
Cache de página	Demos com construtor visual ficam pesados sem cache	Servidor LiteSpeed, compatível com o plugin LiteSpeed Cache
Backup e restauração	Voltar atrás se a importação der errado	1 backup por dia, guardado por 7 dias, restaurável pelo JetBackup. Não substitui a sua cópia (item 9)
Mais de um site na conta	O teste num subdomínio e, depois, o site final	A oferta não fixa uma cota de domínios e subdomínios por conta: valem o uso justo e os limites técnicos (item 6.1)
SSL gratuito	Site com o cadeado do navegador, sem custo extra	Emitido quando o domínio está apontado corretamente para o servidor (item 3.2)

Os valores de PHP foram lidos numa conta da própria PW Host, na data da conferência. A conta de um cliente pode ter valores diferentes, e o servidor pode mudá-los. Para ver os da sua conta, abra no WordPress Ferramentas, Saúde do site, aba Informações, seção Servidor: ela mostra a versão do PHP e os limites de memória, de tempo e de envio de arquivos. A versão do PHP de cada domínio se escolhe no painel, e o nome dos menus pode variar com a versão do WordPress e do DirectAdmin.

E na PW Host, como fica o site pronto?

A PW Host vende hospedagem. Ela não cria nem instala o site pronto: a criação, a programação, a atualização e a manutenção de sites, a migração e a configuração inicial ficam fora do plano (Termos, item 3.6), e o suporte não corrige site (item 10.2). Quem precisa disso pode contratar a migração de site com a Agência Portal Web, marca da própria Digital DS, e depois preencher o formulário “Solicitação de Serviço” (itens 3.6 e 8.5). Temas, plugins e licenças pagas de terceiros também ficam de fora, salvo o bônus “Kit Premium” anunciado na página de oferta do lote (item 3.6): vale o que a oferta do seu lote diz, e o texto dela faz parte do contrato. Fora isso, você compra a licença do autor e a mantém em dia.

Do lado da hospedagem, o plano traz o painel DirectAdmin, o servidor LiteSpeed com SSD em São Paulo, o SSL gratuito, o WordPress em 1 clique pelo Softaculous e limites publicados, dentro do uso justo. A regra completa e o que “vitalícia” quer dizer estão nos Termos e Políticas. O preço do lote atual é R$ 497, pago uma vez, conferido em 03/10/2026. Se a sua dúvida é o modelo de cobrança, veja como funciona a hospedagem sem mensalidade.

Para comparar planos antes de decidir, use o roteiro de como escolher hospedagem de site.

Perguntas frequentes

---

Fontes

• WordPress.org, “Requirements”: PHP 8.3 ou mais novo, MariaDB 10.11 ou mais novo (ou MySQL 8.0 ou mais novo) e HTTPS. Conferido em 03/10/2026.
• WordPress.org, “License” (em inglês): temas e plugins como obras derivadas que herdam a GPL, e a zona cinzenta jurídica. Conferido em 03/10/2026.
• WordPress.org, “Detailed Plugin Guidelines” (em inglês): GPL e código legível, sem ofuscação (diretrizes 1 e 4). Conferido em 03/10/2026.
• WordPress.org, “Hardening WordPress” (em inglês): temas e plugins só de fontes confiáveis e remoção do que não está em uso. Conferido em 03/10/2026.
• Sucuri, “The Dangers of Installing Nulled WordPress Themes & Plugins” (em inglês, 16/02/2023): o que são temas e plugins “nulled” e um caso com backdoor. Conferido em 03/10/2026.
• WP-CLI, “wp plugin verify-checksums” (em inglês): confere os arquivos de um plugin com os checksums do WordPress.org. Conferido em 03/10/2026.
• WordPress.org, plugin One Click Demo Import (em inglês): o que um importador de demos copia. Conferido em 03/10/2026.
• Teste da Equipe PW Host em 03/10/2026: conferência de 9 plugins do diretório oficial com wp plugin verify-checksums, busca de texto em 5.459 arquivos PHP e leitura dos limites de PHP numa conta da própria PW Host.
• Teste de cache da Equipe PW Host em 03/10/2026, por volta das 16h20, com curl a partir de um computador no Brasil, numa página do blog da PW Host: 10 pedidos servidos pelo cache (mediana de 0,06 s até o primeiro byte) e 10 pedidos forçando a montagem sem cache, com um parâmetro de endereço diferente em cada um (mediana de 1,57 s, de 1,45 a 4,62 s).
• PW Host, Termos e Políticas, versão 1.1 (Termos de Uso, itens 3, 6, 8, 9 e 10; Política de Uso Aceitável, itens 2 e 5). Conferido em 03/10/2026.

Texto da Equipe PW Host, escrito com apoio de IA e revisado pela equipe. Regras e preço da PW Host conferidos em 03/10/2026.