O Duplicator entrega backup e migração manual de WordPress com controle granular, mas exige cuidado com o installer residual. Segundo o repositorio oficial WordPress.org (2026), marca 4.9/5 em 4.898 avaliações e mais de 1 milhao de instalações ativas. O build trava acima de 800 MB em PHP com timeout de 30 s. Escolha bem entre ele e o backup agendado.

O Duplicator é um plugin gratuito de backup e migração que empacota arquivos e banco de dados em um pacote único, junto de um instalador que recria o site em outro servidor. Diferente de um backup agendado, ele nasceu para migração manual controlada, em que você decide cada passo. Este review usa dados reais do repositorio oficial e o histórico de CVEs do plugin para responder uma pergunta de decisão: quando o Duplicator vale a pena e quando outra ferramenta resolve melhor. Para o contexto de proteção, vale ler também os guias de segurança WordPress da FULL.

Comparativo direto: Duplicator vs alternativas de backup

O Duplicator ocupa o nicho de migração manual: com 1 milhao de instalações ativas e nota 4.9/5 no repositorio oficial, ele lidera quando o objetivo é mover um site inteiro com controle de cada etapa. O UpdraftPlus e o All-in-One WP Migration competem em dimensões diferentes, e a tabela abaixo separa onde cada um ganha.

Essa diferenca de propósito explica por que comparar nota geral é enganoso: são tarefas distintas, e a escolha errada custa horas de retrabalho.

Para um panorama mais amplo, o artigo os melhores plugins de migração para WordPress mostra onde cada opção se encaixa.

O que o Duplicator faz na prática

O Duplicator empacota o site em dois arquivos: um pacote (.zip) com arquivos e banco, e um installer.php que reconstroi tudo no destino. Na versão 1.5.16.1, testada até o WordPress 7.0 e exigindo PHP 7.4 ou superior, esse fluxo de dois arquivos é o que distingue o plugin de um backup tradicional.

Você baixa os dois, sobe num servidor vazio, acessa o installer pelo navegador e ele recria o banco e ajusta as URLs automaticamente. O processo é direto, mas pressupoe acesso a FTP e a um banco de dados criado a mao. Um backup WordPress comum só guarda cópia; o Duplicator entrega a recriação completa do ambiente, com search-and-replace de URLs no banco de dados durante a instalação. Essa diferença importa quando o domínio muda: o installer reescreve cada referência absoluta nas tabelas, algo que uma restauração de backup simples não faz sozinha. Por isso o Duplicator é a ferramenta certa para mover de servidor, e não apenas para guardar uma cópia de segurança do que já existe.

Atributos-chave do Duplicator: Os dados reais

O Duplicator atualizado em maio de 2026 mantém compatibilidade ampla: roda em WordPress 5.3 ou superior e foi testado até a versão 7.0, com PHP mínimo 7.4. A nota de 4.9/5 vem de quase 4.9 mil avaliações públicas, um sinal de manutenção ativa raro entre plugins de migração. A tabela reune os atributos verificados no repositorio, para decisão sem achismo.

Fonte dos números: página oficial do Duplicator no WordPress.org.

Segurança do Duplicator: O que dizem os cves reais

O risco atual do Duplicator é baixo: segundo o perfil público do WPVulnerability, o plugin não tem nenhuma falha sem patch hoje, apesar de 25 CVEs catalogadas ao longo dos anos, todas já corrigidas. Um histórico longo de CVEs corrigidas indica auditoria constante, não fragilidade.

A falha mais grave foi a CVE-2018-25095, com CVSS 9.8, que afetava versões anteriores a 1.3.0 e permitia acesso indevido a arquivos sensíveis. Outra crítica, a CVE-2018-17207, também CVSS 9.8, expunha dados em builds antigos por leitura direta do pacote gerado. A leitura correta desse histórico é o oposto do alarme: as duas falhas críticas estão fechadas desde a versão 1.3.0, e nenhuma CVE recente aparece sem correção. Como CNA reconhecida pela CISA, a FULL cataloga esse tipo de vulnerabilidade na prática e lê o dado pelo risco de hoje, não pelo total acumulado. Manter o Duplicator sempre na versão mais nova é o que mantém esse risco perto de zero.

O risco real: O installer.php esquecido na raiz

O maior risco do Duplicator não é uma CVE: é operacional. Quando o installer.php fica na raiz pública após a migração, qualquer pessoa que acesse a URL em segundos pode reexecutar a instalação e ler credenciais do banco de dados. Nos tickets de migração no suporte da FULL, esse arquivo residual aparece em sites movidos as pressas.

A regra é simples: depois que o site responde no novo servidor, apague installer.php, dup-installer e o pacote .zip dentro dos primeiros minutos. Um installer esquecido vira porta aberta porque ele guarda o caminho do banco e aceita um novo deploy sem autenticação forte. O Duplicator Pro remove esses três arquivos automaticamente ao final; no gratuito, a limpeza é manual e não perdoa esquecimento. Se desconfia que algo ficou exposto, escanear o site é o passo seguinte: o FULL Scan aponta arquivos sensíveis e plugins vulneráveis sem instalar nada.

Quando o Duplicator não vale a pena

O Duplicator não é a melhor escolha em três cenários concretos, e reconhecer isso evita horas perdidas. Em hospedagem compartilhada com sites grandes, o build do plugin tende a falhar; em rotina de backup recorrente, ele simplesmente não foi feito para isso; e para quem precisa de zero fricção técnica, o atrito do banco a mao pesa demais.

Decisão rápida: O Duplicator serve para o seu caso?

• Se o site passa de 800 MB em hospedagem compartilhada → o build trava no timeout de PHP; migre via SSH ou use o modo por partes.
• Se você precisa de backup diário automático → evite o Duplicator gratuito, escolha um plugin de backup agendado.
• Se quem opera não domina FTP e banco de dados → o installer manual vira armadilha; prefira migração gerenciada.
• Se o objetivo é só clonar para staging interno → o Duplicator entrega bem e sem custo.

Para a rotina recorrente, vale comparar com um backup WordPress automático e com a lista de plugins de backup para WordPress.

Duplicator gratuito vs Duplicator pro

O Duplicator gratuito cobre migração pontual; o Duplicator Pro existe para automatizar o que o gratuito faz a mao. Na versão paga, o agendamento recorrente e o envio para nuvem externa (Google Drive, Amazon S3, Dropbox) resolvem o backup continuo sem depender da janela de execucao de 30 s do servidor.

O Pro também remove os três arquivos de instalação automaticamente, fechando o risco do installer residual sem ação manual. Nos testes que acompanhamos, o gratuito tende a bastar para uma migração única, enquanto o Pro se justifica para quem gerencia vários sites e precisa de backup agendado sem esforco manual. Há ainda o recurso de pacotes multisite e a recuperação por ponto de restauração, ausentes no gratuito, que pesam para agências. Para quem só vai migrar uma vez, pagar a licença anual raramente compensa; para quem opera dez ou mais sites, o tempo economizado paga a conta rápido. Para validar qualquer cópia, o ideal é seguir um roteiro de como testar backups de sites WordPress.

Backup e migração gerenciados no bundle FULL

Migração e backup não precisam virar projeto avulso. No plano PRO da FULL, por R$849,90 por mes para até 10 sites, o que da R$85 por site, o bundle já inclui o All in One Security PRO e a camada de segurança gerenciada que cuida de atualizações e backup de forma continua.

A conta fica clara contra a licença avulsa: um único plugin premium anual costuma custar mais por ano do que o site paga no bundle, e aqui são 16 plugins inclusos no mesmo valor. A FULL não hospeda o seu site: ela é a camada complementar que opera os plugins premium no WordPress que você já tem, com suporte de quem cataloga CVE como CNA brasileira. Isso resolve o ponto fraco do Duplicator gratuito, que é a falta de rotina e de quem garanta que a cópia funciona. Para ver os 16 plugins inclusos e comparar planos, confira a página de planos da FULL.

Perguntas frequentes sobre o Duplicator

Veredicto e próximos passos com o Duplicator

O Duplicator é a escolha solida para migração manual de WordPress, com nota 4.9/5 e histórico de CVEs todas corrigidas que comprova manutenção ativa. Ele falha como rotina de backup recorrente e exige disciplina para apagar o installer após a migração, mas entrega controle que ferramentas de um clique não dao. Para quem prefere não operar isso a mao, vale entender como restaurar o WordPress a partir do backup e aprofundar no guia de segurança para WordPress da FULL. Para continuar estudando o tema, o FULL Academy reune os reviews e tutoriais de backup em um só lugar.

Legenda: o painel do Duplicator mostra o pacote e o installer gerados para a migração manual.