Opieka techniczna WordPress w Atenach

Polski zespół, który utrzymuje WordPressa dla firmy w Atenach, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi obok landingów hotelowych w Plaka, katalogów armatorów z Piraeus, formularzy rezerwacyjnych dla operatorów turystycznych i stron startupów z Gazi, na rynku, gdzie awaria landingu w maju przed sezonem letnim albo martwy formularz z polem AFM po aktualizacji wtyczki to temat na rozmowę z działem prawnym i z dyrektorem operacyjnym, a nie tylko z marketingiem. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, ateński kontekst turystyczny, shippingowy i startupowy, bez cennika i bez obietnic dostępności w procentach.

Ogólny opis opieki, bez odniesienia do miasta, znajdziesz na stronie opieki technicznej WordPress. Tu schodzę do Aten: Gazi, Marousi, Piraeus, Plaka, RODO z grecką HDPA, pytanie o hosting w UE oraz dziennik incydentów, który da się pokazać przy audycie. Sklep WooCommerce z checkoutem greckim to osobna ścieżka: programista WooCommerce w Atenach. Budowa od zera albo przebudowa motywu idzie do programisty WordPress w Atenach. Ogólne strony usług: programista WordPress i programista WooCommerce.

#Co oznacza opieka WordPress przy serwisie turystycznym, shippingowym albo B2B

Opieka to nie „włącz auto-update i miej nadzieję”. Dla katalogu usług armatora z Piraeus, portalu rezerwacyjnego hotelu w Plaka, landingów SaaS z Gazi albo strony firmy doradczej z Marousi utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie audytora HDPA. Reszta - drobna zmiana w motywie, nowy blok Gutenberg pod Athens Digital Week, poprawka Core Web Vitals na stronie z galerią statków - wisi na tym fundamencie. Bez niego każda kolejna wtyczka tylko zwiększa ryzyko ataku.

Serwis w Atenach często zbiera dane, których nie wolno traktować jak treści bloga. Formularz B2B z polem AFM w tygodniu przed sezonem turystycznym, newsletter z consent pod RODO, panel dystrybutora z mapą lokalizacji, formularz rezerwacji w oknie Wielkanocy: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą klient hotelowy, armator albo partner transgraniczny naprawdę klika.

#Aktualizacje wyłącznie przez środowisko testowe

Aktualizacje WordPressa, wtyczek i motywu trafiają najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, te same wtyczki consent (Cookiebot, Complianz, CookieYes, iubenda) i integracje CRM w trybie sandbox. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego formularza w poniedziałek przed otwarciem sezonu letniego albo do wtyczki consent, która przestaje blokować GTM przed zgodą użytkownika.

Po wgraniu poprawek na kopię testową przechodzę checklistę punkt po punkcie. Logowanie wp-admin, zapis strony, formularz kontaktowy z polem AFM, wersje EL/EN w WPML, cron, poczta wychodząca, webhooki CRM, purge cache po publikacji oferty sezonowej. Dopiero po tym produkcja. Plan wycofania zapisuję przed wdrożeniem: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, wycofanie zmian staje się improwizacją.

#Kopie operacyjne to nie archiwum compliance

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. Archiwum na potrzeby compliance to inna sprawa: rejestry przetwarzania, dowody z audytów i możliwość wglądu organu nadzorczego. Kopia w panelu greckiego hosta albo w regionie EU nie spełnia wymogów archiwum sama z siebie. Brakuje niezmienności, kompletności i dokumentacji procedury.

W praktyce utrzymania rozdzielam trzy warstwy. Pierwsza: kopia strony i bazy, z okresem przechowywania zapisanym w procedurze i testem odtworzenia, a nie tylko zielonym statusem zadania backupu. Druga: dziennik zmian i incydentów, z którego widać, kto, kiedy i co wgrał. Trzecia: archiwum compliance u klienta, zwykle w DMS albo u doradcy prawnego w Atenach albo w Glyfada. Kiedy te trzy warstwy lądują w jednym katalogu FTP, po dwóch latach nie da się już rozpoznać, który plik dokumentował realną zmianę, a który jest resztką po migracji.

#WAF, monitoring i dziennik pod audyt

WAF (mod_security, Cloudflare WAF albo reguły u hostera) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików wyłapują to, co przepuścił WAF albo co weszło przez skradzione hasło. Logowanie dwuskładnikowe do wp-admin i mniej kont administratora kosztują mniej niż analiza powłamaniowa po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla właściciela firmy shippingowej z Piraeus, hotelu z Plaka albo SaaS-u z Gazi ten plik jest surowcem do zgłoszenia. Agencja WordPress nie składa raportu do HDPA za klienta. Przekazuje za to oś czasu, której klient nie musi odtwarzać z pamięci.

#Ateny jako kontekst, nie jako ozdobnik w tytule

Ateny to stolica Grecji, centrum administracji, finansów, turystyki i rosnącego ekosystemu cyfrowego wokół Gazi, Marousi i avenida Kifisias. To nie jest Saloniki handlowe ani wyspa turystyczna. Tu serwis WordPress często obsługuje katalogi B2B, portale rezerwacyjne, formularze zapytania ofertowego dla armatorów albo strony produktowe firm z Marousi, które muszą przeżyć wdrożenie w tym samym tygodniu, w którym prawnik pyta o hosting w UE i zgodę HDPA na pliki cookie.

#Gazi, Marousi i zamrożenie wdrożeń

Gazi i Technopolis City of Athens tworzą kontekst, w którym WordPress trzyma landingi produktowe, formularze demo, blogi techniczne i strony employer branding dla startupów, które właśnie zamknęły rundę albo przygotowują kampanię B2B na rynek grecki i bałkański. Awaria strony w środku tygodnia Athens Digital Week to nie „bug do backlogu”. To utracone leady i reputacja u partnerów, którzy mają pełny kalendarz spotkań na cały kwartał.

Marousi i avenida Kifisias to inny profil: biura korporacyjne, firmy doradcze, agencje marketingowe obsługujące klientów z całej Grecji. WordPress w tym środowisku to strona firmowa, katalog usług albo strefa inwestorów, która zbiera zapytania i musi respektować grecką ustawę o ochronie danych oraz wytyczne HDPA.

Runbook opieki dla klientów w Atenach ma wpisane zamrożenie wdrożeń produkcyjnych na okno sezonu turystycznego (zwykle od kwietnia do października dla hoteli i operatorów wycieczkowych), Athens Digital Week w Gazi oraz kampanii B2B w Marousi, zwykle od dwóch tygodni przed wydarzeniem do tygodnia po zakończeniu. Krytyczne poprawki bezpieczeństwa przechodzą przez środowisko testowe i trafiają na produkcję w nocy, reszta czeka. To nie preferencja developera. To decyzja operacyjna uzgodniona z klientem przed sezonem. Kto robi „drobny patch cache” w poniedziałek przed Wielkanocą, uczy się tego na własnej skórze, kiedy serwis nie wytrzymuje skoku ruchu z telefonów turystów.

#Piraeus, Plaka i inne profile niż startup

Piraeus to port i strefa armatorów, agencji żeglugowych i firm logistycznych, które sprzedają usługi B2B przez formularze zapytania ofertowego. WordPress obsługuje katalogi usług portowych, strony dystrybutorów i treści EL/EN dla klientów transgranicznych z Cypru albo Włoch. Awaria po aktualizacji wtyczki formularza albo regresja w tłumaczeniach EL/EN boli w tygodniu ogłoszenia nowej linii żeglugowej, nie w styczniu.

Plaka i centrum turystyczne Aten to serce sezonu hotelowego. Strony hotelowe z formularzami rezerwacji, katalogi restauracji, landingi sezonowe i treści wielojęzyczne EL/EN dla gości z całej Europy. WordPress musi przeżyć skok ruchu po ogłoszeniu promocji sezonowej, a nie tylko wyglądać dobrze na laptopie w biurze przy Syntagma.

Glyfada i południowe przedmieścia to inny profil niż korporacja z Marousi. Więcej firm usługowych, więcej treści wizualnych, więcej pytań o dostępność i mniej o integrację z systemem magazynowym. WordPress w tym środowisku to portfolio, kalendarz wydarzeń albo strona studia, która zbiera zapytania B2B i musi respektować RODO w formularzach.

#Operacje specyficzne dla Grecji i UE

Polski zespół zna WordPressa. Grecki klient pyta o coś innego: gdzie leżą dane, czy serwer jest „w Unii Europejskiej”, jak długo trzymam logi, kto jest administratorem danych, czy mam Data Processing Agreement. Na te pytania trzeba odpowiedzieć procesem, samo hasło o „zgodności z RODO” nie wystarczy.

#RODO i grecka HDPA

Grecja stosuje rozporządzenie UE 2016/679 (RODO, znane też jako GDPR) wraz z krajową ustawą 4624/2019 o ochronie danych osobowych. Organ nadzorczy to Hellenic Data Protection Authority (HDPA, po grecku Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα). Dla WordPressa w Atenach wynika z tego konkretny zakres utrzymania: lista podprocesorów (host, CDN, poczta, analityka), umowa powierzenia tam, gdzie agencja przetwarza dane, procedura naruszenia w 72 godziny, minimalizacja danych w formularzach, polityka prywatności zgodna z art. 13 RODO.

Utrzymanie nie zastępuje DPO klienta. Dostarcza logi, oś czasu i opis zmian po incydencie. Klient klasyfikuje, czy zdarzenie wymaga zgłoszenia do HDPA. Nikt po stronie agencji nie podpisuje się pod „jesteście zgodni z RODO, bo macie WAF”. HDPA publikuje wytyczne dotyczące plików cookie i trackingu na dpa.gr; runbook opieki powinien być z nimi zgodny co do tego, co agencja dokumentuje, a co zostaje po stronie administratora danych.

Przy incydencie z danymi osobowymi art. 33 RODO daje administratorowi 72 godziny na zgłoszenie do HDPA, o ile naruszenie może wiązać się z ryzykiem dla praw osób. Dlatego dziennik z opieki musi mieć datę pierwszej wiedzy, nie datę „kiedy developer wrócił z urlopu”.

#Hosting w UE

Przy danych osobowych i RODO pada pytanie, w jakiej jurysdykcji stoi serwer. Hosting u greckiego providera, AWS w Irlandii (eu-west-1), Hetzner w Niemczech, Scaleway we Francji to różne odpowiedzi dla compliance officer, ale wszystkie mieszczą się w UE. Serwer w Ashburn albo Hillsboro stoi w Stanach i zwykle odpada, jeśli nie ma Standardowych Klauzul Umownych albo innej podstawy transferu danych.

Pytanie „czy hosting jest w Atenach” wraca rzadziej niż „czy w UE”. Odpowiedź operacyjna jest dwuczęściowa. Jurysdykcja: UE, kopie nie trafiają na serwery w USA bez uzgodnienia. Latencja: origin w Grecji albo Irlandii plus CDN z terminałem TLS w UE zwykle wystarcza dla użytkowników w Atenach i w Europie Środkowej. Decyzja rezydencji trafia do runbooku, a nie do hasła „hosting w Atenach”.

#Cookie banner, consent i greckie oczekiwania

Grecki rynek jest wyczulony na cookie i tracking, szczególnie po wejściu w życie wytycznych HDPA dotyczących zgód marketingowych. Wtyczki consent (Cookiebot, Complianz, CookieYes, iubenda) integrują się z GTM i Meta Pixel. Aktualizacja motywu albo wtyczki cache potrafi wyłączyć blokowanie skryptów do momentu, kiedy HDPA albo klient zauważy, że analityka leci przed zgodą. W ramach opieki raz na kwartał sprawdzam baner zgód i tagi na najważniejszych szablonach, to stały punkt procedury. Polityka prywatności i polityka cookies są szablonami z polami, nie blokami, które redaktor może usunąć z drzewa.

#Formularze B2B, AFM i integracje CRM

Formularze kontaktowe B2B to najczęstszy punkt integracji dla firm z Marousi i armatorów z Piraeus. W praktyce oznacza to podłączenie WordPressa do CRM (HubSpot, Pipedrive, Salesforce), walidację pól zgodną z RODO, pole AFM (ΑΦΜ, grecki numer identyfikacji podatkowej) tam, gdzie wymaga tego rynek grecki, i limitowanie zapytań na endpointach publicznych. Webhooki i status formularza muszą przeżyć aktualizację wtyczki. Hotel z Plaka, który po patchu traci log zgód HDPA, produkuje incydent compliance, nie ticket UX.

#Reakcja na incydent bez pustych procentów

Procent dostępności wpisany na stronie miasta niczego nie gwarantuje, bo nie jest umową. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny i alert z WAF albo od hostingu. Triage: czy to treść, czy formularz B2B, czy wp-admin, czy cała produkcja, czy wyciek oferty przed sezonem turystycznym. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, zmiana haseł, ostrzejsze reguły WAF, czyszczenie cache. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i działaniem, które ma zapobiec powtórce za miesiąc.

Czas pierwszej odpowiedzi zapisuję w umowie. W dni robocze pilne sprawy zwykle zamykam w ciągu godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Przy freeze sezonu turystycznego okno bywa szersze niż w zwykłym miesiącu, bo koszt martwego landingu w tygodniu kampanii hotelowej jest wyższy niż koszt dyżuru.

#Przypadek: aktualizacja wtyczki consent przed sezonem letnim

Serwis hotelowy na WordPressie, landing sezonowy pod majówkę, formularz rezerwacji z integracją HubSpot i polem AFM dla faktur B2B, treść zaplanowana na wtorek 8:00, dwa tygodnie przed otwarciem sezonu letniego. W kolejce do produkcji leżała aktualizacja wtyczki consent (Cookiebot) plus patch wtyczki cache, „drobny, na żywo, bo to tylko consent”.

Na środowisku testowym, sklonowanym z produkcji razem z ofertami w stanie „szkic”, publikacja o 8:00 serwowała wersję demo z poprzedniego sezonu. Przyczyna: zmiana kolejności enqueue po patchu consent, GTM ładował się przed bannerem, a motyw wołał get_post bez sprawdzenia statusu future. Na produkcji ten sam zestaw poszedłby w niedzielę wieczorem. Landing wyszedłby przed terminem, formularz zbierałby dane bez zaktualizowanej polityki prywatności, a wtorkowy ruch z newslettera do partnerów trafiłby w 404 po panicznym cofnięciu wpisu.

środowisko testowe zatrzymał promocję. wycofanie zmian na kopii testowej potwierdził, że sama wtyczka cache jest niewinna, gdy consent nie blokuje skryptów marketingowych. Checklista publikacji (szkic, future, formularz, purge, URL w newsletterze, cookie banner, log zgód) przeszła, dopiero potem produkcja. Bez kopii zostałby post-mortem i rozmowa z prawnikiem o wycieku danych pod RODO.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Spis wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopię w ogóle da się odtworzyć, gdzie stoi serwer, kto ma dostęp do SFTP i wp-admin, czy zostały konta po agencji, której już nie ma. Baseline Lighthouse na stronie głównej i na najważniejszym formularzu B2B albo katalogu produktów. Lista ryzyk według priorytetu: najpierw to, co psuje odtwarzanie kopii i bezpieczeństwo, potem to, co psuje konwersję albo publikację.

Pierwszą rundę aktualizacji na stagingu robię od razu na starcie współpracy. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis hotelowy albo B2B w Atenach bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji poza sezonem turystycznym i Athens Digital Week, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza UE, brak 2FA u redakcji, brak umowy powierzenia, cache bez reguły dla future, freeze sezonu jeszcze nie wpisany). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczynam od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Notion, trzy wtyczki consent naraz, formularz B2B, który pada po każdej aktualizacji WPML. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress w Atenach. Sklep, checkout grecki i VAT: programista WooCommerce w Atenach. Opieka nie udaje, że jest projektem wdrożeniowym.

#Wydajność przy skoku ruchu sezonowego i użytkownikach z aglomeracji ateńskiej

Origin w UE nie naprawi ciężkiego motywu z galeriami portfolio wideo. HTTP/3, Brotli, AVIF, lazy load, który nie psuje LCP hero, cache, który nie trzyma prywatnego formularza ani nieopublikowanej oferty kampanijnej, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzę na realnych URL-ach z formularzami B2B, nie na pustej instalacji. INP psują skrypty czatu, widget mapy i tag manager, do którego marketing dodał coś poza systemem zgłoszeń.

Dla serwisu hotelowego w Atenach liczy się czas do pierwszego bajtu z sieci w aglomeracji ateńskiej i w Europie Środkowej, nie tylko z telefonu przy Akropolu. Monitoring z jednego regionu USA kłamie. Punkt pomiaru w UE jest częścią kontraktu operatorskiego. Przed sezonem letnim albo Athens Digital Week idzie osobny przegląd cache, limitów PHP i CDN; po evencie idzie ścinka landingów, które mają zostać jako archiwum, i tych, które mają dostać 301.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików w wp-admin na produkcji. Rotacja haseł po odejściu freelancerów. Test odtworzenia kopii, bo dopóki nikt jej nie odtworzył, nie wiadomo, czy działa. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia pod RODO i grecką ustawą 4624/2019.

To nie jest certyfikat ISO sprzedawany z abonamentem. Tę listę da się odhaczyć przy audycie na starcie opieki i wracać do niej co kwartał. Klient z biura w Marousi, z hotelu w Plaka albo ze spin-offu w Gazi i tak przyniesie własną checklistę. Dokumentacja hardeningu WordPress jest w WordPress Developer Handbook. Opieka w Atenach dodaje do niej kalendarz freeze sezonu turystycznego, pytanie o HDPA oraz jawny opis rezydencji w UE.

#Powiązane usługi w aglomeracji ateńskiej

Ten sam model opieki działa w innych greckich miastach, z tym samym runbookiem i innym kontekstem lokalnym:

• Opieka techniczna WordPress w Salonikach
• Programista WordPress w Atenach
• Programista WooCommerce w Atenach

#Jak zaczynam, bez zaliczek w procentach na stronie

Zakres i cenę ustalam indywidualnie i wpisuję do umowy przed startem. Na tej stronie nie znajdziesz podziału płatności na raty procentowe ani tabeli pakietów. Wystarczy krótki opis serwisu, stacku, hostingu i informacja, czy masz środowisko testowe, żebym mógł zaproponować audyt na start.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, oraz informacja, czy serwis musi zostać w UE i czy w najbliższych tygodniach jest sezon turystyczny, Athens Digital Week albo szczyt kampanii hotelowej. Na tej podstawie robię plan: co naprawiam, zanim zacznę comiesięczną opiekę, a co zostaje na kolejne miesiące.

Opieka w Atenach ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracam do developmentu. Gdy trzeba go utrzymać przy sezonie turystycznym, formularzach B2B z polem AFM, wersjach EL/EN oraz RODO pod grecką HDPA, zostaję przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, compliance po stronie klienta, hosting w UE i runbook, który da się pokazać audytorowi bez rekonstruowania historii z pamięci.