Opieka techniczna WordPress w Bazylei

Polski zespół, który utrzymuje WordPressa dla firmy w Bazylei, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi w regionie life sciences, gdzie Roche i Novartis ustawiają poprzeczkę dla dokumentacji, gdzie impressum musi zgadzać się z Zefix, a nie z niemieckim Amtsgericht, gdzie nDSG (zrewidowana ustawa federalna o ochronie danych, ang. revised FADP) i rezydencja danych w Szwajcarii są pytaniami z onboardingu, a nie ozdobą w stopce. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, bazylejski kontekst pharma i trójjęzyczny, bez cennika i bez obietnic dostępności w procentach.

Szerszy opis produktu opieki, niezależny od miasta, jest na stronie opieki technicznej WordPress. Tu schodzimy do Bazylei: nDSG i EDÖB, MWST, QR-Rechnung, TWINT, hosting w CH, wersje DE/FR/EN oraz kalendarz Art Basel, który zmienia priorytety wdrożeń.

#Co oznacza opieka WordPress przy serwisie firmy w Bazylei

Opieka to nie „włącz auto-update i miej nadzieję”. Dla serwisu korporacyjnego life sciences, portalu inwestorskiego albo strony usługowej firmy z siedzibą w Bazylei utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć i które klient akceptuje jurysdykcyjnie, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie o Art. 24 nDSG. Reszta - drobna poprawka w motywie, nowy formularz, synchronizacja tłumaczeń FR - wisi na tym fundamencie. Bez niego kolejna wtyczka tylko powiększa powierzchnię ataku.

Serwis w Bazylei często zbiera dane, których nie wolno traktować jak treści bloga. Formularz rekrutacyjny z CV, portal dla badaczy klinicznych, strefa partnera z dokumentacją regulacyjną, newsletter z profilem: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą użytkownik z Grenzach albo z Saint-Louis naprawdę klika, i na polach, z których potem wychodzi faktura z CHE-… MWST.

#Aktualizacje wyłącznie przez środowisko testowe

Rdzeń WordPress, wtyczki i motyw idą najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, i te same wtyczki wielojęzyczne oraz bramki płatności w trybie sandbox. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego formularza w czerwcu, kiedy w Bazylei trwa Art Basel, ruch rośnie, a zespół compliance nie ma czasu na post-mortem w piątek po południu.

Po wgraniu łatek na kopii testowej idzie checklista, nie wyczucie. Logowanie wp-admin, zapis strony w DE i FR, formularz kontaktowy, koszyk i płatność jeśli jest WooCommerce, cron, poczta wychodząca, webhooki, hreflang między wersjami językowymi. Dopiero po tym produkcja. Ścieżka wycofania jest zapisana zanim ktokolwiek naciśnie deploy: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, to nie ma rollbacku, tylko improwizacja.

#Kopie operacyjne i pytanie, gdzie leżą

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. To nie jest rejestr handlowy i nie jest archiwum GxP. Brakuje w niej niezmienności dowodu regulacyjnego i kompletności, której wymaga audyt po stronie klienta. W praktyce utrzymania rozdzielamy trzy warstwy. Pierwsza: kopia operacyjna strony i bazy, z retencją zapisaną w runbooku, testem odtworzenia, nie tylko „backup job zielony”. Druga: logi zmian i incydentów, które pokazują kto, kiedy i co wgrał. Trzecia: dokumenty, które klient trzyma u Treuhändera albo w DMS: faktury MWST, wyciągi, UID. Kiedy wszystko trafia do jednego katalogu FTP, po dwóch latach nikt nie powie Treuhänderowi, który plik jest dokumentem księgowym, a który kopią roboczą.

Dla firmy w Bazylei dochodzi pytanie, którego polski runbook z rynku krajowego często nie zadaje: czy kopia nocą wyjeżdża do bucketa poza CH. Z punktu widzenia nDSG transfer za granicę jest faktem do ujawnienia w Datenschutzerklärung, nawet gdy odbiorca siedzi w UE i Komisja Europejska uznaje Szwajcarię za adekwatną w drugą stronę. Klient z klastra life sciences, który wymaga rezydencji w CH, nie kupi „backupu na S3 w Irlandii, bo taniej”.

#WAF, monitoring i dziennik pod nDSG

WAF (mod_security, reguły u hostera albo warstwa u CDN, którego jurysdykcję klient świadomie zaakceptował) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików łapie to, co WAF przepuścił albo co weszło skradzionym hasłem. Dwuskładnikowe logowanie do wp-admin i ograniczenie liczby kont z uprawnieniem administratora są tańsze niż forensics po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla administratora danych pod nDSG ten plik jest surowcem do oceny, czy zdarzenie stanowi „likely high risk” w rozumieniu Art. 24 i czy iść na portal DataBreach EDÖB. Agencja WordPress nie składa zgłoszenia do EDÖB za klienta. Dostarcza oś czasu, której klient nie musi rekonstruować z pamięci i ze Slacka.

#Bazylea jako kontekst pharma i life sciences, nie jako ozdobnik w tytule

Bazylea jest globalnym węzłem farmaceutycznym i biotechnologicznym. Roche ma siedzibę przy Grenzacherstrasse. Novartis Campus siedzi przy Fabrikstrasse. Wokół nich rośnie ekosystem CRO, dostawców, spin-offów i acceleratorów rodzaju DayOne przy BaselArea. To nie jest lista klientów WPPoland i nie jest obietnica certyfikacji GxP. To jest geografia rynku, z której wynika prosta rzecz: serwis „firmowy” w Bazylei bywa wejściem do onboardingu partnera, do rekrutacji naukowca albo do publikacji wyników, które kto inny nadzoruje. Opóźnienie w łatce bezpieczeństwa albo zniknięcie logów po wgraniu wtyczki SEO przestaje być tematem IT i staje się tematem ryzyka.

Basel Digital Hub i BaselArea (baselarea.swiss) promują region jako life sciences cluster z dostępem do trzech krajów: Szwajcarii, Niemiec i Francji w rejonie Dreiländereck. Dla utrzymania WordPressa wynika stąd druga oś: treść i formularze muszą działać po niemiecku, często po francusku i po angielsku, bez rozjechanych hreflang i bez impressum skopiowanego z szablonu dla Zurychu albo Genewy.

Uniwersytet Bazylejski, Departament Biosystemów i Szpital Uniwersytecki Basel (USB) ustawiają poprzeczkę inaczej niż „strona wizytówkowa agencji”. Komunikacja tych instytucji jest osobnym światem. Dla opieki u firm, które z tym klastrem sąsiadują, wynika prosta rzecz: Datenschutzerklärung, impressum i hosting w CH są sprawdzane wcześniej niż kolor przycisku CTA.

SwissIX łączy szwajcarskie centra danych; dla operatora strony w regionie Basel oznacza to, że origin w CH skraca drogę do użytkowników kraju i do sieci, które i tak peerują na giełdzie. Awaria DNS albo certyfikatu jest widoczna od razu; monitoring musi łapać więcej niż „ping do strony głównej”. SwissIX nie naprawi ciężkiego motywu. Daje kontekst, dlaczego hosting „gdziekolwiek, byle tanio” odpada na rozmowie z IT firmy z Kleinbasel albo z Basel-Stadt.

#Art Basel freeze: kalendarz, który zmienia priorytety wdrożeń

Art Basel co roku w czerwcu wypełnia Messe Basel i cały region ruchem: galerie, hotele, cateringu, transport, media. Serwisy powiązane z wydarzeniem, ale też strony restauracji, hoteli i usług w promieniu kilku kilometrów od Messeplatz dostają skok ruchu, którego nie widać w „normalnym” CrUX.

Runbook opieki dla klientów Bazylei uwzględnia okno Art Basel jako okres podwyższonego ryzyka operacyjnego. W tym tygodniu nie planuje się aktualizacji rdzenia, wtyczek płatności ani zmian w motywie, chyba że to hotfix bezpieczeństwa z pisemną zgodą właściciela produktu. Monitoring dostaje ciaśniejsze progi alertów. Kopia przed pierwszym dniem targów jest testowana na odtworzenie, nie tylko oznaczana jako „success”. Po zakończeniu tygodnia wraca standardowy cykl aktualizacji i krótki raport: co się wydarzyło, co odłożono, co zostało w backlogu.

To nie jest superstycja eventowa. To jest uzgodniony freeze wdrożeń, który compliance officer w pharma rozpoznaje z własnych procedur change management. Opieka WordPressa, która „wgra łatki w środę, bo w kolejce leżą”, ignoruje kalendarz, który w Bazylei jest twardy.

#Operacje trójjęzyczne DE/FR/EN

Polski zespół zna WordPressa. Klient w Bazylei pyta o coś innego: czy wersja francuska ma ten sam impressum co niemiecka, czy hreflang wskazuje de-CH a nie de-DE, czy formularz zgody ma tekst zgodny z Datenschutzerklärung we wszystkich językach, czy redaktor z Saint-Louis nie publikuje draftu na produkcji.

#Wielojęzyczność to utrzymanie, nie jednorazowa konfiguracja

WPML, Polylang albo motyw blokowy z własnym routingiem i18n wymagają regresji po każdej aktualizacji wtyczki tłumaczeń, motywu albo page buildera. Checklista stagingu obejmuje: zapis posta w DE, podgląd FR, przełączenie EN, tagi hreflang w źródle strony, mapę URL bez duplikatów canonical, formularze z polami wymaganymi per locale.

Basel-Stadt ma niemiecki jako język urzędowy, ale region graniczny z Francją (Weg bis nach Saint-Louis) tłumaczy treści regulacyjne i B2B na francuski. Angielski jest językiem operacyjnym w life sciences. Szablon skopiowany wyłącznie z rynku niemieckiego (Amtsgericht, USt-IdNr, Straße z ß) na stronie bazylejskiej AG albo GmbH jest błędem, który prawnik klienta zobaczy szybciej niż Lighthouse. Opieka nie redaguje OR (Obligationenrecht). Pilnuje, żeby po zmianie motywu albo wtyczki SEO pole z UID i z Firmenwortlaut nie zniknęło we wszystkich wersjach językowych.

Niemiecki język CH nie jest niemieckim z RFN. W tekstach urzędowych i na stronie: ss zamiast ß (Strasse, nicht Straße), MWST zamiast MwSt, Gross zamiast groß. Wersja francuska musi trzymać spójność z niemiecką w danych firmowych (UID, siedziba), nawet gdy copy marketingowe jest lokalne.

#Operacje specyficzne dla Szwajcarii w Bazylei

#nDSG, EDÖB i transfer za granicę

Zrewidowana federalna ustawa o ochronie danych weszła w życie 1 września 2023 bez okresu przejściowego. Oficjalny skrót po wejściu w życie to DSG; w praktyce rynkowej nadal krąży nDSG i angielskie FADP. Nadzór: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB / FDPIC) z siedzibą w Bernie. Ustawa chroni dane osób fizycznych, nie osób prawnych. Obowiązek informacyjny (Art. 19) wymaga tożsamości administratora, celu, odbiorców i - przy transferze za granicę - kraju oraz zabezpieczeń. Naruszenie bezpieczeństwa danych zgłasza administrator, gdy zachodzi prawdopodobieństwo wysokiego ryzyka dla osobowości lub praw podstawowych; procesor zgłasza administratorowi, nie portalowi. Portal DataBreach EDÖB przyjmuje zgłoszenia administratorów i od razu nadaje Report-ID. Wytyczne EDÖB do Art. 24 są z 23 kwietnia 2025.

RODO nadal dotyczy przetwarzania, które celuje w osoby w UE. Serwis firmy w Bazylei z ruchem z Unii ma więc dwie warstwy, nie jedną. Wtyczka cookie skopiowana z niemieckiego sklepu (opt-in wszędzie) nie jest automatycznie „nDSG-compliant”, a brak bannera nie jest automatycznie legalny, gdy idzie tracking, profilowanie albo transfer do kraju bez adekwatnego poziomu ochrony. Opieka nie sprzedaje opinii prawnej. Pilnuje, żeby narzędzia na stronie zgadzały się z tym, co stoi w Datenschutzerklärung, i żeby po aktualizacji GTM albo wtyczki consent logi zgód nadal się zapisywały.

#Hosting w CH: Cyon z Bazylei, Infomaniak, Metanet

Dane osobowe pod nDSG ciągną pytanie: w której jurysdykcji stoi serwer i kopia. Cyon działa z Bazylei i jest jednym z hosterów, których lokalni operatorzy rozpoznają bez tłumaczenia „dlaczego nie AWS w Virginia”. Infomaniak rozwija infrastrukturę w Szwajcarii. Metanet ma centra w kraju. Hostpoint jest jednym z większych hosterów domen w Szwajcarii. To nie jest ranking WPPoland i nie jest certyfikat. To jest zestaw nazw, które klient w Bazylei rozpoznaje, gdy pyta „gdzie leży WordPress”.

Rozmowa o hostingu w onboardingu jest więc merytoryczna, nie wizerunkowa. Czy produkcja jest w CH? Czy kopia wyjeżdża nocą poza kraj? Czy CDN kończy TLS w Szwajcarii, w UE, czy w USA? Utrzymanie, które „wrzuca wszystko na najtańszy VPS za oceanem”, odpada na pierwszym callu z bezpieczeństwem w firmie, która i tak audytuje dostawców IT co kwartał. Przeniesienie originu do CH, jeśli klient tego wymaga, jest osobnym zleceniem, nie darmowym dodatkiem do abonamentu.

#Faktury MWST jako proces, bez kwot

Ta strona nie publikuje cen WPPoland. Opisuje, jak faktura z podatkiem szwajcarskim ma wyglądać jako obieg, nie jako cennik. MWST (Mehrwertsteuer) to szwajcarski podatek od wartości dodanej, nie niemiecki MwSt. Od 1 stycznia 2024, bez zmiany na 2026, obowiązują trzy stawki ESTV: 8,1% (Normalsatz), 2,6% (redukowana: m.in. żywność, książki, leki) i 3,8% (Beherbergung). Próg rejestracji: obrót 100 000 CHF. Numer na fakturze: CHE-xxx.xxx.xxx MWST. Kwota brutto zaokrąglana do 5 Rappen, nie do 10. Deklaracje idą przez ePortal ESTV.

Sklep albo strona usługowa, która po aktualizacji wtyczki fakturującej gubi UID, stawkę albo zaokrąglenie, produkuje dokumenty, których Treuhänder nie przyjmie. W utrzymaniu pilnujemy, żeby wtyczka faktur, pole podatkowe i PDF nie rozjechały się po patchu. Nie wystawiamy deklaracji MWST za klienta. Nie podajemy stawek jako oferty agencji. Pilnujemy, żeby proces, który klient uzgodnił z księgowością, nadal działał po cyklu aktualizacji.

#QR-Rechnung, TWINT i PostFinance

QR-Rechnung (QR-bill) zastąpiła stare Einzahlungsscheine. W Swiss QR Code od 21 listopada 2025 ma być adres strukturalny (Adresstyp S): ulica, numer, kod, miejscowość, kraj w osobnych polach, nie jedna linia „K”. Okno przejściowe zamyka się w 2026: banki zapowiadają kategoryczne odrzucanie nieustrukturyzowanych adresów (w materiałach SIX i banków pojawia się listopad 2026). ISO 20022 (pain.001, camt.053) i EBICS 3.0 to język, którym Treuhänder i bank rozmawiają ze sklepem, nie WordPress sam z siebie.

TWINT jest w Szwajcarii metodą, której checkout B2C nie może „dopaść w przyszłym sprincie”. PostFinance Pay / karta PostFinance nadal siedzi w koszykach, których nie obsługuje sam Stripe z konfiguracją eurozonową. Wtyczki bramek są częścią powierzchni ataku i częścią checklisty regresji. Aktualizacja WooCommerce, która na produkcji nadpisze mapowanie metod, zostawia księgowość z zamówieniami w pending i z QR-Rechnung, której nikt nie zapłaci, bo adres jest typu K.

Polski runbook checkoutu nie przenosi się do CH jeden do jednego. W Bazylei obowiązują MWST, QR-Rechnung, TWINT i PostFinance, inny UID i inny język urzędowy na fakturze. Opieka skopiowana z rynku krajowego wywala się na pierwszej fakturze z 8,1 procent MWST i na pierwszym kodzie QR, którego bank nie przyjmie.

Szerszy zakres sklepu, checkoutu i bramek to już programista WooCommerce w Bazylei, a nie abonament opieki. Opieka pilnuje, żeby to, co już stoi, przeżyło łatki.

#Handelsregister, Zefix i rejestr kantonu Basel-Stadt

Impressum i stopka to nie „wpisz nazwę firmy z wizytówki”. W kantonie Basel-Stadt rejestr prowadzi Handelsregisteramt des Kantons Basel-Stadt (Clarastrasse 28). Federacyjny indeks nazw: Zefix (Zentraler Firmenindex). UID w formacie CHE-xxx.xxx.xxx nadaje BFS; na fakturze MWST ten sam numer dostaje przyrostek MWST. Firmenwortlaut, siedziba i forma prawna mają się zgadzać z wyciągiem, nie z brandingiem z Figma. AG nie publikuje listy akcjonariuszy w rejestrze; GmbH ma udziałowców rejestrze. Sprawozdań finansowych Zefix nie oddaje.

To nie jest rejestr zuryski ani genewski. Szablon impressum skopiowany z Handelsregisteramt des Kantons Zürich albo z genewskiego urzędu na stronie firmy z Basel-Stadt jest błędem widocznym dla lokalnego prawnika szybciej niż regresja LCP.

#Reakcja na incydent bez pustych procentów

Obietnica dostępności zapisana procentem na stronie city to ozdobnik, nie kontrakt. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny plus alert z WAF albo z hosta. Triage: czy to treść, czy formularz z danymi osobowymi, czy wp-admin, czy cała produkcja. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, rotacja haseł, twardy WAF. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i z działaniem, które ma nie powtórzyć się za miesiąc.

Czas pierwszej odpowiedzi zapisujemy w umowie. W dniach roboczych priorytet zwykle zamyka się w oknie godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Ta strona nie sprzedaje uniwersalnego SLA w tabelce. Sprzedaje porządek: widać, kto wszedł, co zmienił, kiedy serwis wrócił.

Jeśli klient musi złożyć zgłoszenie do EDÖB albo, przy ruchu unijnym, do organu RODO, dziennik z opieki jest załącznikiem. Brak dziennika oznacza, że compliance składa raport ze zrzutów ekranu. Art. 24 nDSG nie ma sztywnych 72 godzin z RODO; mówi „jak najszybciej” przy wysokim ryzyku. Tym bardziej oś czasu musi dać się odczytać bez zgadywania.

#Przypadek: aktualizacja wtyczki położyłaby formularz rekrutacyjny, środowisko testowe to zatrzymał

Serwis korporacyjny prowadzony przez polski zespół, rekrutacja naukowców i specjalistów regulacyjnych w regionie Basel, formularz z załącznikiem CV, wersje DE/EN/FR, zgoda na przetwarzanie zgodna z Datenschutzerklärung. W kolejce do produkcji leżała aktualizacja wtyczki formularzy plus patch wtyczki wielojęzycznej.

Na środowisku testowym, sklonowanym z produkcji razem z tłumaczeniami, upload CV w wersji FR zwracał 500 po zmianie limitu rozmiaru pliku w nowej wersji wtyczki. Równolegle hreflang wskazywał de-DE zamiast de-CH, bo motyw nadpisał tagi po aktualizacji SEO. Na produkcji ten sam zestaw poszedłby w tygodniu, kiedy HR liczy na ruch z kampanii. Rekruter dostałby pustą skrzynkę, a kandydat komunikat błędu bez numeru ticketu.

środowisko testowe zatrzymał promocję. wycofanie zmian na kopii testowej potwierdził, że sama wtyczka formularzy jest niewinna, gdy motyw nie woła usuniętego haka i gdy mapowanie locale zgadza się z runbookiem. Motyw dostał poprawkę, checklista (DE, FR, EN, upload, mail do HR, zapis zgody) przeszła, dopiero potem produkcja. Nie ma tu nazwy firmy, bo to kształt zdarzenia, nie case study z logotypem. Jest mechanizm: najpierw kopia, potem produkcja. Bez kopii zostałby post-mortem i ręczne zbieranie CV z maili.

Ten sam kształt wraca przy wtyczkach consent, przy cache obiektowym, który serwuje starą wersję strony kariery, i przy „drobnej” aktualizacji w tygodniu Art Basel, która obciąża origin w szczycie ruchu. Bazylea nie wybacza tego ciszej niż inny rynek. Wygląda to gorzej, bo obok siedzi ktoś, kto pyta o nDSG i o Zefix.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Inwentaryzacja wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopia w ogóle się odtwarza, gdzie stoi serwer, kto ma dostęp SFTP i do wp-admin, czy są konta-widma po agencji, która zniknęła. Baseline Lighthouse na stronie głównej, na formularzu rekrutacyjnym albo checkoucie jeśli jest. Lista ryzyk z priorytetem: najpierw to, co psuje odtworzenie i bezpieczeństwo, potem to, co psuje konwersję i zgodność impressum.

Dla Bazylei audyt dociąga checklistę lokalną. Hosting: CH czy nie. Datenschutzerklärung: czy wymienia rzeczywistych podprocesorów i transfery. Impressum: Firmenwortlaut i UID jak w Zefix i w rejestrze Basel-Stadt, nie jak na starym roll-upie z innego kantonu. Jeśli jest sklep: MWST 8,1/2,6/3,8, zaokrąglenie 5 Rappen, QR Adresstyp S, TWINT, PostFinance. Jeśli są DE/FR/EN: hreflang, ss nie ß, spójność UID we wszystkich wersjach. Kalendarz: kiedy Art Basel i czy klient chce freeze wdrożeń.

Pierwszy cykl aktualizacji na stagingu jest częścią onboardingu, nie „bonusem w miesiącu drugim”. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis firmy w Bazylei bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji poza tygodniem Art Basel, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza CH, brak 2FA u redakcji, QR nadal typu K, impressum z niemieckim ß, brak freeze w kalendarzu). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczyna się od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Notion, trzy wtyczki podatkowe naraz w sklepie B2B. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress oraz strona city programista WordPress w Bazylei. Sklep, checkout, TWINT, QR-Rechnung i MWST: programista WooCommerce i programista WooCommerce w Bazylei. Opieka nie udaje, że jest projektem wdrożeniowym. Gdy w utrzymaniu wychodzi, że motyw trzeba napisać od nowa, to idzie jako osobne zlecenie, na piśmie.

#Wydajność przy klastrze, który i tak jest w kraju

SwissIX i hosting w CH nie naprawią ciężkiego motywu. Origin w Szwajcarii, HTTP/3, Brotli, AVIF, cache, który nie trzyma prywatnego koszyka ani sesji formularza z CV, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzymy na realnych URL-ach, nie na pustej instalacji. INP psuje się od skryptów czatu i od tag managera, który marketing dodał poza ticketingiem. Opieka, która nie widzi GTM, będzie gonić „optymalizację obrazków” w nieskończoność.

Dla serwisu B2B w Bazylei liczy się też czas do pierwszego bajtu z sieci korporacyjnej w CH i z campusu pharma, nie tylko z telefonu na Rheinu. Monitoring z jednego regionu USA kłamie. Punkt pomiaru w Szwajcarii albo przynajmniej w Europie Środkowej jest częścią kontraktu operatorskiego, nie dodatkiem. Polska i Bazylea dzielą CET/CEST, więc okno diagnostyki w dzień roboczy pokrywa się; to nie zwalnia z sondy w CH.

W tygodniu Art Basel ruch rośnie nierównomiernie: strony w promieniu Messe Basel mogą dostać TTFB gorszy niż reszta roku mimo poprawnego cache. Runbook przewiduje obserwację originu i limity rate, a nie „dokładamy wtyczkę cache w czwartek wieczorem”.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów. Test odtworzenia kopii, bo kopia, której nikt nie odtwarzał, jest plikiem. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia pod Art. 24 nDSG, jasność kto jest administratorem, a kto procesorem.

To nie jest certyfikat ISO sprzedawany z abonamentem. To jest lista, którą da się odhaczyć przy onboardingowym audycie i wrócić do niej co kwartał. Klient z life sciences, który czyta nDSG albo siedzi obok DayOne, i tak przyniesie własną checklistę. Lepiej mieć swoją wcześniej.

#Jak zaczynamy, bez zaliczek w procentach na stronie

Zakres, godziny reakcji i cena są indywidualne i lądują w umowie przed startem. Na tej stronie nie ma podziału płatności na transze procentowe i nie ma tabeli pakietów. Krótki opis serwisu, stacku, hostingu, wersji językowych i tego, czy jest środowisko testowe, wystarczy, żeby zaproponować audyt onboardingu.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, informacja czy serwis musi zostać w Szwajcarii oraz czy w kalendarzu jest Art Basel albo inne twarde okno freeze. Z tego powstaje plan: co naprawiamy zanim w ogóle wejdziemy w miesięczny rytm, a co zostaje w kadencji.

Opieka w Bazylei ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć: aktualizacje przez środowisko testowe, kopie w CH, WAF, dziennik pod nDSG, trzy języki bez rozjazdu impressum, freeze w czerwcu. Gdy trzeba go dopiero zbudować, wracamy do developmentu. Gdy trzeba go utrzymać przy MWST, QR-Rechnung i hostingu w Szwajcarii, zostajemy przy tym, co ta strona opisuje.