Opieka techniczna WordPress w Düsseldorfie

Polski zespół, który utrzymuje WordPressa dla firmy w Düsseldorfie, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi przy Renie, w Medienhafen albo przy Messeplatz, na rynku, gdzie awaria landingu w tygodniu boot albo zniknięcie japońskiej wersji językowej to temat na rozmowę z compliance centrali, a nie tylko z marketingiem. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, niemiecki kontekst prawny i operatorski, bez cennika i bez obietnic dostępności w procentach.

Szerszy opis produktu opieki, niezależny od miasta, jest na stronie opieki technicznej WordPress. Tu schodzimy do Düsseldorfu: centrale japońskie i międzynarodowe, kalendarz Messe, GoBD, MwSt, DATEV, rezydencja danych i dziennik incydentów, który da się pokazać przy audycie.

#Co oznacza opieka WordPress przy centrali i kalendarzu Messe

Opieka to nie „włącz auto-update i miej nadzieję”. Dla serwisu centrali, wystawcy targowego albo biura z Medienhafen utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie audytora. Reszta - drobne zmiany w motywie, nowy formularz, poprawka Core Web Vitals - wisi na tym fundamencie. Bez niego kolejna wtyczka tylko powiększa powierzchnię ataku.

Serwis w tym mieście często zbiera dane i treści, których nie wolno traktować jak bloga agencji. Formularz zapisu na stoisko, panel partnera, status zamówienia próbek, logowanie do strefy dealera, wersja japońska z osobnym Impressum: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą gość targowy albo pracownik centrali naprawdę klika.

#Aktualizacje wyłącznie przez środowisko testowe

Rdzeń WordPress, wtyczki i motyw idą najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, te same wtyczki językowe i te same wtyczki płatności w trybie sandbox. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego landingu w piątek przed otwarciem hal.

Po wgraniu łatek na kopii testowej idzie checklista, nie wyczucie. Logowanie wp-admin, zapis strony, formularz kontaktowy, koszyk i płatność jeśli jest WooCommerce, cron, poczta wychodząca, webhooki, hreflang, wersja JA i EN. Dopiero po tym produkcja. Ścieżka wycofania jest zapisana zanim ktokolwiek naciśnie deploy: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, to nie ma rollbacku, tylko improwizacja.

W Düsseldorfie dochodzi kalendarz zamrożenia. boot Düsseldorf 2026 trwał od 17 do 25 stycznia (57. edycja, hale 1-17 na Messegelände). EuroShop 2026, jubileuszowa 60. edycja handlu detalicznego, zajmowała ten sam teren od 22 do 26 lutego. drupa wraca 9-17 maja 2028. W tych oknach produkcja nie dostaje „drobnej aktualizacji SEO”. Dostaje freeze zapisany w runbooku, dyżur na cache i DNS oraz zakaz ruszania WPML, Polylang albo wtyczki formularzy. Łatka bezpieczeństwa, która nie może czekać, idzie przez środowisko testowe w godzinach, nie w nocy przed otwarciem bram Nord.

#Kopie operacyjne to nie archiwum GoBD

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. GoBD, czyli Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, dotyczy czego innego: ksiąg, dowodów księgowych i możliwości wglądu skarbówki. Kopia w panelu hostingu nie spełnia GoBD sama z siebie. Brakuje niezmienności, kompletności, maszynowej czytelności i dokumentacji procedury.

W praktyce utrzymania rozdzielamy trzy warstwy. Pierwsza: kopia operacyjna strony i bazy, z retencją zapisaną w runbooku, testem odtworzenia, nie tylko „backup job zielony”. Druga: logi zmian i incydentów, które pokazują kto, kiedy i co wgrał. Trzecia: archiwum podatkowe u klienta, zwykle w DATEV albo w DMS kancelarii. Po wymieszaniu tych trzech warstw w jednym katalogu FTP po dwóch latach nikt nie wyciągnie z niego tego, czego oczekuje kancelaria podatkowa.

Centrala japońska w Düsseldorfie dokłada czwartą oś, której GoBD nie rozwiązuje za zespół. Niemiecka GmbH zamyka rok kalendarzowy pod HGB i AO. Macierz w Osace albo Tokio często zamyka rok od kwietnia do marca. Eksport z WordPressa dla Steuerberatera nadal musi dać się włożyć do DATEV. Eksport „dla Tokio” to osobny plik, osobny rytm, osobna osoba po stronie klienta. Opieka, która wrzuca oba do jednego CSV w nocy, produkuje dwa złe zamknięcia zamiast jednego dobrego.

#WAF, monitoring i dziennik pod audyt

WAF (mod_security, Cloudflare WAF albo reguły u hostera) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików łapie to, co WAF przepuścił albo co weszło skradzionym hasłem. Dwuskładnikowe logowanie do wp-admin i ograniczenie liczby kont z uprawnieniem administratora są tańsze niż forensics po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla firmy pod niemieckie wdrożenie NIS2 ten plik jest surowcem do zgłoszenia nadzorczego. Agencja WordPress nie składa raportu do BSI za klienta. Dostarcza oś czasu, której klient nie musi rekonstruować z pamięci.

Serwisy DE/JA/EN w Düsseldorfie wymagają jeszcze jednego punktu w monitoringu: syntetyczny check nie kończy się na stronie głównej po niemiecku. Łapie też /ja/ albo osobną subdomenę, formularz w drugiej locale i PDF Impressum. WAF, który blokuje znaki japońskie jako „anomalny payload”, jest błędem konfiguracji, nie sukcesem bezpieczeństwa. To wychodzi przy pierwszym teście, nie przy pierwszym zgłoszeniu z Tokio.

#Düsseldorf jako kontekst, nie jako ozdobnik w tytule

Düsseldorf jest stolicą Nadrenii Północnej-Westfalii i jednym z najgęstszych węzłów japońskiego biznesu w Europie kontynentalnej. NRW.Global Business podaje około 400 japońskich firm w samym mieście i około 550 w najbliższym otoczeniu; w skali landu wokół stolicy mówi się o około 650 spółkach. W mieście mieszka rzędu siedmiu tysięcy Japończyków, w NRW około piętnastu tysięcy; razem te firmy zatrudniają dziesiątki tysięcy osób. To nie jest tło do sloganu. To jest powód, dla którego WordPress centrali ma trzy locale, osobny kanał zgłoszeń po angielsku i niemieckie Impressum, którego nie wolno „przetłumaczyć wtyczką” w nocy.

Japan Business Day 2026 odbył się 27 maja w Hotelu Kö59, jako program gospodarczy Japan-Tag. Organizatorzy to NRW.Global Business, miasto, JIHK, JETRO, Konsulat Generalny Japonii, IHK Düsseldorf i DJW. Tematem tej edycji była gospodarka obiegu zamkniętego. Na scenie były między innymi Mitsubishi Electric, Toshiba Electronics Europe, cylib i LyondellBasell. Japan-Tag, z rzędu setek tysięcy gości przy Renie, jest osobnym skokiem ruchu na stronach kulturalnych i partnerskich. Opieka, która nie zna tych dat, wgrywa aktualizację WPML w tygodniu, w którym strona ma wytrzymać kolejkę z telefonów na nabrzeżu.

Medienhafen trzyma biura, agencje i centrale, nie „startupową scenę z plakatu”. The Cradle przy Speditionstraße, drewniany hybryd według zasady cradle-to-cradle, jest jednym z najczęściej cytowanych budynków biurowych w tym porcie. Micware otworzył tam europejską siedzibę. To jest fakt miejski, nie lista klientów WPPoland. Dla utrzymania WordPressa wynika z tego prosta rzecz: serwis „firmowy” z tego nabrzeża często jest wejściem do europejskiej spółki-córki, z wymogiem hostingu w UE i z redakcją, która publikuje z Tokio poza europejskim popołudniem.

Po drugiej stronie torów Flingern pokazuje inną oś. SEGRO Park Düsseldorf Flingern oddał pierwszą fazę pod koniec stycznia 2026 (trzy obiekty, około 22 400 m²). Sapporo Nishiyama Europe, spółka z Düsseldorfu od 2014, wzięła około 2 100 m² na pierwszy europejski zakład produkcji makaronu ramen. WordPress takiej firmy nie jest blogiem o kuchni. Jest stroną B2B, rekrutacją, czasem sklepem próbek. Checkout, który po aktualizacji gubi stawkę MwSt albo adres dostawy w NRW, boli w operacjach, nie w „UX”.

Henkel, Metro i gęsta warstwa agencji przy Königsallee dokręcają ten sam mechanizm od strony korporacyjnej i reklamowej. Nie są klientami tej strony. Są powodem, dla którego serwis w Düsseldorfie częściej niż w mniejszym mieście NRW ma SSO, osobny środowisko testowe, zakaz edytora plików wp-admin i pytanie o podprocesorów jeszcze na callu zerowym.

#Kolonia i Düsseldorf: co naprawdę różni hosting i operacje

Czterdzieści kilometrów wzdłuż Renu nie zmienia fizyki. Round-trip między Kolonią a Düsseldorfem to pojedyncze milisekundy. VPS „bliżej Kölnmesse” nie jest strategią rezydencji danych. Hetzner i tak stoi w Falkenstein i Norymberdze, nie nad Renem. Rywalizacja miast, która naprawdę wchodzi w WordPressa, jest organizacyjna, nie sieciowa.

Grupa z dwiema GmbH - biuro marki albo produkcji w Kolonii, centrala albo Japan desk w Düsseldorfie - często trzyma jeden WordPress dla obu. Wtedy w onboardingu trzeba zapisać, która spółka jest administratorem danych, która płaci hosting, która wpuszcza CSV do DATEV i który Steuerberater podpisuje Verfahrensdokumentation. Dwa Impressum podpięte pod jeden motyw, dwa NIP-y w jednym WooCommerce, dwa kalendarze zamrożenia (jedna firma jedzie na targi do Kolonii, druga na boot) to klasyczny bałagan, który wychodzi przy pierwszej aktualizacji wtyczki faktur.

Jeśli serwis ma zostać w Niemczech, decyzja brzmi: origin w DE, kopia w DE albo przynajmniej w UE, CDN kończący TLS w UE. Nie brzmi: „hostujemy w Düsseldorfie, bo tu jest siedziba”. Miasto z media portem i miasto z domami nadawczymi mogą się przepychać o to, które jest „bardziej medialne”. PHP tego nie słyszy. Słyszy jurysdykcję, nakaz i to, czy bucket kopii wyjechał nocą do Ashburn.

#Operacje specyficzne dla Niemiec

Polski zespół zna WordPressa. Niemiecki klient w Düsseldorfie pyta o coś innego: gdzie leżą dane, jak długo trzymamy logi, kto wystawia fakturę z podatkiem, kto wpuszcza pliki do DATEV, czy strona japońska ma osobne zgody. Te pytania trzeba umieć obsłużyć procesem, nie sloganem o „zgodności z RODO”.

#GoBD i retencja logów, które da się pokazać

GoBD nie czyni z WordPressa programu księgowego. Wyznacza, jak elektroniczne dowody i zapisy mają dać się odtworzyć. Księgi i sprawozdania nadal kręcą się wokół dekady przechowywania (AO par. 147, HGB par. 257). Dla dowodów księgowych Vierte Bürokratieentlastungsgesetz skróciło okres do ośmiu lat; dla instytucji kredytowych to skrócenie weszło od 1 stycznia 2026. Listy handlowe bez statusu dowodu: sześć lat. WordPressowy debug.log rotowany co tydzień tego nie pokrywa.

W opiece ustalamy, które zdarzenia są podatkowe albo audytowe, a które są śmieciem diagnostycznym. Zmiana wtyczki płatności, zmiana stawki podatku w sklepie, eksport zamówień, zmiana danych fakturowych: to idzie do dziennika z datą i operatorem. Wpisy PHP Notice z motywu: nie. Klient dostaje opis procedury do swojej Verfahrensdokumentation. Nie dostaje obietnicy, że kopia wtyczki UpdraftPlus jest archiwum skarbowym.

#Hosting, rezydencja i pytanie o Hetzner

Dane osobowe pod RODO/GDPR i dane podatkowe pod GoBD ciągną pytanie: w której jurysdykcji stoi serwer. Hetzner trzyma własne centra w Falkenstein i Norymberdze; tam obowiązuje prawo niemieckie i dostęp na podstawie niemieckiego nakazu. Helsinki to Unia, ale już nie Niemcy. Ashburn albo Hillsboro to Stany. Dla wielu compliance officerów z Medienhafen to nie niuans, tylko veto. Japońska macierz bywa jeszcze ostrzejsza: pyta o UE zanim zapyta o miasto.

Rozmowa o hostingu w onboardingu jest więc merytoryczna, nie wizerunkowa. Czy produkcja jest w DE? Czy kopia wyjeżdża nocą na bucket w innym regionie? Czy CDN kończy TLS w UE? Utrzymanie WordPressa, które „wrzuca wszystko na najtańszy VPS za oceanem”, odpada na pierwszym callu z bezpieczeństwem, niezależnie od tego, czy biuro ma widok na Rheinturm.

#Faktury MwSt jako proces, bez kwot

Ta strona nie publikuje cen WPPoland. Opisuje, jak faktura z podatkiem niemieckim ma wyglądać jako obieg, nie jako cennik. Faktura MwSt potrzebuje kompletnych danych: nazwa i adres, USt-IdNr albo Steuernummer, opis świadczenia, data, stawka, kwota podatku albo adnotacja o odwrotnym obciążeniu przy B2B wewnątrzunijnym, numer faktury w nieprzerwanym ciągu. Sklep albo strona usługowa, która po aktualizacji wtyczki fakturującej gubi NIP albo stawkę, produkuje dokumenty, których księgowość nie przyjmie.

W utrzymaniu pilnujemy, żeby wtyczka faktur, pole podatkowe i PDF nie rozjechały się po patchu. Nie wystawiamy deklaracji podatkowej za klienta. Nie podajemy stawek jako oferty agencji. Pilnujemy, żeby proces, który klient uzgodnił ze Steuerberaterem, nadal działał po cyklu aktualizacji.

#DATEV zostaje po stronie klienta

DATEV to ekosystem kancelarii, nie panel WordPressa. Eksport CSV, XML albo PDF plus metadane może wychodzić ze sklepu albo z CRM podpiętego pod WP. Import, księgowanie i archiwum robi kancelaria w DATEV Unternehmen online albo w swoim DMS. Granica jest twarda i zapisana w runbooku: agencja dostarcza kompletny, powtarzalny eksport; klient i doradca wpuszczają go do DATEV. Przejęcie „my wam zaksięgujemy w DATEV” nie wchodzi w zakres opieki WordPress.

Gdy eksport psuje się po aktualizacji wtyczki zamówień, to jest incydent utrzymaniowy. Gdy kancelaria zmienia mapowanie kont, to jest zmiana po stronie klienta. Mieszanie obu ról kończy się mailami, w których nikt nie wie, kto ma poprawić stawkę. Przy centrali japońskiej dochodzi jeszcze prośba o „ten sam plik po angielsku do Tokio”. To jest drugi eksport, nie tłumaczenie pierwszego w Excelu o północy.

#SEPA, DHL i checkout, którego nie wolno łatać w ciemno

Sklep DACH zbiera polecenie SEPA, kartę, czasem płatność odroczoną. Webhooki bramki i status zamówienia muszą przeżyć aktualizację WooCommerce. DHL (i analogiczne kurierzy w NRW) wrzucają numer śledzenia z powrotem do zamówienia. Aktualizacja wtyczki etykiet, która na produkcji nadpisze mapowanie usług, zostawia magazyn z ręcznym klejeniem numerów. Dlatego te wtyczki nigdy nie idą w tym samym oknie co „drobna aktualizacja SEO” i nigdy w tygodniu boot.

Polski runbook checkoutu nie przenosi się do DACH jeden do jednego. W Düsseldorfie obowiązują SEPA i DHL, inne dowody księgowe i inny przewoźnik. Opieka skopiowana z rynku krajowego wywala się na pierwszej fakturze z 19 procent MwSt. Szerszy opis wdrożeń sklepowych, poza utrzymaniem, jest u programisty WooCommerce oraz na stronie city programista WooCommerce w Düsseldorfie.

#RODO, NIS2 i EAA: kto komu raportuje

RODO (GDPR) zostaje ramą danych osobowych: umowa powierzenia, minimalizacja, zgody, 72 godziny na zgłoszenie naruszenia do organu. Niemieckie wdrożenie NIS2 (NIS2UmsuCG, BSIG po nowelizacji z grudnia 2025) dodało rejestrację u BSI; dla podmiotów już w zakresie okno rejestracji liczone od wejścia ustawy zamykało się 6 marca 2026. European Accessibility Act wszedł w życie 28 czerwca 2025; serwis publiczny albo sklep, który po aktualizacji motywu gubi kontrast, etykiety formularzy albo focus, wraca jako regresja dostępności, nie jako „ticket UX”.

Z tego dla WordPressa wynika skromny, konkretny obowiązek. Utrzymanie dostarcza logi, oś czasu i opis zmian. Klient klasyfikuje, czy zdarzenie jest incydentem nadzorczym. Nikt po stronie agencji nie podpisuje się pod „jesteście NIS2-compliant, bo macie WAF”. To byłoby kłamstwo opakowane w produkt.

#Reakcja na incydent bez pustych procentów

Obietnica dostępności zapisana procentem na stronie city to ozdobnik, nie kontrakt. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny plus alert z WAF albo z hosta. Triage: czy to treść, czy płatność, czy wp-admin, czy cała produkcja, czy tylko locale JA. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, rotacja haseł, twardy WAF. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i z działaniem, które ma nie powtórzyć się za miesiąc.

Czas pierwszej odpowiedzi zapisujemy w umowie. W dniach roboczych priorytet zwykle zamyka się w oknie godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Przy freeze targowym okno bywa szersze niż w zwykłym miesiącu, bo koszt martwego landingu w hali 6 jest wyższy niż koszt dyżuru. Ta strona nie sprzedaje uniwersalnego SLA w tabelce. Sprzedaje porządek: widać, kto wszedł, co zmienił, kiedy serwis wrócił.

Jeśli klient musi złożyć zgłoszenie do BSI albo UODO, dziennik z opieki jest załącznikiem. Brak dziennika oznacza, że compliance składa raport ze zrzutów ekranu i ze wspomnień z Teams.

#Przypadek: aktualizacja wtyczki językowej w oknie boot

Landing wystawcy na boot, trzy locale (DE, EN, JA), formularz zapisu na spotkanie przy stoisku, PDF planu hali, cache na Cloudflare. W kolejce do produkcji leżała aktualizacja wtyczki wielojęzycznej plus „drobny” patch SEO. Na środowisku testowym, sklonowanym z produkcji, japoński slug po zapisie strony zwracał 404, a hreflang na DE wskazywał martwy URL. Formularz DE działał. Formularz JA gubił pole zgody, bo szablon motywu wołał stary filtr.

Na produkcji ten sam zestaw poszedłby w czwartek 16 stycznia, dzień przed otwarciem 57. boot. Stoisko dostałoby kolejkę „link z QR nie działa”, a Tokio dostałoby zrzut 404 o ósmej rano czasu japońskiego. środowisko testowe zatrzymał promocję. Freeze na 17-25 stycznia został dotrzymany. Motyw dostał poprawkę haka, checklista locale (home, landing, formularz, PDF, hreflang) przeszła po targach, dopiero potem produkcja.

Nie ma tu nazwy firmy, bo to kształt zdarzenia, nie case study z logotypem. Jest mechanizm: najpierw kopia, potem produkcja, a w tygodniu Messe w ogóle nic, chyba że łatka bezpieczeństwa nie może czekać. Ten sam kształt wraca przy wtyczkach etykiet DHL, przy cache, który serwuje niemiecki fragment na /ja/, i przy aktualizacji SEO, która nadpisuje robots i wycina landing targowy z indeksu.

#Meetup w Zentralbibliothek, nie w panelu hostingu

WordPress Meetup Düsseldorf (WPDUS) spotyka się na miejscu, zwykle we wtorek o 18:30, w LibraryLab Zentralbibliothek przy Konrad-Adenauer-Platz 1 (KAP1). Grupa ma rzędu półtora tysiąca członków na Meetup. W 2026 roku w programie było między innymi WPDUS #101 o AI (14 lipca) i urodzinowe #102 zaplanowane na 6 września, tradycyjnie poza biblioteką. To nie jest kanał sprzedaży. To jest miejsce, w którym widać, jak lokalni maintainerzy aktualizują, jak rozmawiają o uprawnieniach i o hostingu.

WP-CLI w utrzymaniu nie jest ozdobą meetupową. To sposób, żeby aktualizację, różnicę wtyczek i eksport listy użytkowników zrobić powtarzalnie, z logiem, bez klików wp-admin na produkcji. Po sesji w KAP1 argument „zrobimy to ręcznie w panelu, bo Tokyo czeka” brzmi jeszcze gorzej.

digihub Düsseldorf/Rheinland i status JETRO Global Acceleration Hub pokazują drugą warstwę miasta: japońskie startupy wchodzące na DE przez mentoring i desk miasta, nie przez „stronę-wizytówkę z translatora”. Opieka, która nigdy nie wychodzi poza ticket, gubi ten kontekst i wgrywa wtyczkę tłumaczeń maszynowych na produkcję centrali, która ma własny glosariusz prawny.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Inwentaryzacja wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopia w ogóle się odtwarza, gdzie stoi serwer, kto ma dostęp SFTP i do wp-admin, czy są konta-widma po agencji, która zniknęła, ile jest locale, czy Impressum jest twarde. Baseline Lighthouse na stronie głównej, na najważniejszym formularzu albo checkoucie i na jednym URL-u JA jeśli istnieje. Lista ryzyk z priorytetem: najpierw to, co psuje odtworzenie i bezpieczeństwo, potem to, co psuje konwersję albo targi.

Pierwszy cykl aktualizacji na stagingu jest częścią onboardingu, nie „bonusem w miesiącu drugim”. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis centrali albo wystawcy w Düsseldorfie bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji poza kalendarzem Messe, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza DE, brak 2FA u redakcji w Tokio, DATEV nadal na ręcznym PDF, freeze na drupa 2028 jeszcze nie wpisany). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczyna się od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Confluence, trzy wtyczki językowe naraz, landing z zeszłego boot, który nadal jest kanoniczny. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress i lokalnie programista WordPress w Düsseldorfie. Sklep, checkout, SEPA, DHL i podatki: WooCommerce jak wyżej. Opieka nie udaje, że jest projektem wdrożeniowym. Gdy w utrzymaniu wychodzi, że motyw trzeba napisać od nowa, to idzie jako osobne zlecenie, na piśmie.

#Wydajność przy skoku ruchu z Messe

Origin w Niemczech nie naprawi ciężkiego motywu. HTTP/3, Brotli, AVIF, cache, który nie trzyma prywatnego koszyka ani prywatnego formularza stoiska, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzymy na realnych URL-ach, nie na pustej instalacji. INP psuje się od skryptów czatu, od tag managera, który marketing dodał poza ticketingiem, i od widgetu mapy hali wgranej jako pełny iframe. Opieka, która nie widzi GTM, będzie gonić „optymalizację obrazków” w nieskończoność.

Dla serwisu wystawcy liczy się tydzień, nie średnia z kwartału. Monitoring z jednego regionu USA kłamie, gdy goście stoją w kolejce przy bramie Nord. Punkt pomiaru w DE albo przynajmniej w UE jest częścią kontraktu operatorskiego. Przed boot i przed EuroShop idzie osobny przegląd cache, limitów PHP i CDN; po targach idzie ścinka landingów, które mają zostać jako archiwum, i tych, które mają dostać 301. Zostawienie dwudziestu starych URL-i „na wszelki wypadek” jest długiem, nie ostrożnością.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów i po zmianie desk w Tokio. Test odtworzenia kopii, bo kopia, której nikt nie odtwarzał, jest plikiem. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia.

To nie jest certyfikat ISO sprzedawany z abonamentem. To jest lista, którą da się odhaczyć przy onboardingowym audycie i wrócić do niej co kwartał. Klient z Japan desk albo z agencji w Medienhafen i tak przyniesie własną checklistę. Lepiej mieć swoją wcześniej.

#Jak zaczynamy, bez zaliczek w procentach na stronie

Zakres, godziny reakcji i cena są indywidualne i lądują w umowie przed startem. Na tej stronie nie ma podziału płatności na transze procentowe i nie ma tabeli pakietów. Krótki opis serwisu, stacku, hostingu, locale i tego, czy jest środowisko testowe, wystarczy, żeby zaproponować audyt onboardingu.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, informacja, czy serwis musi zostać w Niemczech, oraz czy w kalendarzu jest boot, EuroShop albo drupa. Z tego powstaje plan: co naprawiamy zanim w ogóle wejdziemy w miesięczny rytm, a co zostaje w kadencji.

Opieka w Düsseldorfie ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracamy do developmentu. Gdy trzeba go utrzymać przy GoBD, checkoucie DACH i kalendarzu Messe, zostajemy przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, freeze targowy, procesy podatkowe po stronie klienta.