Opieka techniczna WordPress w Hamburgu

Utrzymuję WordPressa z Polski dla firmy w Hamburgu, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi obok portu, magazynów Otto Group i redakcji, na rynku, gdzie awaria publikacji albo zniknięcie logów po ataku to temat na rozmowę z compliance i z operacjami, a nie tylko z marketingiem. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, hamburski kontekst portowy, wydawniczy i logistyczny, bez cennika i bez obietnic dostępności w procentach.

Ogólny opis opieki, bez odniesienia do miasta, znajdziesz na stronie opieki technicznej WordPress. Tu schodzę do Hamburga: port i HHLA, media i wydawnictwa, Otto Group i fulfilment, HafenCity, GoBD, MwSt, DATEV, pytanie o hosting północnoniemiecki oraz dziennik incydentów, który da się pokazać przy audycie.

#Co oznacza opieka WordPress przy serwisie portowym, logistycznym albo wydawniczym

Opieka to nie „włącz auto-update i miej nadzieję”. Dla serwisu spedycyjnego, portalu partnerskiego przy terminalu, sklepu DACH albo tytułu z redakcją w Hamburgu utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie audytora. Reszta - drobne zmiany w motywie, nowy formularz, poprawka Core Web Vitals - wisi na tym fundamencie. Bez niego każda kolejna wtyczka tylko zwiększa ryzyko ataku.

Serwis w tym mieście często zbiera dane, których nie wolno traktować jak treści bloga. Status przesyłki, okno slotu na terminalu, panel dostawcy, kalkulator frachtu, paywall, embargo redakcyjne, logowanie do strefy klienta: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą partner, redaktor albo kupujący naprawdę klika.

#Aktualizacje wyłącznie przez środowisko testowe

Aktualizacje WordPressa, wtyczek i motywu trafiają najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, i te same wtyczki płatności albo publikacji w trybie sandbox. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego checkoutu w piątek po południu, kiedy w Hamburgu kończy się tydzień magazynowy, albo do wycieku artykułu przed embargiem, kiedy cache serwuje treść, która miała czekać do poniedziałku.

Po wgraniu poprawek na kopię testową przechodzę checklistę punkt po punkcie. Logowanie wp-admin, zapis strony, formularz kontaktowy, koszyk i płatność jeśli jest WooCommerce, cron, poczta wychodząca, webhooki, purge cache po publikacji. Dopiero po tym produkcja. Plan wycofania zapisuję przed wdrożeniem: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, wycofanie zmian staje się improwizacją.

#Kopie operacyjne to nie archiwum GoBD

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. GoBD, czyli Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, dotyczy czego innego: ksiąg, dowodów księgowych i możliwości wglądu skarbówki. Kopia w panelu hostingu nie spełnia GoBD sama z siebie. Brakuje niezmienności, kompletności, maszynowej czytelności i dokumentacji procedury.

W praktyce utrzymania rozdzielam trzy warstwy. Pierwsza: kopia strony i bazy, z okresem przechowywania zapisanym w procedurze i testem odtworzenia, a nie tylko zielonym statusem zadania backupu. Druga: dziennik zmian i incydentów, z którego widać, kto, kiedy i co wgrał. Trzecia: archiwum podatkowe u klienta, zwykle w DATEV albo w DMS kancelarii. Wrzucenie wszystkiego do jednego katalogu FTP kończy się tym, że po dwóch latach przygotowanie danych dla kancelarii to osobne zlecenie.

#WAF, monitoring i dziennik pod audyt

WAF (mod_security, Cloudflare WAF albo reguły u hostera) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików wyłapują to, co przepuścił WAF albo co weszło przez skradzione hasło. Logowanie dwuskładnikowe do wp-admin i mniej kont administratora kosztują mniej niż analiza powłamaniowa po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla operatora portowego, firmy logistycznej albo wydawcy pod niemieckie wdrożenie NIS2 ten plik jest surowcem do zgłoszenia. Agencja WordPress nie składa raportu do BSI ani do Hamburger Beauftragte für Datenschutz za klienta. Przekazuje za to oś czasu, której klient nie musi odtwarzać z pamięci.

#Hamburg jako kontekst, nie jako ozdobnik w tytule

Hamburg jest drugim co do wielkości miastem Niemiec i największym portem kraju. To nie jest węzeł finansowy nad Menem i nie jest kalendarz targowy nad Renem. Tu liczy się łańcuch dostaw, redakcja i handel wysyłkowy. Hamburger Hafen und Logistik AG (HHLA) w pierwszym półroczu 2026 roku obsłużyła w hamburskich terminalach 2 786 tys. TEU, o 7,3 procent mniej niż rok wcześniej; w całym segmencie kontenerowym grupy było 2 959 tys. TEU (spadek o 6,7 procent). Przychód segmentu utrzymał się blisko 426,6 mln euro, bo dłuższy dwell time wygenerował opłaty składowe. Dla utrzymania WordPressa wynika z tego prosta rzecz: serwis „firmowy” dostawcy, spedytora albo operatora fulfilmentu żyje w roku, w którym wolumen na nabrzeżu się waha, a modernizacja terminali trwa. Awaria panelu partnera albo statusu przesyłki boli w operacjach, nie w „UX”.

Port Hamburg jest największym portem kolejowym Europy. W 2025 roku około 2,6 mln TEU poszło w głąb lądu szyną, w większości przez terminale HHLA. Container Terminal Altenwerder (CTA) w 2026 roku dostał sieć kampusową 5G (projekt PROCON-5G z Deutsche Telekom i Ericsson; od końca maja 2026 ponad kilometr kwadratowy niezależny od publicznej sieci komórkowej), zdalnie sterowane suwnice kolejowe Künz oraz dwudziestkę elektrycznych ciągników bateryjnych z pełną infrastrukturą ładowania. Piąta suwnica kolejowa weszła w drugim kwartale 2026; pierwsza partia suwnic dwuwózkowych przeszła do eksploatacji w kwietniu. Na Container Terminal Burchardkai (CTB) wchodzą AGV. Na Container Terminal Tollerort (CTT) podwojono zdolność przeładunku komponentów lotniczych Airbusa. Żadna z tych inwestycji nie jest case study WPPoland. Jest mapą rynku: wokół CTA, CTB i CTT siedzą średnie firmy, których WordPress trzyma kariery, dokumentację partnerską i często sklep B2B. Łatka, która w piątek wyłącza webhook statusu, zostawia magazyn z ręcznym klejeniem numerów.

Druga oś to handel wysyłkowy. Otto Group ma siedzibę w Hamburgu. W roku obrotowym 2025/26 grupa pokazała 13,8 mld euro przychodu, 34 831 pracowników i EBIT 641 mln euro, przy prezesurze Petri Scharner-Wolff. Hermes Germany jest od 1 stycznia 2026 w pełni konsolidowany; sieć to ponad 16 500 punktów odbioru. Hermes Fulfilment trzyma magazyny w Niemczech, Polsce, Czechach, Włoszech i Szwajcarii. Grupa ogłosiła średnioterminowe 350 mln euro na IT, technologię i AI; warstwa Robotic Coordination Layer (Otto Group One.O, NVIDIA Omniverse) startuje pilotażem w Löhne. Znowu: to nie jest referencja agencji. To jest grawitacja, w której utrzymuję z Polski satelickie serwisy marek, landingi, portale dostawców i sklepy DACH, które muszą przeżyć aktualizację wtyczki etykiet Hermes albo DHL w tym samym tygodniu, w którym magazyn i tak goni slot.

Trzecia oś to media. NDR ma siedzibę w Hamburgu (NDR Media, Rothenbaumchaussee 159). Tagesschau powstaje tu. Spiegel, Die Zeit, Bauer Media Group, Carlsen, reszta produkcji Gruner + Jahr po fuzji z RTL - to nadal gęsty klaster, nawet jeśli część decyzji strategicznych G+J poszła do Kolonii. nextMedia.Hamburg prowadzi SPACE w Speicherstadt. OMR zbiera branżę marketingu w halach wystawowych. Serwis wydawniczy na WordPressie ma inny profil awarii niż sklep: cache obiektowy serwujący treść przed embargiem, paywall, który po patchu wpuszcza wszystkich, Impressum i TMG, które znikają z stopki po zmianie motywu, skok ruchu po paśmie. Opieka, która testuje tylko stronę główną, tego nie widzi.

HafenCity dokłada adres, nie ozdobnik. Dzielnica ma 157 ha dawnego portu, około 8 tys. mieszkańców dziś i plan około 16 tys., Elbphilharmonie, uczelnię HCU i biura od Greenpeace przez Marquard & Bahls, Engel & Völkers, Unilever i Olympus po średnie linie żeglugowe. Firmy z HafenCity w 2026 roku siedzą w trzech nakładających się ramach: RODO, NIS2 i - przy działalności portowej - ISPS. Hybryda (produktywność w chmurze, kopie lokalne, immutable backup) jest tam częstsza niż „wszystko na najtańszym VPS”. Utrzymanie WordPressa, które nie umie powiedzieć, w której jurysdykcji leży origin i kopia, odpada na pierwszym callu z bezpieczeństwem.

#Operacje specyficzne dla Niemiec i Północy

Znam WordPressa. Hamburski klient pyta o coś innego: gdzie leżą dane, czy serwer jest „w Hamburgu albo przynajmniej w Niemczech”, jak długo trzymam logi, kto wystawia fakturę z podatkiem, kto wpuszcza pliki do DATEV. Na te pytania trzeba odpowiedzieć procesem, samo hasło o „zgodności z RODO” nie wystarczy.

#GoBD i retencja logów, które da się pokazać

GoBD nie czyni z WordPressa programu księgowego. Wyznacza, jak elektroniczne dowody i zapisy mają dać się odtworzyć. Księgi i sprawozdania nadal kręcą się wokół dekady przechowywania (AO par. 147, HGB par. 257). Dla dowodów księgowych Vierte Bürokratieentlastungsgesetz skróciło okres do ośmiu lat; dla instytucji kredytowych to skrócenie weszło od 1 stycznia 2026. Listy handlowe bez statusu dowodu: sześć lat. WordPressowy debug.log rotowany co tydzień tego nie pokrywa.

Nowelizacja GoBD z 11 marca 2024 jasno dopuszcza chmurę, o ile da się wykazać integralność, dostępność i umowę z operatorem. To nie zwalnia z Verfahrensdokumentation. W opiece ustalam, które zdarzenia są podatkowe albo audytowe, a które są śmieciem diagnostycznym. Zmiana wtyczki płatności, zmiana stawki podatku w sklepie, eksport zamówień, zmiana danych fakturowych, publikacja cennika B2B: to idzie do dziennika z datą i operatorem. Wpisy PHP Notice z motywu: nie. Klient dostaje opis procedury do swojej dokumentacji. Nie dostaje obietnicy, że kopia wtyczki UpdraftPlus jest archiwum skarbowym.

#Hosting, rezydencja i pytanie o Północ

Dane osobowe pod RODO/GDPR i dane podatkowe pod GoBD ciągną pytanie: w której jurysdykcji stoi serwer. Hetzner trzyma własne centra w Falkenstein (Saksonia) i Norymberdze (Bawaria); tam obowiązuje prawo niemieckie i dostęp na podstawie niemieckiego nakazu. Helsinki to Unia, ale już nie Niemcy. Ashburn albo Hillsboro to Stany. Dla wielu hamburskich compliance officerów to nie niuans, tylko veto.

Pytanie „czy hosting jest w Hamburgu” wraca częściej niż we Frankfurcie, bo tu origin ma służyć użytkownikom z Szlezwiku-Holsztynu, Dolnej Saksonii i samego miasta, a nie peerom przy DE-CIX. Odpowiedź operacyjna jest dwuczęściowa. Jurysdykcja: Niemcy albo przynajmniej UE, kopia nie wyjeżdża nocą na bucket w regionie US. Latencja: origin w DE plus CDN z terminałem TLS w UE zwykle wystarcza; DC w samym Hamburgu jest plusem, nie wymogiem prawnym. Falkenstein nadal jest Niemcami. VPS za oceanem nadal odpada.

Dlatego przy przejęciu opieki pytania o hosting dotyczą konkretów, a nie wizerunku. Czy produkcja jest w DE? Czy kopia wyjeżdża? Czy CDN kończy TLS w UE? Czy obiekt cache nie trzyma prywatnego koszyka ani nieopublikowanego artykułu? Utrzymanie, które „wrzuca wszystko na najtańszy VPS”, nie przechodzi rozmowy z firmą z HafenCity ani z kancelarią, która i tak trzyma DATEV na certyfikowanym hoście.

#Faktury MwSt jako proces, bez kwot

Ta strona nie publikuje cen WPPoland. Opisuje, jak faktura z podatkiem niemieckim ma wyglądać jako obieg, nie jako cennik. Faktura MwSt potrzebuje kompletnych danych: nazwa i adres, USt-IdNr albo Steuernummer, opis świadczenia, data, stawka, kwota podatku albo adnotacja o odwrotnym obciążeniu przy B2B wewnątrzunijnym, numer faktury w nieprzerwanym ciągu. Sklep albo strona usługowa, która po aktualizacji wtyczki fakturującej gubi NIP albo stawkę, produkuje dokumenty, których księgowość nie przyjmie.

W ramach opieki pilnuję, żeby wtyczka faktur, pole podatkowe i PDF nie rozjechały się po aktualizacji. Nie wystawiam deklaracji podatkowej za klienta. Nie podaję stawek jako oferty agencji. Pilnuję, żeby proces, który klient uzgodnił ze Steuerberaterem, nadal działał po cyklu aktualizacji.

#DATEV zostaje po stronie klienta

DATEV to ekosystem kancelarii, nie panel WordPressa. Eksport CSV, XML albo PDF plus metadane może wychodzić ze sklepu albo z CRM podpiętego pod WP. Import, księgowanie i archiwum robi kancelaria w DATEV Unternehmen online albo w swoim DMS. Granica jest twarda i zapisana w runbooku: agencja dostarcza kompletny, powtarzalny eksport; klient i doradca wpuszczają go do DATEV. Przejęcie „my wam zaksięgujemy w DATEV” nie wchodzi w zakres opieki WordPress.

Gdy eksport psuje się po aktualizacji wtyczki zamówień, to jest incydent utrzymaniowy. Gdy kancelaria zmienia mapowanie kont, to jest zmiana po stronie klienta. Mieszanie obu ról kończy się mailami, w których nikt nie wie, kto ma poprawić stawkę.

#Hermes, DHL i checkout, którego nie wolno łatać w ciemno

Sklep DACH zbiera polecenie SEPA, kartę, czasem płatność odroczoną. Webhooki bramki i status zamówienia muszą przeżyć aktualizację WooCommerce. W Hamburgu do DHL dochodzi Hermes - sieć Otto Group, nie ciekawostka z ulotki. Aktualizacja wtyczki etykiet, która na produkcji nadpisze mapowanie usług, zostawia magazyn z ręcznym klejeniem numerów. Dlatego tych wtyczek nigdy nie aktualizuję razem z „drobną aktualizacją SEO”.

Polski runbook checkoutu nie przenosi się do DACH jeden do jednego. W Hamburgu obowiązują SEPA, DHL i Hermes, inne dowody księgowe i inny mix przewoźników niż na rynku krajowym. Opieka skopiowana z instalacji w Polsce wywala się na pierwszej fakturze z 19 procent MwSt i na etykiecie, której kurier w punkcie odbioru nie skanuje.

#RODO i NIS2: kto komu raportuje

RODO (GDPR) zostaje ramą danych osobowych: umowa powierzenia, minimalizacja, zgody, 72 godziny na zgłoszenie naruszenia do organu. Niemieckie wdrożenie NIS2 (NIS2UmsuCG, BSIG po nowelizacji z grudnia 2025) dodało rejestrację u BSI; dla podmiotów już w zakresie okno rejestracji liczone od wejścia ustawy zamykało się 6 marca 2026. Operatorzy portowi i część logistyki wchodzą w ten zakres łatwiej niż typowy wydawca. ISPS dotyczy nabrzeża i strefy portowej, nie wp-admin - ale firma z HafenCity i tak usłyszy oba skróty na jednym callu.

Z tego dla WordPressa wynika skromny, konkretny obowiązek. Utrzymanie dostarcza logi, oś czasu i opis zmian. Klient klasyfikuje, czy zdarzenie jest incydentem nadzorczym. Nikt po stronie agencji nie podpisuje się pod „jesteście NIS2-compliant, bo macie WAF”. To byłoby kłamstwo opakowane w produkt. DORA i BaFin zostają przy rynku finansowym nad Menem; tu pierwsza rozmowa idzie o BSI, o Hamburger Beauftragte für Datenschutz i o to, czy kopia w ogóle jest w Niemczech.

#Reakcja na incydent bez pustych procentów

Procent dostępności wpisany na stronie miasta niczego nie gwarantuje, bo nie jest umową. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny i alert z WAF albo od hostingu. Triage: czy to treść, czy płatność, czy wp-admin, czy cała produkcja, czy wyciek przed embargiem. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, zmiana haseł, ostrzejsze reguły WAF, czyszczenie cache. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i działaniem, które ma zapobiec powtórce za miesiąc.

Czas pierwszej odpowiedzi zapisuję w umowie. W dni robocze pilne sprawy zwykle zamykam w ciągu godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Ta strona nie sprzedaje uniwersalnego SLA w tabelce. Opisuje porządek pracy: widać, kto wszedł, co zmienił i kiedy serwis wrócił.

Jeśli klient musi złożyć zgłoszenie do BSI albo do hamburskiego organu ochrony danych, dziennik z opieki jest załącznikiem. Brak dziennika oznacza, że compliance składa raport ze zrzutów ekranu i ze wspomnień z Slacka.

#Przypadek: aktualizacja cache położyłaby publikację, środowisko testowe to zatrzymał

Serwis wydawniczy na WordPressie, redakcja w Hamburgu, paywall, embargo na materiał zaplanowany na poniedziałek 6:00. W kolejce do produkcji czekała aktualizacja wtyczki cache obiektowego i patch SEO, „drobny, na żywo, bo to tylko object cache”.

Na środowisku testowym, sklonowanym z produkcji razem z Redisem i z kolejką zaplanowanych postów, publikacja o 6:00 serwowała treść z czwartkowego szkicu. Przyczyna: po poprawce zmienił się klucz cache, stary fragment motywu wywoływał get_post bez sprawdzania statusu future, a CDN trzymał HTML bez nagłówka Cache-Control dla zalogowanego redaktora. Na produkcji ten sam zestaw poszedłby w niedzielę wieczorem. Materiał wyszedłby przed embargiem, paywall zniknąłby dla botów, a poniedziałkowy ruch z newslettera trafiłby w 404 po panicznym cofnięciu wpisu.

środowisko testowe zatrzymał promocję. Cofnięcie zmian na kopii testowej pokazało, że wtyczka SEO nie była winna: motyw pobierał szkic po kluczu bez sprawdzania statusu. Motyw dostał poprawkę, checklista publikacji (szkic, future, paywall, purge, newsletterowy URL, Impressum w stopce) przeszła, dopiero potem produkcja. Nie ma tu nazwy tytułu, bo to kształt zdarzenia, nie case study z logotypem. Jest mechanizm: najpierw kopia, potem produkcja. Bez kopii zostałaby analiza po fakcie i rozmowa z prawnikiem o wycieku.

Ten sam kształt wraca przy wtyczkach etykiet Hermes i DHL, przy checkoucie B2B, który po aktualizacji Germanized gubi stawkę MwSt, i przy „drobnej” aktualizacji SEO, która nadpisuje robots i wycina panel partnera z indeksu wewnętrznego wyszukiwania. Hamburg nie wybacza tego ciszej niż inny rynek. Wygląda to gorzej, bo obok siedzi ktoś, kto pyta o NIS2, o embargo albo o slot na terminalu.

#Meetup w Werkheim i praktyka, której nie widać w panelu hostingu

Hamburg WordPress Meetup spotyka się w Werkheim przy Planckstraße 13. W 2026 roku w programie były między innymi bezpieczeństwo WordPressa na 2026 (28 kwietnia), wtyczki eventowe, bloki wyłącznie w PHP oraz WordPress 7.1 z warsztatem serwisowym (28 lipca). To nie jest kanał sprzedaży. Tam widać, jak lokalni opiekunowie stron robią aktualizacje i jak rozmawiają o uprawnieniach i hostingu. Opieka, która nigdy nie wychodzi poza ticket, gubi ten kontekst: w Hamburgu część zespołów i tak siedzi po stronie wydawców albo logistyki i usłyszy te same pytania na SPACE w Speicherstadt.

WP-CLI w utrzymaniu nie jest ozdobą meetupową. To narzędzie, dzięki któremu aktualizację, porównanie wtyczek i eksport listy użytkowników robię powtarzalnie, z logiem, bez klikania w wp-admin na produkcji. Po sesji o bezpieczeństwie na meetupie argument „zrobimy to ręcznie w panelu” brzmi jeszcze gorzej.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Spis wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopię w ogóle da się odtworzyć, gdzie stoi serwer, kto ma dostęp do SFTP i wp-admin, czy zostały konta po agencji, której już nie ma. Baseline Lighthouse na stronie głównej i na najważniejszym formularzu, checkoucie albo szablonie artykułu. Lista ryzyk według priorytetu: najpierw to, co psuje odtwarzanie kopii i bezpieczeństwo, potem to, co psuje konwersję albo publikację.

Pierwszą rundę aktualizacji na stagingu robię od razu na starcie współpracy. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis logistyczny albo wydawniczy w Hamburgu bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza DE, brak 2FA u redakcji, DATEV nadal na ręcznym PDF, cache bez reguły dla future). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczynam od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Confluence, checkout z trzema wtyczkami podatkowymi naraz, Redis, który trzyma szkice. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress w Hamburgu. Sklep, checkout, SEPA, Hermes, DHL i podatki: programista WooCommerce w Hamburgu. Opieka nie udaje, że jest projektem wdrożeniowym. Jeśli w trakcie opieki okaże się, że motyw trzeba napisać od nowa, wyceniam to osobno, na piśmie. Ogólne strony usług: programista WordPress i programista WooCommerce.

#Wydajność przy treściach ciężkich i użytkownikach z Północy

Origin w Niemczech nie naprawi ciężkiego motywu. HTTP/3, Brotli, AVIF, cache, który nie trzyma prywatnego koszyka ani nieopublikowanego artykułu, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzę na realnych URL-ach, nie na pustej instalacji. INP psuje się od skryptów czatu, od playera wideo i od tag managera, który marketing dodał poza ticketingiem. Opieka, która nie widzi GTM, będzie bez końca „optymalizować obrazki”.

Dla serwisu B2B albo redakcyjnego w Hamburgu liczy się czas do pierwszego bajtu z sieci w północnych Niemczech, nie tylko z telefonu na tarasie. Monitoring z jednego regionu USA kłamie. Punkt pomiaru w DE albo przynajmniej w UE jest częścią kontraktu operatorskiego, nie dodatkiem. Strona z galerią z HafenCity i z PDF-ami cennika frachtu umiera na LCP od nieoszczędnych JPEG-ów szybciej niż od „słabego hostingu”.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów. Test odtworzenia kopii, bo dopóki nikt jej nie odtworzył, nie wiadomo, czy działa. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia.

To nie jest certyfikat ISO sprzedawany z abonamentem. Tę listę da się odhaczyć przy audycie na starcie opieki i wracać do niej co kwartał. Klient z HafenCity, z nextMedia albo z łańcucha Otto i tak przyniesie własną checklistę. Lepiej mieć swoją wcześniej.

#Jak zaczynam, bez zaliczek w procentach na stronie

Zakres i cenę ustalam indywidualnie i wpisuję do umowy przed startem. Na tej stronie nie znajdziesz podziału płatności na raty procentowe ani tabeli pakietów. Wystarczy krótki opis serwisu, stacku, hostingu i informacja, czy masz środowisko testowe, żebym mógł zaproponować audyt na start.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, oraz informacja, czy serwis musi zostać w Niemczech. Na tej podstawie robię plan: co naprawiam, zanim zacznę comiesięczną opiekę, a co zostaje na kolejne miesiące.

Opieka w Hamburgu ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracam do developmentu. Gdy trzeba go utrzymać przy porcie, redakcji, checkoucie DACH i GoBD, zostaję przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, procesy podatkowe po stronie klienta.