Opieka techniczna WordPress w Hamburgu

Polski zespół, który utrzymuje WordPressa dla firmy w Hamburgu, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi obok portu, magazynów Otto Group i redakcji, na rynku, gdzie awaria publikacji albo zniknięcie logów po ataku to temat na rozmowę z compliance i z operacjami, a nie tylko z marketingiem. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, hamburski kontekst portowy, wydawniczy i logistyczny, bez cennika i bez obietnic dostępności w procentach.

Szerszy opis produktu opieki, niezależny od miasta, jest na stronie opieki technicznej WordPress. Tu schodzimy do Hamburga: port i HHLA, media i wydawnictwa, Otto Group i fulfilment, HafenCity, GoBD, MwSt, DATEV, pytanie o hosting północnoniemiecki oraz dziennik incydentów, który da się pokazać przy audycie.

#Co oznacza opieka WordPress przy serwisie portowym, logistycznym albo wydawniczym

Opieka to nie „włącz auto-update i miej nadzieję”. Dla serwisu spedycyjnego, portalu partnerskiego przy terminalu, sklepu DACH albo tytułu z redakcją w Hamburgu utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie audytora. Reszta - drobne zmiany w motywie, nowy formularz, poprawka Core Web Vitals - wisi na tym fundamencie. Bez niego kolejna wtyczka tylko powiększa powierzchnię ataku.

Serwis w tym mieście często zbiera dane, których nie wolno traktować jak treści bloga. Status przesyłki, okno slotu na terminalu, panel dostawcy, kalkulator frachtu, paywall, embargo redakcyjne, logowanie do strefy klienta: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą partner, redaktor albo kupujący naprawdę klika.

#Aktualizacje wyłącznie przez środowisko testowe

Rdzeń WordPress, wtyczki i motyw idą najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, i te same wtyczki płatności albo publikacji w trybie sandbox. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego checkoutu w piątek po południu, kiedy w Hamburgu kończy się tydzień magazynowy, albo do wycieku artykułu przed embargiem, kiedy cache serwuje treść, która miała czekać do poniedziałku.

Po wgraniu łatek na kopii testowej idzie checklista, nie wyczucie. Logowanie wp-admin, zapis strony, formularz kontaktowy, koszyk i płatność jeśli jest WooCommerce, cron, poczta wychodząca, webhooki, purge cache po publikacji. Dopiero po tym produkcja. Ścieżka wycofania jest zapisana zanim ktokolwiek naciśnie deploy: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, to nie ma rollbacku, tylko improwizacja.

#Kopie operacyjne to nie archiwum GoBD

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. GoBD, czyli Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, dotyczy czego innego: ksiąg, dowodów księgowych i możliwości wglądu skarbówki. Kopia w panelu hostingu nie spełnia GoBD sama z siebie. Brakuje niezmienności, kompletności, maszynowej czytelności i dokumentacji procedury.

W praktyce utrzymania rozdzielamy trzy warstwy. Pierwsza: kopia operacyjna strony i bazy, z retencją zapisaną w runbooku, testem odtworzenia, nie tylko „backup job zielony”. Druga: logi zmian i incydentów, które pokazują kto, kiedy i co wgrał. Trzecia: archiwum podatkowe u klienta, zwykle w DATEV albo w DMS kancelarii. Wrzucenie wszystkiego do jednego katalogu FTP kończy się tym, że po dwóch latach przygotowanie danych dla kancelarii to osobne zlecenie.

#WAF, monitoring i dziennik pod audyt

WAF (mod_security, Cloudflare WAF albo reguły u hostera) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików łapie to, co WAF przepuścił albo co weszło skradzionym hasłem. Dwuskładnikowe logowanie do wp-admin i ograniczenie liczby kont z uprawnieniem administratora są tańsze niż forensics po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla operatora portowego, firmy logistycznej albo wydawcy pod niemieckie wdrożenie NIS2 ten plik jest surowcem do zgłoszenia. Agencja WordPress nie składa raportu do BSI ani do Hamburger Beauftragte für Datenschutz za klienta. Dostarcza oś czasu, której klient nie musi rekonstruować z pamięci.

#Hamburg jako kontekst, nie jako ozdobnik w tytule

Hamburg jest drugim co do wielkości miastem Niemiec i największym portem kraju. To nie jest węzeł finansowy nad Menem i nie jest kalendarz targowy nad Renem. Tu liczy się łańcuch dostaw, redakcja i handel wysyłkowy. Hamburger Hafen und Logistik AG (HHLA) w pierwszym półroczu 2026 roku obsłużyła w hamburskich terminalach 2 786 tys. TEU, o 7,3 procent mniej niż rok wcześniej; w całym segmencie kontenerowym grupy było 2 959 tys. TEU (spadek o 6,7 procent). Przychód segmentu utrzymał się blisko 426,6 mln euro, bo dłuższy dwell time wygenerował opłaty składowe. Dla utrzymania WordPressa wynika z tego prosta rzecz: serwis „firmowy” dostawcy, spedytora albo operatora fulfilmentu żyje w roku, w którym wolumen na nabrzeżu się waha, a modernizacja terminali trwa. Awaria panelu partnera albo statusu przesyłki boli w operacjach, nie w „UX”.

Port Hamburg jest największym portem kolejowym Europy. W 2025 roku około 2,6 mln TEU poszło w głąb lądu szyną, w większości przez terminale HHLA. Container Terminal Altenwerder (CTA) w 2026 roku dostał sieć kampusową 5G (projekt PROCON-5G z Deutsche Telekom i Ericsson; od końca maja 2026 ponad kilometr kwadratowy niezależny od publicznej sieci komórkowej), zdalnie sterowane suwnice kolejowe Künz oraz dwudziestkę elektrycznych ciągników bateryjnych z pełną infrastrukturą ładowania. Piąta suwnica kolejowa weszła w drugim kwartale 2026; pierwsza partia suwnic dwuwózkowych przeszła do eksploatacji w kwietniu. Na Container Terminal Burchardkai (CTB) wchodzą AGV. Na Container Terminal Tollerort (CTT) podwojono zdolność przeładunku komponentów lotniczych Airbusa. Żadna z tych inwestycji nie jest case study WPPoland. Jest mapą rynku: wokół CTA, CTB i CTT siedzą średnie firmy, których WordPress trzyma kariery, dokumentację partnerską i często sklep B2B. Łatka, która w piątek wyłącza webhook statusu, zostawia magazyn z ręcznym klejeniem numerów.

Druga oś to handel wysyłkowy. Otto Group ma siedzibę w Hamburgu. W roku obrotowym 2025/26 grupa pokazała 13,8 mld euro przychodu, 34 831 pracowników i EBIT 641 mln euro, przy prezesurze Petri Scharner-Wolff. Hermes Germany jest od 1 stycznia 2026 w pełni konsolidowany; sieć to ponad 16 500 punktów odbioru. Hermes Fulfilment trzyma magazyny w Niemczech, Polsce, Czechach, Włoszech i Szwajcarii. Grupa ogłosiła średnioterminowe 350 mln euro na IT, technologię i AI; warstwa Robotic Coordination Layer (Otto Group One.O, NVIDIA Omniverse) startuje pilotażem w Löhne. Znowu: to nie jest referencja agencji. To jest grawitacja, w której polski zespół utrzymuje satelickie serwisy marek, landingi, portale dostawców i sklepy DACH, które muszą przeżyć aktualizację wtyczki etykiet Hermes albo DHL w tym samym tygodniu, w którym magazyn i tak goni slot.

Trzecia oś to media. NDR ma siedzibę w Hamburgu (NDR Media, Rothenbaumchaussee 159). Tagesschau powstaje tu. Spiegel, Die Zeit, Bauer Media Group, Carlsen, reszta produkcji Gruner + Jahr po fuzji z RTL - to nadal gęsty klaster, nawet jeśli część decyzji strategicznych G+J poszła do Kolonii. nextMedia.Hamburg prowadzi SPACE w Speicherstadt. OMR zbiera branżę marketingu w halach wystawowych. Serwis wydawniczy na WordPressie ma inny profil awarii niż sklep: cache obiektowy serwujący treść przed embargiem, paywall, który po patchu wpuszcza wszystkich, Impressum i TMG, które znikają z stopki po zmianie motywu, skok ruchu po paśmie. Opieka, która testuje tylko stronę główną, tego nie widzi.

HafenCity dokłada adres, nie ozdobnik. Dzielnica ma 157 ha dawnego portu, około 8 tys. mieszkańców dziś i plan około 16 tys., Elbphilharmonie, uczelnię HCU i biura od Greenpeace przez Marquard & Bahls, Engel & Völkers, Unilever i Olympus po średnie linie żeglugowe. Firmy z HafenCity w 2026 roku siedzą w trzech nakładających się ramach: RODO, NIS2 i - przy działalności portowej - ISPS. Hybryda (produktywność w chmurze, kopie lokalne, immutable backup) jest tam częstsza niż „wszystko na najtańszym VPS”. Utrzymanie WordPressa, które nie umie powiedzieć, w której jurysdykcji leży origin i kopia, odpada na pierwszym callu z bezpieczeństwem.

#Operacje specyficzne dla Niemiec i Północy

Polski zespół zna WordPressa. Hamburski klient pyta o coś innego: gdzie leżą dane, czy serwer jest „w Hamburgu albo przynajmniej w Niemczech”, jak długo trzymamy logi, kto wystawia fakturę z podatkiem, kto wpuszcza pliki do DATEV. Te pytania trzeba umieć obsłużyć procesem, nie sloganem o „zgodności z RODO”.

#GoBD i retencja logów, które da się pokazać

GoBD nie czyni z WordPressa programu księgowego. Wyznacza, jak elektroniczne dowody i zapisy mają dać się odtworzyć. Księgi i sprawozdania nadal kręcą się wokół dekady przechowywania (AO par. 147, HGB par. 257). Dla dowodów księgowych Vierte Bürokratieentlastungsgesetz skróciło okres do ośmiu lat; dla instytucji kredytowych to skrócenie weszło od 1 stycznia 2026. Listy handlowe bez statusu dowodu: sześć lat. WordPressowy debug.log rotowany co tydzień tego nie pokrywa.

Nowelizacja GoBD z 11 marca 2024 jasno dopuszcza chmurę, o ile da się wykazać integralność, dostępność i umowę z operatorem. To nie zwalnia z Verfahrensdokumentation. W opiece ustalamy, które zdarzenia są podatkowe albo audytowe, a które są śmieciem diagnostycznym. Zmiana wtyczki płatności, zmiana stawki podatku w sklepie, eksport zamówień, zmiana danych fakturowych, publikacja cennika B2B: to idzie do dziennika z datą i operatorem. Wpisy PHP Notice z motywu: nie. Klient dostaje opis procedury do swojej dokumentacji. Nie dostaje obietnicy, że kopia wtyczki UpdraftPlus jest archiwum skarbowym.

#Hosting, rezydencja i pytanie o Północ

Dane osobowe pod RODO/GDPR i dane podatkowe pod GoBD ciągną pytanie: w której jurysdykcji stoi serwer. Hetzner trzyma własne centra w Falkenstein (Saksonia) i Norymberdze (Bawaria); tam obowiązuje prawo niemieckie i dostęp na podstawie niemieckiego nakazu. Helsinki to Unia, ale już nie Niemcy. Ashburn albo Hillsboro to Stany. Dla wielu hamburskich compliance officerów to nie niuans, tylko veto.

Pytanie „czy hosting jest w Hamburgu” wraca częściej niż we Frankfurcie, bo tu origin ma służyć użytkownikom z Szlezwiku-Holsztynu, Dolnej Saksonii i samego miasta, a nie peerom przy DE-CIX. Odpowiedź operacyjna jest dwuczęściowa. Jurysdykcja: Niemcy albo przynajmniej UE, kopia nie wyjeżdża nocą na bucket w regionie US. Latencja: origin w DE plus CDN z terminałem TLS w UE zwykle wystarcza; DC w samym Hamburgu jest plusem, nie wymogiem prawnym. Falkenstein nadal jest Niemcami. VPS za oceanem nadal odpada.

Rozmowa o hostingu w onboardingu jest więc merytoryczna, nie wizerunkowa. Czy produkcja jest w DE? Czy kopia wyjeżdża? Czy CDN kończy TLS w UE? Czy obiekt cache nie trzyma prywatnego koszyka ani nieopublikowanego artykułu? Utrzymanie, które „wrzuca wszystko na najtańszy VPS”, nie przechodzi rozmowy z firmą z HafenCity ani z kancelarią, która i tak trzyma DATEV na certyfikowanym hoście.

#Faktury MwSt jako proces, bez kwot

Ta strona nie publikuje cen WPPoland. Opisuje, jak faktura z podatkiem niemieckim ma wyglądać jako obieg, nie jako cennik. Faktura MwSt potrzebuje kompletnych danych: nazwa i adres, USt-IdNr albo Steuernummer, opis świadczenia, data, stawka, kwota podatku albo adnotacja o odwrotnym obciążeniu przy B2B wewnątrzunijnym, numer faktury w nieprzerwanym ciągu. Sklep albo strona usługowa, która po aktualizacji wtyczki fakturującej gubi NIP albo stawkę, produkuje dokumenty, których księgowość nie przyjmie.

W utrzymaniu pilnujemy, żeby wtyczka faktur, pole podatkowe i PDF nie rozjechały się po patchu. Nie wystawiamy deklaracji podatkowej za klienta. Nie podajemy stawek jako oferty agencji. Pilnujemy, żeby proces, który klient uzgodnił ze Steuerberaterem, nadal działał po cyklu aktualizacji.

#DATEV zostaje po stronie klienta

DATEV to ekosystem kancelarii, nie panel WordPressa. Eksport CSV, XML albo PDF plus metadane może wychodzić ze sklepu albo z CRM podpiętego pod WP. Import, księgowanie i archiwum robi kancelaria w DATEV Unternehmen online albo w swoim DMS. Granica jest twarda i zapisana w runbooku: agencja dostarcza kompletny, powtarzalny eksport; klient i doradca wpuszczają go do DATEV. Przejęcie „my wam zaksięgujemy w DATEV” nie wchodzi w zakres opieki WordPress.

Gdy eksport psuje się po aktualizacji wtyczki zamówień, to jest incydent utrzymaniowy. Gdy kancelaria zmienia mapowanie kont, to jest zmiana po stronie klienta. Mieszanie obu ról kończy się mailami, w których nikt nie wie, kto ma poprawić stawkę.

#Hermes, DHL i checkout, którego nie wolno łatać w ciemno

Sklep DACH zbiera polecenie SEPA, kartę, czasem płatność odroczoną. Webhooki bramki i status zamówienia muszą przeżyć aktualizację WooCommerce. W Hamburgu do DHL dochodzi Hermes - sieć Otto Group, nie ciekawostka z ulotki. Aktualizacja wtyczki etykiet, która na produkcji nadpisze mapowanie usług, zostawia magazyn z ręcznym klejeniem numerów. Dlatego te wtyczki nigdy nie idą w tym samym oknie co „drobna aktualizacja SEO”.

Polski runbook checkoutu nie przenosi się do DACH jeden do jednego. W Hamburgu obowiązują SEPA, DHL i Hermes, inne dowody księgowe i inny mix przewoźników niż na rynku krajowym. Opieka skopiowana z instalacji w Polsce wywala się na pierwszej fakturze z 19 procent MwSt i na etykiecie, której kurier w punkcie odbioru nie skanuje.

#RODO i NIS2: kto komu raportuje

RODO (GDPR) zostaje ramą danych osobowych: umowa powierzenia, minimalizacja, zgody, 72 godziny na zgłoszenie naruszenia do organu. Niemieckie wdrożenie NIS2 (NIS2UmsuCG, BSIG po nowelizacji z grudnia 2025) dodało rejestrację u BSI; dla podmiotów już w zakresie okno rejestracji liczone od wejścia ustawy zamykało się 6 marca 2026. Operatorzy portowi i część logistyki wchodzą w ten zakres łatwiej niż typowy wydawca. ISPS dotyczy nabrzeża i strefy portowej, nie wp-admin - ale firma z HafenCity i tak usłyszy oba skróty na jednym callu.

Z tego dla WordPressa wynika skromny, konkretny obowiązek. Utrzymanie dostarcza logi, oś czasu i opis zmian. Klient klasyfikuje, czy zdarzenie jest incydentem nadzorczym. Nikt po stronie agencji nie podpisuje się pod „jesteście NIS2-compliant, bo macie WAF”. To byłoby kłamstwo opakowane w produkt. DORA i BaFin zostają przy rynku finansowym nad Menem; tu pierwsza rozmowa idzie o BSI, o Hamburger Beauftragte für Datenschutz i o to, czy kopia w ogóle jest w Niemczech.

#Reakcja na incydent bez pustych procentów

Obietnica dostępności zapisana procentem na stronie city to ozdobnik, nie kontrakt. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny plus alert z WAF albo z hosta. Triage: czy to treść, czy płatność, czy wp-admin, czy cała produkcja, czy wyciek przed embargiem. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, rotacja haseł, twardy WAF, purge cache. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i z działaniem, które ma nie powtórzyć się za miesiąc.

Czas pierwszej odpowiedzi zapisujemy w umowie. W dniach roboczych priorytet zwykle zamyka się w oknie godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Ta strona nie sprzedaje uniwersalnego SLA w tabelce. Sprzedaje porządek: widać, kto wszedł, co zmienił, kiedy serwis wrócił.

Jeśli klient musi złożyć zgłoszenie do BSI albo do hamburskiego organu ochrony danych, dziennik z opieki jest załącznikiem. Brak dziennika oznacza, że compliance składa raport ze zrzutów ekranu i ze wspomnień z Slacka.

#Przypadek: aktualizacja cache położyłaby publikację, środowisko testowe to zatrzymał

Serwis wydawniczy na WordPressie, redakcja w Hamburgu, paywall, embargo na materiał zaplanowany na poniedziałek 6:00. W kolejce do produkcji leżała aktualizacja wtyczki cache obiektowego plus patch SEO, „drobny, na żywo, bo to tylko object cache”.

Na środowisku testowym, sklonowanym z produkcji razem z Redisem i z kolejką zaplanowanych postów, publikacja o 6:00 serwowała treść z czwartkowego szkicu. Przyczyna: zmiana klucza cache po patchu, stary fragment w motywie wołał get_post bez sprawdzenia statusu future, CDN trzymał HTML bez Cache-Control dla zalogowanego redaktora. Na produkcji ten sam zestaw poszedłby w niedzielę wieczorem. Materiał wyszedłby przed embargiem, paywall zniknąłby dla botów, a poniedziałkowy ruch z newslettera trafiłby w 404 po panicznym cofnięciu wpisu.

środowisko testowe zatrzymał promocję. wycofanie zmian na kopii testowej potwierdził, że sama wtyczka SEO jest niewinna, gdy motyw nie woła szkicu po kluczu bez statusu. Motyw dostał poprawkę, checklista publikacji (szkic, future, paywall, purge, newsletterowy URL, Impressum w stopce) przeszła, dopiero potem produkcja. Nie ma tu nazwy tytułu, bo to kształt zdarzenia, nie case study z logotypem. Jest mechanizm: najpierw kopia, potem produkcja. Bez kopii zostałby post-mortem i rozmowa z prawnikiem o wycieku.

Ten sam kształt wraca przy wtyczkach etykiet Hermes i DHL, przy checkoucie B2B, który po aktualizacji Germanized gubi stawkę MwSt, i przy „drobnej” aktualizacji SEO, która nadpisuje robots i wycina panel partnera z indeksu wewnętrznego wyszukiwania. Hamburg nie wybacza tego ciszej niż inny rynek. Wygląda to gorzej, bo obok siedzi ktoś, kto pyta o NIS2, o embargo albo o slot na terminalu.

#Meetup w Werkheim i praktyka, której nie widać w panelu hostingu

Hamburg WordPress Meetup spotyka się w Werkheim przy Planckstraße 13. W 2026 roku w programie były między innymi bezpieczeństwo WordPressa na 2026 (28 kwietnia), wtyczki eventowe, bloki wyłącznie w PHP oraz WordPress 7.1 z warsztatem serwisowym (28 lipca). To nie jest kanał sprzedaży. To jest miejsce, w którym widać, jak lokalni maintainerzy aktualizują, jak rozmawiają o uprawnieniach i o hoście. Opieka, która nigdy nie wychodzi poza ticket, gubi ten kontekst: w Hamburgu część zespołów i tak siedzi po stronie wydawców albo logistyki i usłyszy te same pytania na SPACE w Speicherstadt.

WP-CLI w utrzymaniu nie jest ozdobą meetupową. To sposób, żeby aktualizację, różnicę wtyczek i eksport listy użytkowników zrobić powtarzalnie, z logiem, bez klików wp-admin na produkcji. Po sesji o bezpieczeństwie na meetupie argument „zrobimy to ręcznie w panelu” brzmi jeszcze gorzej.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Inwentaryzacja wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopia w ogóle się odtwarza, gdzie stoi serwer, kto ma dostęp SFTP i do wp-admin, czy są konta-widma po agencji, która zniknęła. Baseline Lighthouse na stronie głównej i na najważniejszym formularzu, checkoucie albo szablonie artykułu. Lista ryzyk z priorytetem: najpierw to, co psuje odtworzenie i bezpieczeństwo, potem to, co psuje konwersję albo publikację.

Pierwszy cykl aktualizacji na stagingu jest częścią onboardingu, nie „bonusem w miesiącu drugim”. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis logistyczny albo wydawniczy w Hamburgu bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza DE, brak 2FA u redakcji, DATEV nadal na ręcznym PDF, cache bez reguły dla future). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczyna się od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Confluence, checkout z trzema wtyczkami podatkowymi naraz, Redis, który trzyma szkice. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress w Hamburgu. Sklep, checkout, SEPA, Hermes, DHL i podatki: programista WooCommerce w Hamburgu. Opieka nie udaje, że jest projektem wdrożeniowym. Gdy w utrzymaniu wychodzi, że motyw trzeba napisać od nowa, to idzie jako osobne zlecenie, na piśmie. Filary niezależne od miasta: programista WordPress i programista WooCommerce.

#Wydajność przy treściach ciężkich i użytkownikach z Północy

Origin w Niemczech nie naprawi ciężkiego motywu. HTTP/3, Brotli, AVIF, cache, który nie trzyma prywatnego koszyka ani nieopublikowanego artykułu, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzymy na realnych URL-ach, nie na pustej instalacji. INP psuje się od skryptów czatu, od playera wideo i od tag managera, który marketing dodał poza ticketingiem. Opieka, która nie widzi GTM, będzie gonić „optymalizację obrazków” w nieskończoność.

Dla serwisu B2B albo redakcyjnego w Hamburgu liczy się czas do pierwszego bajtu z sieci w północnych Niemczech, nie tylko z telefonu na tarasie. Monitoring z jednego regionu USA kłamie. Punkt pomiaru w DE albo przynajmniej w UE jest częścią kontraktu operatorskiego, nie dodatkiem. Strona z galerią z HafenCity i z PDF-ami cennika frachtu umiera na LCP od nieoszczędnych JPEG-ów szybciej niż od „słabego hostingu”.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów. Test odtworzenia kopii, bo kopia, której nikt nie odtwarzał, jest plikiem. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia.

To nie jest certyfikat ISO sprzedawany z abonamentem. To jest lista, którą da się odhaczyć przy onboardingowym audycie i wrócić do niej co kwartał. Klient z HafenCity, z nextMedia albo z łańcucha Otto i tak przyniesie własną checklistę. Lepiej mieć swoją wcześniej.

#Jak zaczynamy, bez zaliczek w procentach na stronie

Zakres, godziny reakcji i cena są indywidualne i lądują w umowie przed startem. Na tej stronie nie ma podziału płatności na transze procentowe i nie ma tabeli pakietów. Krótki opis serwisu, stacku, hostingu i tego, czy jest środowisko testowe, wystarczy, żeby zaproponować audyt onboardingu.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, oraz informacja, czy serwis musi zostać w Niemczech. Z tego powstaje plan: co naprawiamy zanim w ogóle wejdziemy w miesięczny rytm, a co zostaje w kadencji.

Opieka w Hamburgu ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracamy do developmentu. Gdy trzeba go utrzymać przy porcie, redakcji, checkoucie DACH i GoBD, zostajemy przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, procesy podatkowe po stronie klienta.