Opieka techniczna WordPress w Maladze

Polski zespół, który utrzymuje WordPressa dla firmy w Maladze, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi obok biura wynajmu wakacyjnego w Torremolinos, platformy rezerwacji wycieczek po Costa del Sol, landingów coworkingu dla cyfrowych nomadów przy Málaga TechPark, sklepu WooCommerce z wysyłką po Andaluzji oraz wielojęzycznych katalogów apartamentów z integracją iCal i channel managerem, na rynku, gdzie martwy formularz rezerwacji w lipcu albo regresja kalendarza dostępności w tygodniu Feria de Málaga to temat na rozmowę z prawnikiem i z dyrektorem operacyjnym, a nie tylko z marketingiem. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, malagański kontekst turystyczny i tech, bez cennika i bez obietnic dostępności w procentach.

Szerszy opis produktu opieki, niezależny od miasta, jest na stronie opieki technicznej WordPress. Tu schodzimy do Malagi: Costa del Sol, Málaga TechPark, Feria de Málaga, RODO z hiszpańską AEPD, pytanie o hosting w UE oraz dziennik incydentów, który da się pokazać przy audycie. Sklep WooCommerce z checkoutem pod rynek hiszpański to osobna ścieżka: programista WooCommerce w Maladze. Budowa od zera albo przebudowa motywu idzie do programisty WordPress w Maladze. Filary niezależne od miasta: programista WordPress i programista WooCommerce.

#Co oznacza opieka WordPress przy serwisie turystycznym, wynajmie wakacyjnym albo tech

Opieka to nie „włącz auto-update i miej nadzieję”. Dla biura wynajmu w Benalmádena, operatora wycieczek z Marbelli, platformy nomadów z Soho Malaga albo SaaS z Polo Digital utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie audytora AEPD. Reszta - drobna zmiana w motywie, nowy landing pod rynek niemiecki, poprawka Core Web Vitals na stronie z mapą apartamentów - wisi na tym fundamencie. Bez niego kolejna wtyczka bookingowa tylko powiększa powierzchnię ataku.

Serwis w Maladze często zbiera dane, których nie wolno traktować jak treści bloga. Formularz rezerwacji z numerem paszportu albo NIE, kalkulator depozytu za apartament, panel właściciela z danymi gości, paywall katalogu wycieczek, logowanie do strefy partnera hotelowego: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą turysta, właściciel apartamentu albo nomad naprawdę klika.

#Aktualizacje wyłącznie przez środowisko testowe

Rdzeń WordPress, wtyczki i motyw idą najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, te same wtyczki rezerwacji, channel managera albo WPML w trybie sandbox. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego kalendarza dostępności w piątek przed weekendem Feria albo do formularza zapytania, który przestaje zbierać leady w szczycie sezonu Costa del Sol.

Po wgraniu łatek na kopii testowej idzie checklista, nie wyczucie. Logowanie wp-admin, zapis strony, formularz kontaktowy, kalendarz rezerwacji, synchronizacja iCal, koszyk i płatność jeśli jest WooCommerce, cron, poczta wychodząca, webhooki CRM, purge cache po publikacji nowej oferty sezonowej. Dopiero po tym produkcja. Ścieżka wycofania jest zapisana zanim ktokolwiek naciśnie deploy: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, to nie ma rollbacku, tylko improwizacja.

#Kopie operacyjne to nie archiwum compliance

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. Archiwum compliance dotyczy czego innego: rejestrów przetwarzania, dowodów audytowych i możliwości wglądu organu nadzorczego. Kopia w panelu hostingu nie spełnia wymogów archiwum sama z siebie. Brakuje niezmienności, kompletności i dokumentacji procedury.

W praktyce utrzymania rozdzielamy trzy warstwy. Pierwsza: kopia operacyjna strony i bazy, z retencją zapisaną w runbooku, testem odtworzenia, nie tylko „backup job zielony”. Druga: logi zmian i incydentów, które pokazują kto, kiedy i co wgrał. Trzecia: archiwum compliance u klienta, zwykle w DMS albo u doradcy prawnego w Maladze albo w Madrycie. Wspólny katalog FTP dla trzech warstw powoduje, że po dwóch latach każda kopia wygląda tak samo ważnie i tak samo bezużytecznie.

#WAF, monitoring i dziennik pod audyt

WAF (mod_security, Cloudflare WAF albo reguły u hostera) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików łapie to, co WAF przepuścił albo co weszło skradzionym hasłem. Dwuskładnikowe logowanie do wp-admin i ograniczenie liczby kont z uprawnieniem administratora są tańsze niż forensics po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla właściciela biura wynajmu w Nerja, operatora wycieczek z centrum Malagi albo startupu z TechPark ten plik jest surowcem do zgłoszenia. Agencja WordPress nie składa raportu do AEPD za klienta. Dostarcza oś czasu, której klient nie musi rekonstruować z pamięci.

#Malaga jako kontekst, nie jako ozdobnik w tytule

Malaga to brama Costa del Sol, miasto z lotniskiem AGP obsługującym dziesiątki milionów pasażerów rocznie, hubem cyfrowych nomadów i rosnącym ekosystemem tech wokół Málaga TechPark oraz Polo Digital. To nie jest Madryt korporacyjny ani Barcelona eventowa. Tu serwis WordPress często obsługuje rezerwacje apartamentów, katalogi wycieczek, landingi coworkingu, strony employer branding dla firm tech i treści wielojęzyczne ES/EN/DE/NO dla turystów ze Skandynawii i z Niemiec, które muszą przeżyć aktualizację w tym samym tygodniu, w którym prawnik i tak pyta o hosting w UE i o política de privacidad pod AEPD.

#Costa del Sol i sezon turystyczny

Od czerwca do września ruch na stronach wynajmu, biur podróży i operatorów wycieczek na Costa del Sol rośnie wielokrotnie. Marbella, Torremolinos, Benalmádena, Fuengirola i Nerja to nie abstrakcyjne nazwy w stopce - to osobne landingi, osobne kalendarze dostępności i osobne formularze leadów, które muszą działać jednocześnie. Awaria po aktualizacji wtyczki cache albo regresja w WPML boli w lipcu, kiedy każda godzina przestoju to rezerwacja, która poszła do konkurencji.

Runbook opieki dla klientów Maladze ma wpisane zamrożenie wdrożeń produkcyjnych na szczyt sezonu Costa del Sol, zwykle od połowy czerwca do połowy września, z wyjątkiem łatek krytycznych bezpieczeństwa przechodzących przez środowisko testowe i okno nocne. Aktualizacje planowe idą w październiku albo w marcu, kiedy ruch spada, a zespół redakcyjny ma czas na testy. Kto robi „drobny patch bookingowy” w sobotę lipca, uczy się tego na własnej skórze, kiedy kalendarz pokazuje wolne terminy, które już dawno zostały sprzedane.

#Málaga TechPark, Polo Digital i cyfrowi nomadzi

Málaga TechPark i Polo Digital to centra, w których WordPress trzyma landingi produktowe, formularze demo, blogi techniczne i strony employer branding dla firm, które zamknęły rundę seed albo rekrutują zdalnie. Obok siedzi Soho Malaga i sieć coworkingów obsługujących nomadów z wizą cyfrową. Awaria po aktualizacji wtyczki formularza albo regresja w tłumaczeniach ES/EN boli w tygodniu demo day albo przed kampanią rekrutacyjną, nie w styczniu.

Dla utrzymania wynika z tego prosta rzecz: aktualizacja wtyczki cache, integracji z HubSpot albo WPML musi przejść checklistę, która obejmuje formularz demo z polami NIF i panel partnera z mapą lokalizacji na Costa del Sol. środowisko testowe z tym samym stosem PHP i tymi samymi wtyczkami w sandbox to minimum, nie luksus. Founder z biura w TechPark nie akceptuje argumentu „strona główna działa”, kiedy formularz rejestracji zwraca 500 po aktualizacji wtyczki sesji.

#Feria de Málaga i lokalne okna kampanii

Feria de Málaga, w połowie sierpnia, to tydzień, w którym lokalne firmy turystyczne, restauracje i operatorzy wydarzeń patrzą na landingi promocyjne, formularze rezerwacji stolików i integracje z systemami biletowymi. Awaria strony w środku ferii to nie „bug do backlogu”. To utracone rezerwacje i reputacja u partnerów, którzy mają pełny kalendarz na cały sierpień.

Runbook ma osobny wpis freeze na okno Feria de Málaga, zwykle tydzień przed i tydzień po oficjalnym rozpoczęciu. Aktualizacje krytyczne bezpieczeństwa przechodzą przez środowisko testowe i okno nocne, reszta czeka. To decyzja operacyjna uzgodniona z klientem przed sezonem, nie preferencja developera.

#Operacje specyficzne dla Hiszpanii i UE

Polski zespół zna WordPressa. Hiszpański klient pyta o coś innego: gdzie leżą dane, czy serwer jest „w Unii Europejskiej”, jak długo trzymamy logi, kto jest administratorem danych, czy mamy Data Processing Agreement. Te pytania trzeba umieć obsłużyć procesem, nie sloganem o „zgodności z RODO”.

#RODO i hiszpańska AEPD

Hiszpania stosuje RODO (GDPR) oraz krajową ustawę organiczną o ochronie danych osobowych i gwarantowaniu praw cyfrowych (LOPDGDD). Organ nadzorczy to Agencia Española de Protección de Datos (AEPD). Dla WordPressa w Maladze wynika z tego konkretny zakres utrzymania: lista podprocesorów (host, CDN, poczta, analityka), umowa powierzenia tam, gdzie agencja przetwarza dane, procedura naruszenia w 72 godziny, minimalizacja danych w formularzach rezerwacji, política de privacidad zgodna z art. 13 RODO.

Utrzymanie nie zastępuje DPO klienta. Dostarcza logi, oś czasu i opis zmian po incydencie. Klient klasyfikuje, czy zdarzenie wymaga zgłoszenia do AEPD. Nikt po stronie agencji nie podpisuje się pod „jesteście zgodni z RODO, bo macie WAF”. To byłoby kłamstwo opakowane w produkt. AEPD publikuje wytyczne i narzędzia audytowe na aepd.es; runbook opieki powinien być z nimi zgodny co do tego, co agencja dokumentuje, a co zostaje po stronie administratora danych.

Przy incydencie z danymi gości apartamentu albo uczestników wycieczki art. 33 RODO daje administratorowi 72 godziny na zgłoszenie do AEPD, o ile naruszenie może wiązać się z ryzykiem dla praw osób. Brak szczegółów nie zwalnia z terminu, ale pozwala na zgłoszenie etapowe. Dlatego dziennik z opieki musi mieć datę pierwszej wiedzy, nie datę „kiedy developer wrócił z urlopu”.

#Hosting w UE

Dane osobowe pod RODO ciągną pytanie: w której jurysdykcji stoi serwer. AWS w Irlandii (eu-west-1), OVH we Francji, Hetzner w Niemczech, Arsys albo Dinahosting w Hiszpanii, Scaleway w Paryżu to różne odpowiedzi dla compliance officer, ale wszystkie mieszczą się w UE. Ashburn albo Hillsboro to Stany i zwykle veto bez Standard Contractual Clauses albo innej podstawy transferu.

Pytanie „czy hosting jest w Maladze” wraca rzadziej niż „czy w UE”. Odpowiedź operacyjna jest dwuczęściowa. Jurysdykcja: UE, kopia nie wyjeżdża nocą na bucket w regionie US bez uzgodnienia. Latencja: origin w Madrycie albo Frankfurt plus CDN z terminałem TLS w UE zwykle wystarcza dla użytkowników na Costa del Sol i w Europie Środkowej. Malaga ma centra danych w aglomeracji, ale origin WordPressa nadal często stoi u dostawcy z regionem madryckim albo frankfurckim. To jawna decyzja rezydencji, którą trzeba opisać w runbooku.

Rozmowa o hostingu w onboardingu jest merytoryczna, nie wizerunkowa. Czy produkcja jest w UE? Czy kopia wyjeżdża? Czy CDN kończy TLS w uzgodnionej strefie? Czy obiekt cache nie trzyma prywatnego koszyka ani nieopublikowanej oferty sezonowej? Utrzymanie, które „wrzuca wszystko na najtańszy VPS w USA”, nie przechodzi rozmowy z prawnikiem biura wynajmu w Benalmádena ani z dyrektorem e-commerce przed szczytem sezonu.

#Cookie banner, LSSI-CE i hiszpańskie oczekiwania

Hiszpański rynek jest wyczulony na cookie i tracking. Ustawa o usługach społeczeństwa informacyjnego (LSSI-CE) i wytyczne AEPD wymagają świadomej zgody przed nieistotnymi plikami cookie. Wtyczki zgody (Complianz, Cookiebot, Iubenda) integrują się z GTM i Meta Pixel. Aktualizacja motywu albo wtyczki cache potrafi wyłączyć blokowanie skryptów do momentu, kiedy AEPD albo klient zauważy, że analityka leci przed zgodą. W opiece kwartalny przegląd bannera i tagów na kluczowych szablonach jest częścią runbooku, nie dodatkiem SEO.

#Redsys, Bizum i checkout turystyczny

Ta strona nie publikuje cen WPPoland. Opisuje, jak checkout ma wyglądać jako obieg, nie jako cennik. Sklep WooCommerce albo wtyczka rezerwacji, która po aktualizacji gubi numer NIE albo stawkę IVA, produkuje dokumenty, których księgowość w Maladze nie przyjmie. W utrzymaniu pilnujemy, żeby wtyczka płatności, pole podatkowe i PDF nie rozjechały się po patchu.

Polski runbook checkoutu nie przenosi się do Hiszpanii jeden do jednego. W Maladze obowiązują EUR, hiszpański IVA, Redsys, Bizum, Stripe i inne bramki niż na rynku krajowym. Operator wycieczek z wysyłką voucherów mailem wymaga osobnej checklisty po każdej aktualizacji wtyczki poczty i PDF. Opieka skopiowana z instalacji w Polsce wywala się na pierwszej fakturze z IVA i na voucherze, który nie trafia do skrzynki gościa.

#Integracje bookingowe, iCal i channel manager

Wynajem wakacyjny na Costa del Sol rzadko kończy się na statycznej stronie. Booking Engine, WP Rentals, HBook albo własna integracja z Airbnb, Booking.com i channel managerem (Lodgify, Guesty, Smoobu) synchronizuje kalendarze przez iCal albo API. Aktualizacja wtyczki cache albo motywu potrafi zatrzymać synchronizację tak, że apartament wygląda na wolny, choć jest zajęty. To incydent operacyjny, nie kosmetyka.

W runbooku jest lista endpointów webhooków, ścieżek iCal i testów po każdej aktualizacji: czy data check-in blokuje termin, czy depozyt liczy się poprawnie, czy mail potwierdzenia wychodzi w trzech wersjach językowych. środowisko testowe musi mieć te same wtyczki bookingowe w trybie sandbox albo na kopi danych zanonimizowanych.

#Reakcja na incydent bez pustych procentów

Obietnica dostępności zapisana procentem na stronie city to ozdobnik, nie kontrakt. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny plus alert z WAF albo z hosta. Triage: czy to treść, czy płatna rezerwacja, czy kalendarz iCal, czy wp-admin, czy cała produkcja, czy wyciek oferty przed Feria. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, rotacja haseł, twardy WAF, purge cache. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i z działaniem, które ma nie powtórzyć się za miesiąc.

Czas pierwszej odpowiedzi zapisujemy w umowie. W dniach roboczych priorytet zwykle zamyka się w oknie godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Przy freeze sezonu Costa del Sol okno bywa szersze niż w zwykłym miesiącu, bo koszt martwego landingu w lipcu jest wyższy niż koszt dyżuru. Ta strona nie sprzedaje uniwersalnego SLA w tabelce. Sprzedaje porządek: widać, kto wszedł, co zmienił, kiedy serwis wrócił.

Jeśli klient musi złożyć zgłoszenie do AEPD albo do wewnętrznego audytu, dziennik z opieki jest załącznikiem. Brak dziennika oznacza, że compliance składa raport ze zrzutów ekranu i ze wspomnień z WhatsAppa.

#Przypadek: aktualizacja cache położyłaby kalendarz rezerwacji przed szczytem sezonu, środowisko testowe to zatrzymał

Serwis biura wynajmu na WordPressie w Maladze, katalog apartamentów na Costa del Sol z kalendarzem dostępności i formularzem rezerwacji depozytu, kampania mailowa zaplanowana na wtorek 8:00, tydzień przed oficjalnym startem szczytu lipca. W kolejce do produkcji leżała aktualizacja wtyczki cache obiektowego plus patch SEO, „drobny, na żywo, bo to tylko object cache”.

Na środowisku testowym, sklonowanym z produkcji razem z Redisem i z apartamentami w stanie „szkic”, synchronizacja iCal pokazywała wolne terminy, które na Booking.com były już zajęte. Przyczyna: zmiana klucza cache po patchu, stary fragment w motywie wołał zapytanie bez sprawdzenia statusu posta, CDN trzymał HTML bez sensownego Cache-Control dla zalogowanego redaktora. Na produkcji ten sam zestaw poszedłby w niedzielę wieczorem. Rezerwacja poszłaby na zajęty termin, depozyt wszedłby bez potwierdzenia, a wtorkowy ruch z newslettera niemieckojęzycznym trafiłby w 404 po panicznym cofnięciu wpisu.

środowisko testowe zatrzymał promocję. wycofanie zmian na kopii testowej potwierdził, że sama wtyczka SEO jest niewinna, gdy motyw nie woła szkicu po kluczu bez statusu. Motyw dostał poprawkę, checklista publikacji (szkic, future, formularz, purge, URL w newsletterze, cookie banner, sync iCal) przeszła, dopiero potem produkcja. Nie ma tu nazwy firmy, bo to kształt zdarzenia, nie case study z logotypem. Jest mechanizm: najpierw kopia, potem produkcja. Bez kopii zostałby post-mortem i rozmowa z prawnikiem o wycieku danych gości.

Ten sam kształt wraca przy wtyczkach Redsys, przy formularzu rezerwacji, który po aktualizacji gubi stawkę IVA, i przy „drobnej” aktualizacji SEO, która nadpisuje robots i wycina landing Marbella z indeksu. Costa del Sol nie wybacza tego ciszej niż inny rynek. Wygląda to gorzej, bo obok siedzi ktoś, kto pyta o AEPD, o Feria albo o slot w kalendarzu na kampanię sierpniową.

#WordPress Málaga Meetup i praktyka, której nie widać w panelu hostingu

WordPress Málaga Meetup spotyka się regularnie w ekosystemie malagańskim (grupa na Meetup.com i lokalne spotkania w TechPark). To nie jest kanał sprzedaży. To jest miejsce, w którym widać, jak lokalni maintainerzy aktualizują, jak rozmawiają o uprawnieniach i o hoście. Opieka, która nigdy nie wychodzi poza ticket, gubi ten kontekst: w Maladze część zespołów i tak siedzi po stronie turystyki albo nomadów i usłyszy te same pytania na wydarzeniach w Soho albo w coworkingach przy plaży.

WP-CLI w utrzymaniu nie jest ozdobą meetupową. To sposób, żeby aktualizację, różnicę wtyczek i eksport listy użytkowników zrobić powtarzalnie, z logiem, bez klików wp-admin na produkcji. Po sesji o bezpieczeństwie w społeczności argument „zrobimy to ręcznie w panelu” brzmi jeszcze gorzej.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Inwentaryzacja wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopia w ogóle się odtwarza, gdzie stoi serwer, kto ma dostęp SFTP i do wp-admin, czy są konta-widma po agencji, która zniknęła. Baseline Lighthouse na stronie głównej i na najważniejszym formularzu rezerwacji, checkoucie albo panelu właściciela apartamentu. Lista ryzyk z priorytetem: najpierw to, co psuje odtworzenie i bezpieczeństwo, potem to, co psuje konwersję albo publikację.

Pierwszy cykl aktualizacji na stagingu jest częścią onboardingu, nie „bonusem w miesiącu drugim”. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis turystyczny albo bookingowy w Maladze bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji poza sezonem Costa del Sol i Feria, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza UE, brak 2FA u redakcji, brak umowy powierzenia, cache bez reguły dla future, freeze sezonu jeszcze nie wpisany). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczyna się od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Notion, checkout z trzema wtyczkami podatkowymi naraz, Redis, który trzyma szkice ofert sezonowych. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress w Maladze. Sklep, checkout, Redsys i IVA: programista WooCommerce w Maladze. Opieka nie udaje, że jest projektem wdrożeniowym. Gdy w utrzymaniu wychodzi, że motyw trzeba napisać od nowa, to idzie jako osobne zlecenie, na piśmie.

#Wydajność przy skoku ruchu sezonowego i użytkownikach z Costa del Sol

Origin w UE nie naprawi ciężkiego motywu z galeriami apartamentów i mapami Google. HTTP/3, Brotli, AVIF, lazy load, który nie psuje LCP hero plaży, cache, który nie trzyma prywatnego koszyka ani nieopublikowanej oferty sezonowej, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzymy na realnych URL-ach z formularzami rezerwacji, nie na pustej instalacji. INP psuje się od skryptów czatu, od widgetu mapy i od tag managera, który marketing dodał poza ticketingiem. Opieka, która nie widzi GTM, będzie gonić „optymalizację obrazków” w nieskończoność.

Dla serwisu turystycznego w Maladze liczy się czas do pierwszego bajtu z sieci w Hiszpanii i w Europie Środkowej, nie tylko z telefonu na promenadzie w Torremolinos. Monitoring z jednego regionu USA kłamie. Punkt pomiaru w UE jest częścią kontraktu operatorskiego, nie dodatkiem. Strona z pełnoekranowymi zdjęciami apartamentów umiera na LCP od nieoszczędnych JPEG-ów szybciej niż od „słabego hostingu”. Przed szczytem sezonu idzie osobny przegląd cache, limitów PHP i CDN; po sezonie idzie ścinka landingów, które mają zostać jako archiwum, i tych, które mają dostać 301.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów sezonowych. Test odtworzenia kopii, bo kopia, której nikt nie odtwarzał, jest plikiem. Przy danych gości i uczestników wycieczek: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia pod RODO i LOPDGDD.

To nie jest certyfikat ISO sprzedawany z abonamentem. To jest lista, którą da się odhaczyć przy onboardingowym audycie i wrócić do niej co kwartał. Klient z biura wynajmu w Nerja, z TechPark albo ze sklepu z produktami regionalnymi i tak przyniesie własną checklistę. Lepiej mieć swoją wcześniej. Dokumentacja hardeningu WordPress, niezależna od miasta, jest w WordPress Developer Handbook. Opieka w Maladze dodaje do niej kalendarz freeze sezonu Costa del Sol i Feria de Málaga, pytanie o AEPD oraz jawny opis rezydencji w UE.

#Rodzeństwo w Andaluzji i na Półwyspie Iberyjskim

Ten sam model opieki działa w innych hiszpańskich miastach i w sąsiednich stolicach iberyjskich, z tym samym runbookiem i innym kontekstem lokalnym:

• Opieka techniczna WordPress w Sewilli
• Opieka techniczna WordPress w Alicante
• Opieka techniczna WordPress w Barcelonie
• Opieka techniczna WordPress w Madrycie

#Jak zaczynamy, bez zaliczek w procentach na stronie

Zakres, godziny reakcji i cena są indywidualne i lądują w umowie przed startem. Na tej stronie nie ma podziału płatności na transze procentowe i nie ma tabeli pakietów. Krótki opis serwisu, stacku, hostingu i tego, czy jest środowisko testowe, wystarczy, żeby zaproponować audyt onboardingu.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, oraz informacja, czy serwis musi zostać w UE i czy w najbliższych tygodniach jest szczyt sezonu Costa del Sol, Feria de Málaga albo kampania mailowa z rezerwacjami. Z tego powstaje plan: co naprawiamy zanim w ogóle wejdziemy w miesięczny rytm, a co zostaje w kadencji.

Opieka w Maladze ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracamy do developmentu. Gdy trzeba go utrzymać przy sezonie Costa del Sol, kalendarzach bookingowych, checkoutcie Redsys i Bizum oraz RODO pod AEPD, zostajemy przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, compliance po stronie klienta, hosting w UE i runbook, który da się pokazać audytorowi bez rekonstruowania historii z pamięci.