Opieka techniczna WordPress w Monachium

Polski zespół, który utrzymuje WordPressa dla firmy w Monachium, nie dokłada kolejnego abonamentu aktualizacji. Utrzymuje serwis, który stoi w łańcuchu dostaw BMW, obok kampusu Siemensa albo na stoisku Messe München. Awaria landing page wystawcy w tygodniu electronica albo padnięty formularz RFQ u dostawcy motoryzacyjnego to przestój operacyjny, nie problem z motywem. Ta strona opisuje opiekę techniczną WordPressa właśnie w tym układzie: polski delivery, bawarski kontekst DSGVO i szczytów ruchu, bez cennika i bez obietnic dostępności w procentach.

Szerszy opis produktu opieki, niezależny od miasta, jest na stronie opieki technicznej WordPress. Tu schodzimy do Monachium: motoryzacja i dostawcy, przemysł, targi, Oktoberfest jako ryzyko obciążenia, GoBD, MwSt, DATEV, rezydencja danych w Bawarii i dziennik incydentów, który da się pokazać przy kontroli BayLDA.

#Co oznacza opieka WordPress przy serwisie dostawcy albo wystawcy

Opieka to nie włącz auto-update i miej nadzieję. Dla serwisu dostawcy motoryzacyjnego, partnera przemysłowego albo wystawcy targowego w Monachium utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie inspektora. Reszta - drobne zmiany w motywie, nowy formularz, poprawka Core Web Vitals - wisi na tym fundamencie. Bez niego kolejna wtyczka tylko powiększa powierzchnię ataku.

Serwis w tym mieście często zbiera dane i pliki, których nie wolno traktować jak treści bloga. Formularz zapytania ofertowego, strefa pobrań z certyfikatami IATF 16949, katalog części, rejestracja na stoisko, panel dealera: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą kupujący, auditor jakości albo gość targów naprawdę klika.

#Aktualizacje wyłącznie przez środowisko testowe

Rdzeń WordPress, wtyczki i motyw idą najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, i te same wtyczki formularzy w trybie testowym. Aktualizacja od razu na żywo, bo to tylko patch, jest najkrótszą drogą do martwego landing page w środę electronica, kiedy halę 18 zapełniają ludzie z identyfikatorami.

Po wgraniu łatek na kopii testowej idzie checklista, nie wyczucie. Logowanie wp-admin, zapis strony, formularz kontaktowy i RFQ, pobranie PDF z certyfikatem, cron, poczta wychodząca, webhooki CRM. Dopiero po tym produkcja. Ścieżka wycofania jest zapisana zanim ktokolwiek naciśnie deploy: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, to nie ma rollbacku, tylko improwizacja.

W kalendarzu opieki w Monachium jest jeszcze jedno okno, którego nie ma na typowej liście łatek: zamrożenie zmian. Tydzień przed Oktoberfestem i przed wielkim cyklem Messe München (electronica, SEMICON Europa, BAU, IFAT) produkcja nie dostaje „drobnej aktualizacji SEO”. Drobna aktualizacja SEO w piątek przed otwarciem hal potrafi nadpisać robots, wyciąć landing z indeksu albo zepsuć cache strony rejestracji.

#Kopie operacyjne to nie archiwum GoBD

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. GoBD, czyli Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff, dotyczy czego innego: ksiąg, dowodów księgowych i możliwości wglądu skarbówki. Kopia w panelu hostingu nie spełnia GoBD sama z siebie. Brakuje niezmienności, kompletności, maszynowej czytelności i dokumentacji procedury.

W praktyce utrzymania rozdzielamy trzy warstwy. Pierwsza: kopia operacyjna strony i bazy, z retencją zapisaną w runbooku, testem odtworzenia, nie tylko backup job zielony. Druga: logi zmian i incydentów, które pokazują kto, kiedy i co wgrał. Trzecia: archiwum podatkowe u klienta, zwykle w DATEV albo w DMS kancelarii w Monachium lub w okolicach. Mieszanie tych trzech warstw w jednym katalogu FTP kończy się tym, że po dwóch latach nikt nie odróżni paczki, którą trzeba pokazać kontrolerowi, od śmiecia zostawionego po migracji.

#WAF, monitoring i dziennik pod BayLDA

WAF (mod_security, Cloudflare WAF albo reguły u hostera) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików łapie to, co WAF przepuścił albo co weszło skradzionym hasłem. Dwuskładnikowe logowanie do wp-admin i ograniczenie liczby kont z uprawnieniem administratora są tańsze niż forensics po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) kontrolował już bawarskie strony WordPress pod kątem patch managementu i pod kątem podatnej wtyczki „WP GDPR Compliance”. Podstawą był Art. 32 DSGVO. Agencja WordPress nie składa raportu do BayLDA za klienta. Dostarcza oś czasu, której klient nie musi rekonstruować z pamięci, gdy organ poprosi o TOM i o historię łatek.

#Monachium jako kontekst, nie jako ozdobnik w tytule

Monachium jest stolicą Bawarii i jednym z najsilniejszych węzłów gospodarczych Niemiec. Roczne sprawozdanie gospodarcze miasta na 2026 rok podaje, że aglomeracja wytwarza 19,0 procent PKB Bawarii przy 11,4 procent ludności landu. Produkt na pracującego: 122 227 euro, wyraźnie powyżej Hamburga i Berlina. W mieście siedzi siedem spółek z DAX: motoryzacja, ubezpieczenia, high-tech, energia. To nie slogan turystyczny. To powód, dla którego serwis „firmowy” na WordPressie często jest wejściem do łańcucha dostaw, a nie wizytówką.

BMW Group ma tu siedzibę, Forschungs- und Innovationszentrum i zakład przy Lerchenauer Straße. W 2026 roku zakład monachijski wchodzi w produkcję Neue Klasse: seria BMW i3 (drugi model gamy) startuje w sierpniu, a od 2027 zakład ma produkować wyłącznie auta elektryczne. Równolegle Grupa wdraża cyfrową logistykę części (Parts Process Chain / SAP S/4HANA) w sieci fabryk, z Monachium w kalendarzu rolloutu. Dla utrzymania WordPressa wynika z tego prosta rzecz: strona dostawcy, która hostuje certyfikaty jakości, katalogi i formularz RFQ, musi przeżyć tydzień audytu i tydzień zmiany na linii. Łatka wtyczki pobrań, która w piątek psuje PDF IATF, nie jest incydentem marketingu.

Siemens trzyma w Monachium zarząd i dużą część korporacyjnego IT. Dookoła siedzą integratorzy, dostawcy automatyki i firmy inżynierskie, których publiczna obecność to WordPress z dokumentacją produktową, nie sklep z koszulkami. Allianz i Munich Re dokładają warstwę ubezpieczeniową: serwisy pośredników, landingi produktowe, formularze szkód. Opieka, która zna tylko blog i wtyczkę SEO, wypada na pierwszym pytaniu o retencję logów i o to, gdzie leży kopia.

Dealroom Global Tech Ecosystem Index 2026 stawia Monachium w europejskiej czołówce (top 5 na kontynencie, miejsce 24 na świecie). Bayern Startup and Scaleup Monitor 2026 liczy w regionie 2445 startupów i scaleupów, gęstość 114 na 100 tys. mieszkańców, a w 2025 roku do lokalnych spółek wpłynęło 2,7 miliarda euro kapitału (Berlin: 2,4). Osiem unicornów, dwa decacorny. Dla WordPressa to znaczy dużo serwisów treściowych, rekrutacyjnych i produktowych, które rosną szybciej niż ich środowisko testowe i szybciej niż lista uprawnień wp-admin.

Messe München w Riem jest osobnym organizmem. Grupa organizuje około 150 imprez rocznie, z portfelem 14 wiodących targów (bauma, BAU, IFAT, electronica, współpraca przy IAA MOBILITY). electronica 2026 trwa 10-13 listopada, zajmuje wszystkie 18 hal razem z SEMICON Europa i schodzi do rzędu 3500 wystawców oraz ponad 80 tysięcy odwiedzających z uprawnieniami decyzyjnymi. Wystawca, którego WordPress trzyma rejestrację, listę produktów i grafik stoiska, nie może dostać aktualizacji WooCommerce albo cache w nocy z niedzieli na poniedziałek otwarcia.

#Szczyty ruchu: Oktoberfest i targi, nie folder turystyczny

Oktoberfest 2026 trwa 16 dni, od 19 września do 4 października. Historycznie przez Theresienwiese przewija się rzędu sześciu milionów osób. Dla opieki WordPress to nie atrakcja. To okno, w którym:

• serwisy hoteli, gastronomii, biletów towarzyszących i eventów korporacyjnych dostają skok sesji,
• redakcje wrzucają landingi last minute poza ticketingiem,
• sieci komórkowe i Wi-Fi w centrum miasta są gęstsze, a pomiary laboratoryjne Lighthouse kłamią względem CrUX,
• zespół klienta bywa na Wiesn albo na stoisku, więc okno decyzji na wycofanie zmian jest krótsze niż zwykle.

WordPress Meetup München sam odnotował, że spotkanie tuż po Wiesn miało cieńsze ławy niż zwykle. To ten sam mechanizm, który w utrzymaniu trzeba wpisać do runbooka: w drugiej połowie września ludzie, którzy zatwierdzają deploy, nie siedzą przy Slacku. Zamrożenie zmian i dyżur alertów są wtedy ważniejsze niż nowa wtyczka newslettera.

electronica w listopadzie dokłada drugi, twardszy szczyt. Landing wystawcy, który w labie ma LCP 1,8 s na pustym stagingu, na hali z LTE i z dwudziestoma skryptami tag managera potrafi zejść do INP, którego nie uratuje kompresja AVIF. Monitoring syntetyczny z jednego regionu USA tego nie zobaczy. Punkt pomiaru w DE albo przynajmniej w UE jest częścią kontraktu operatorskiego.

W runbooku opieki w Monachium te okna są datami, nie przypisami. Aktualizacje rdzenia i wtyczek płatności albo cache idą przed szczytem albo po nim. W środku szczytu wchodzą tylko łatki bezpieczeństwa z udokumentowanym rollbackiem i z człowiekiem na kanale.

#Operacje specyficzne dla Bawarii

Polski zespół zna WordPressa. Bawarski klient pyta o coś innego: gdzie leżą dane, jak długo trzymamy logi, kto wystawia fakturę z podatkiem, kto wpuszcza pliki do DATEV, i czy banner zgód przeżyje spojrzenie BayLDA. Te pytania obsługuje proces, nie slogan o zgodności z RODO.

#Bawarska praktyka DSGVO, nie uniwersalny „RODO pack”

BayLDA nadzoruje sektor niepubliczny w Wolnym Państwie Bawaria. Organ publikuje kontrole: między innymi bezpieczne stosowanie WordPressa jako CMS (patch management) oraz konkretną wtyczkę WP GDPR Compliance do wersji 1.4.2, która pozwalała przejąć serwis. Podstawa: Art. 32 DSGVO. Wniosek operatorski jest nudny i twardy. Lista wtyczek „do RODO” nie jest dowodem. Dowodem jest historia łatek, ograniczenie uprawnień, umowa powierzenia z hosterem i TOM, które da się odczytać.

Banner zgód: niemieckie organy, w tym BayLDA w materiale o consent bannerach, wymagają na pierwszej warstwie realnej alternatywy dla „Akzeptieren”. Sam przycisk „Einstellungen” obok akceptacji nie robi ważnej zgody. W utrzymaniu oznacza to, że aktualizacja wtyczki CMP (Borlabs, Real Cookie Banner, Complianz i podobne) idzie przez środowisko testowe z checklistą: reject na pierwszej warstwie, brak pre-ticków, skrypty analityki milczą przed zgodą, treść Datenschutzerklärung nadal zgadza się z faktycznie ładowanymi narzędziami. Wtyczka CMP zepsuta w tygodniu targów zostawia dział prawny z formularzami, których nie wolno używać.

Utwardzenie z WordPress Developer Handbook (wyłączenie edytora plików na produkcji, ograniczenie XML-RPC jeśli nieużywane, klucze i sole, aktualny PHP) jest tu punktem startu, nie certyfikatem. BayLDA pyta o stan faktyczny instalacji, nie o to, czy ktoś przeczytał handbook.

#Hosting: Hetzner w Norymberdze kontra reszta mapy

Dane osobowe pod DSGVO i dane podatkowe pod GoBD ciągną pytanie: w której jurysdykcji stoi serwer. Hetzner trzyma własne parki w Falkenstein (Saksonia) i w Norymberdze. Park norymberski leży przy Sigmundstraße 135, w Bawarii, z ISO 27001 i z prywatnym peeringiem przy N-IX. Helsinki to Unia, ale już nie Niemcy. Ashburn albo Hillsboro to Stany. Dla wielu bawarskich DSB i Steuerberaterów to nie niuans, tylko veto.

Rozmowa o hostingu w onboardingu jest więc merytoryczna, nie wizerunkowa. Czy produkcja jest w DE? Czy da się wskazać Norymbergę, jeśli klient chce dane w landzie? Czy kopia wyjeżdża nocą na bucket w innym regionie? Czy CDN kończy TLS w UE? Utrzymanie WordPressa, które wrzuca wszystko na najtańszy VPS za oceanem, odpada na pierwszym callu z bezpieczeństwem u dostawcy z rejonu Dachau, Karlsfeld albo Unterschleißheim.

Hetzner nie jest magią. Tani VPS bez WAF, bez stagingu i bez testu odtworzenia kopii nadal jest dziurą. Przewaga norymberskiego originu to prawo niemieckie, krótsza droga do użytkowników DACH i argument, którego nie da się kupić wtyczką „GDPR”. Raidboxes, Mittwald i inni hosterzy DE wchodzą do tej samej rozmowy; wybór zapisujemy w runbooku, nie w haśle reklamowym.

#Faktury MwSt jako proces, bez kwot

Ta strona nie publikuje cen WPPoland. Opisuje, jak faktura z podatkiem niemieckim ma wyglądać jako obieg, nie jako cennik. Faktura MwSt potrzebuje kompletnych danych: nazwa i adres, USt-IdNr albo Steuernummer, opis świadczenia, data, stawka, kwota podatku albo adnotacja o odwrotnym obciążeniu przy B2B wewnątrzunijnym, numer faktury w nieprzerwanym ciągu. Sklep albo strona usługowa, która po aktualizacji wtyczki fakturującej gubi NIP albo stawkę, produkuje dokumenty, których kancelaria w Monachium nie przyjmie.

W utrzymaniu pilnujemy, żeby wtyczka faktur, pole podatkowe i PDF nie rozjechały się po patchu. Nie wystawiamy deklaracji podatkowej za klienta. Nie podajemy stawek jako oferty agencji. Pilnujemy, żeby proces, który klient uzgodnił ze Steuerberaterem, nadal działał po cyklu aktualizacji.

#DATEV zostaje po stronie klienta

DATEV to ekosystem kancelarii, nie panel WordPressa. Eksport CSV, XML albo PDF plus metadane może wychodzić ze sklepu albo z CRM podpiętego pod WP. Import, księgowanie i archiwum robi kancelaria w DATEV Unternehmen online albo w swoim DMS. Granica jest twarda i zapisana w runbooku: agencja dostarcza kompletny, powtarzalny eksport; klient i doradca wpuszczają go do DATEV. Przejęcie „zaksięgujemy wam w DATEV” nie wchodzi w zakres opieki WordPress.

Gdy eksport psuje się po aktualizacji wtyczki zamówień, to jest incydent utrzymaniowy. Gdy kancelaria zmienia mapowanie kont, to jest zmiana po stronie klienta. Mieszanie obu ról kończy się mailami, w których nikt nie wie, kto ma poprawić stawkę.

#SEPA, DHL i checkout, którego nie wolno łatać w ciemno

Sklep DACH zbiera polecenie SEPA, kartę, czasem płatność odroczoną. Webhooki bramki i status zamówienia muszą przeżyć aktualizację WooCommerce. DHL (i analogiczne kurierzy) wrzucają numer śledzenia z powrotem do zamówienia. Aktualizacja wtyczki etykiet, która na produkcji nadpisze mapowanie usług, zostawia magazyn z ręcznym klejeniem numerów. Dlatego te wtyczki nigdy nie idą w tym samym oknie co drobna aktualizacja SEO i nigdy w środku electronica.

Szerszy zakres sklepu, checkoutu i podatków to już programista WooCommerce oraz lokalny bliźniak WooCommerce w Monachium. Opieka nie udaje, że jest projektem wdrożeniowym sklepu.

#Reakcja na incydent bez pustych procentów

Obietnica dostępności zapisana procentem na stronie city to ozdobnik, nie kontrakt. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny plus alert z WAF albo z hosta. Triage: czy to treść, czy formularz RFQ, czy wp-admin, czy cała produkcja. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, rotacja haseł, twardy WAF. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i z działaniem, które ma nie powtórzyć się za miesiąc.

Czas pierwszej odpowiedzi zapisujemy w umowie. W dniach roboczych priorytet zwykle zamyka się w oknie godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Ta strona nie sprzedaje uniwersalnego SLA w tabelce. Sprzedaje porządek: widać, kto wszedł, co zmienił, kiedy serwis wrócił.

Jeśli klient musi złożyć zgłoszenie do BayLDA albo do UODO, dziennik z opieki jest załącznikiem. Brak dziennika oznacza, że DSB składa raport ze zrzutów ekranu i ze wspomnień z Teams.

#Przypadek: łatka w oknie electronica, środowisko testowe zatrzymał publikację

Wystawca z łańcucha elektroniki, stoisko w Riem, WordPress trzyma landing produktu, formularz umówienia spotkania i listę PDF ze specyfikacją. W kolejce do produkcji leżała aktualizacja wtyczki cache plus patch CMP. Na środowisku testowym, sklonowanym z produkcji, cache zaczął serwować stronę rejestracji bez ciasteczka sesji formularza. CMP po aktualizacji schował przycisk odrzucenia pod drugą warstwę. Na produkcji ten sam zestaw poszedłby w nocy z niedzieli na poniedziałek, 10 listopada 2026, gdy halę otwierają się na electronica.

środowisko testowe zatrzymał promocję. wycofanie zmian na kopii testowej potwierdził, że sam patch bezpieczeństwa rdzenia jest niewinny, gdy cache nie trzyma POST-a. Cache dostał wykluczenie ścieżki rejestracji, CMP wrócił do wersji z rejectem na pierwszej warstwie, checklista (formularz, PDF, hreflang DE/EN, piksel wyłączony przed zgodą) przeszła, dopiero potem produkcja. Nie ma tu nazwy firmy, bo to kształt zdarzenia, nie case study z logotypem. Jest mechanizm: najpierw kopia, potem produkcja, a w oknie targów ogóle nie ma okna na „drobny cache”.

Ten sam kształt wraca przy wtyczkach pobrań certyfikatów u dostawcy BMW, przy cache obiektowym, który serwuje stary fragment formularza RFQ, i przy aktualizacji SEO, która nadpisuje robots i wycina katalog produktów z indeksu wewnętrznego wyszukiwania. Monachium nie wybacza tego ciszej niż inny rynek. Wygląda to gorzej, bo obok siedzi ktoś z halówki Messe albo z audytu jakości.

#Meetup i praktyka, której nie widać w panelu hostingu

WordPress Meetup München zbiera się w Tagungszentrum der Münchner Aidshilfe przy Lindwurmstraße 71, przy Goetheplatz. 11 lutego 2026 w programie były WordPress Playground i WordPress Studio (Thomas Schinabeck, Birgit Pauli-Haack). 11 marca 2026, 19:00-21:00, temat: rundgang po WordPress 7.0. Latem 2026 meetup wyszedł do Augustiner-Keller przy Arnulfstraße 52, bez slajdów, co jest lokalnym rytmem a nie ozdobą. Strona wpmeetup-muenchen.de stoi na motywie Twenty Twenty-Three. To nie jest kanał sprzedaży. To jest miejsce, w którym widać, jak lokalni maintainerzy aktualizują, jak rozmawiają o uprawnieniach, o hostingu i o bannerze zgód (spotkanie o cookie managerze zostało w archiwum meetupów).

Opieka, która nigdy nie wychodzi poza ticket, gubi ten kontekst. w Monachium część zespołów i tak usłyszy te same pytania na meetupie albo od DSB, który czytał kontrolę BayLDA o WordPressie.

WP-CLI w utrzymaniu nie jest ozdobą meetupową. To sposób, żeby aktualizację, różnicę wtyczek i eksport listy użytkowników zrobić powtarzalnie, z logiem, bez klików wp-admin na produkcji. Po rundzie o WordPress 7.0 argument „zrobimy to ręcznie w panelu w tygodniu electronica” brzmi jeszcze gorzej.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Inwentaryzacja wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopia w ogóle się odtwarza, gdzie stoi serwer, kto ma dostęp SFTP i do wp-admin, czy są konta-widma po agencji, która zniknęła. Baseline Lighthouse na stronie głównej i na najważniejszym formularzu albo landing page wystawcy. Lista ryzyk z priorytetem: najpierw to, co psuje odtworzenie i bezpieczeństwo, potem to, co psuje konwersję w szczycie.

Pierwszy cykl aktualizacji na stagingu jest częścią onboardingu, nie bonusem w miesiącu drugim. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis dostawcy albo wystawcy w Monachium bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji poza zamrożeniem targowym i oktoberfestowym, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza DE, brak 2FA u redakcji, DATEV nadal na ręcznym PDF, CMP bez rejectu na pierwszej warstwie). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczyna się od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Confluence, trzy wtyczki cookie naraz. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress oraz lokalny bliźniak programista WordPress w Monachium. Opieka nie udaje, że jest projektem wdrożeniowym. Gdy w utrzymaniu wychodzi, że motyw trzeba napisać od nowa, to idzie jako osobne zlecenie, na piśmie.

#Wydajność przy szczycie, nie na pustej instalacji

Origin w Bawarii albo przynajmniej w Niemczech, HTTP/3, Brotli, AVIF, cache, który nie trzyma prywatnego formularza, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzymy na realnych URL-ach, nie na pustej instalacji. INP psuje się od skryptów czatu i od tag managera, który marketing dodał poza ticketingiem przed Oktoberfestem. Opieka, która nie widzi GTM, będzie gonić optymalizację obrazków nieskończoność.

Dla serwisu B2B w Monachium liczy się też czas do pierwszego bajtu z sieci korporacyjnej na północy miasta (FIZ, zakład, biura przy A9/A99), nie tylko z telefonu na Theresienwiese. Monitoring z jednego regionu USA kłamie. W tygodniu electronica kłamie podwójnie, bo sieć halowa i roaming gości z Azji i USA wyglądają inaczej niż CrUX z Bawarii.

Budżety: LCP i INP jako progi do pilnowania na URL-ach biznesowych, nie jako magiczne liczby na stronie city. Regresja po wgraniu wtyczki czatu blokuje kolejny deploy, dopóki INP na formularzu RFQ nie wróci do uzgodnionego pasma.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek nulled. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów. Test odtworzenia kopii, bo kopia, której nikt nie odtwarzał, jest plikiem. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia zgodna z oknem 72 godzin.

To nie jest certyfikat ISO sprzedawany z abonamentem. To jest lista, którą da się odhaczyć przy onboardingowym audycie i wrócić do niej co kwartał. Klient z łańcucha BMW albo z działu compliance Siemensa i tak przyniesie własną checklistę. Lepiej mieć swoją wcześniej, z handbooka WordPressa i z tego, co BayLDA już kontrolował na bawarskich instalacjach.

#Jak zaczynamy, bez zaliczek w procentach na stronie

Zakres, godziny reakcji i cena są indywidualne i lądują w umowie przed startem. Na tej stronie nie ma podziału płatności na transze procentowe i nie ma tabeli pakietów. Krótki opis serwisu, stacku, hostingu i tego, czy jest środowisko testowe, wystarczy, żeby zaproponować audyt onboardingu.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, kalendarz targów jeśli serwis obsługuje wystawcę, oraz informacja, czy serwis musi zostać w Niemczech albo w Bawarii. Z tego powstaje plan: co naprawiamy zanim w ogóle wejdziemy w miesięczny rytm, a co zostaje w kadencji.

Opieka w Monachium ma sens, gdy serwis już niesie biznes i trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracamy do developmentu. Gdy trzeba go utrzymać przy łańcuchu motoryzacyjnym, Messe München, GoBD i bawarskim DSGVO, zostajemy przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, zamrożenie zmian w szczycie, procesy podatkowe po stronie klienta.