Opieka techniczna WordPress w Pradze

Polski zespół, który utrzymuje WordPressa dla firmy albo instytucji w Pradze, nie dokłada „jeszcze jednego abonamentu aktualizacji”. Utrzymuje serwis, który stoi w Czechach, gdzie rezydencja danych w UE, GDPR CZ (zákon č. 110/2019 Sb. o zpracování osobních údajů), eIDAS przy logowaniu i podpisach oraz impressum z IČO z obchodního rejstříku są pytaniami z onboardingu, a nie ozdobą w stopce. Ta strona opisuje opiekę techniczna WordPressa właśnie w tym układzie: polski delivery, czeski kontekst regulacyjny i operatorski, bez cennika i bez obietnic dostępności w procentach.

Szerszy opis produktu opieki, niezależny od miasta, jest na stronie opieki technicznej WordPress. Tu schodzimy do Pragi: UOOU (Úřad pro ochranu osobních údajů) z siedzibą w Pradze, hub startupowy Karlín, hosting w jurysdykcji UE, para CS/EN na rynku B2B i integracje tożsamości pod eIDAS, które klient weryfikuje z prawnikiem, a nie z banerem na stronie.

#Co oznacza opieka WordPress przy serwisie firmy w Pradze

Opieka to nie „włącz auto-update i miej nadzieję”. Dla serwisu korporacyjnego, instytucji publicznej albo strony usługowej firmy z siedzibą w Pradze utrzymanie ma cztery twarde elementy: aktualizacje na kopii testowej, kopie zapasowe, które da się odtworzyć i które klient akceptuje jurysdykcyjnie, WAF z sensownymi regułami oraz dziennik incydentów, który przeżyje pytanie o zgłoszenie do UOOU. Reszta - drobne zmiany w motywie, nowy formularz, poprawka Core Web Vitals, regresja wersji angielskiej po patchu wielojęzyczności - wisi na tym fundamencie. Bez niego kolejna wtyczka tylko powiększa powierzchnię ataku.

Serwis w Pradze często zbiera dane, których nie wolno traktować jak treści bloga. Formularz rekrutacyjny, panel partnera, status zamówienia, logowanie do strefy klienta, newsletter z profilem: każdy z tych ekranów po aktualizacji wtyczki potrafi się rozsypać ciszej niż strona główna. Dlatego regresja nie kończy się na „strona się ładuje”. Kończy się na ścieżce, którą klient albo partner naprawdę klika, na polach formularza w obu językach i na polach impressum, które po zmianie motywu nie mogą zniknąć.

#Aktualizacje wyłącznie przez środowisko testowe

Rdzeń WordPress, wtyczki i motyw idą najpierw na środowisko testowe. środowisko testowe ma ten sam stos PHP, ten sam obiekt cache jeśli produkcja go ma, i te same wtyczki wielojęzyczne w tej samej konfiguracji. Aktualizacja „od razu na żywo, bo to tylko patch” jest najkrótszą drogą do martwego formularza w piątek po południu, kiedy w Pradze kończy się tydzień, a angielska wersja serwuje czeski tekst z powodu regresji WPML albo Polylang.

Po wgraniu łatek na kopii testowej idzie checklista, nie wyczucie. Logowanie wp-admin, zapis strony w CS i EN, formularz kontaktowy, cron, poczta wychodząca, webhooki do CRM albo ERP. Dopiero po tym produkcja. Ścieżka wycofania jest zapisana zanim ktokolwiek naciśnie deploy: która kopia, który tag, kto ma dostęp do hostingu. Jeśli tego nie ma na piśmie, to nie ma rollbacku, tylko improwizacja przed terminem publikacji komunikatu albo kampanii.

#Kopie operacyjne i pytanie, gdzie leżą

Codzienna kopia WordPressa służy do odtworzenia serwisu po błędzie albo ataku. To nie jest archiwum podatkowe i nie jest wyciąg z obchodního rejstříku. Brakuje w niej niezmienności dowodu księgowego i kompletności dokumentów, które klient trzyma u auditora. W praktyce utrzymania rozdzielamy trzy warstwy. Pierwsza: kopia operacyjna strony i bazy, z retencją zapisaną w runbooku, testem odtworzenia, nie tylko „backup job zielony”. Druga: logi zmian i incydentów, które pokazują kto, kiedy i co wgrał. Trzecia: dokumenty, które klient trzyma w DMS albo u doradcy: faktury, smlouvy, výpisy z účtu. Mieszanie tych trzech warstw w jednym katalogu FTP kończy się tym, że po dwóch latach nikt nie potrafi powiedzieć, která záloha je záloha a která je omyl po migraci.

Dla firmy w Pradze dochodzi pytanie, którego polski runbook z rynku krajowego często nie zadaje: czy kopia nocą wyjeżdża do bucketa poza UE. Z punktu widzenia GDPR CZ transfer do kraju bez adekwatnego poziomu ochrony jest faktem do ujawnienia v zásadách ochrany osobních údajů, nawet gdy odbiorca siedzi w USA i klient ma umowę z chmurą globalną. Klient, który wymaga rezydencji w UE, nie kupi „backupu na S3 w Irlandii, bo taniej” bez pisemnej oceny transferu.

#WAF, monitoring i dziennik pod GDPR CZ

WAF (mod_security, reguły u hostera albo warstwa u CDN, którego jurysdykcję klient świadomie zaakceptował) odcina typowe skany i wstrzyknięcia, zanim dotrą do PHP. To nie zastępuje aktualizacji. To kupuje czas. Skan malware i kontrola integralności plików łapie to, co WAF przepuścił albo co weszło skradzionym hasłem. Dwuskładnikowe logowanie do wp-admin i ograniczenie liczby kont z uprawnieniem administratora są tańsze niż forensics po kradzieży sesji.

Dziennik incydentów jest równie ważny jak sama tama. Zapis: czas wykrycia, czas ograniczenia, czas przywrócenia, przyczyna, lista zmienionych plików i wtyczek, kto był powiadomiony. Dla administratora danych pod GDPR CZ ten plik jest surowcem do oceny, czy zdarzenie wymaga zgłoszenia do UOOU i czy trzeba informować dotknięte osoby. Agencja WordPress nie składa zgłoszenia do UOOU za klienta. Dostarcza oś czasu, której klient nie musi rekonstruować z pamięci i ze Slacka.

#Praga i hub startupowy Karlín, nie jako ozdobnik w tytule

Praga to nie tylko turystyczna panorama z Hradčany. Karlín, Holešovice i okolice Florenc to klastry, w których siedzą startupy SaaS, fintechy, studia produktowe i zespoły R&D korporacji. Node5, Impact Hub Prague, coworkingi przy Vltavské a Rohanské nábřeží ustawiają poprzeczkę inaczej niż „strona wizytówkowa agencji”. Univerzita Karlova i ČVUT wypuszczają ludzi, któró odróżnią motyw od wtyczki i wiedzą, że Polylang nie zastąpi procesu redakcyjnego.

Dla utrzymania WordPressa u firm, które z tym klastrem sąsiadują, wynika prosta rzecz: zásady ochrany osobních údajů, impressum s IČO i hosting w UE są sprawdzane wcześniej niż kolor przycisku. Serwis „firmowy” albo instytucjonalny w Pradze bywa wejściem do onboardingu partnera, do rekrutacji albo do dokumentacji produktu, który kto inny nadzoruje. Opóźnienie w łatce bezpieczeństwa albo zniknięcie logów po wgraniu wtyczki SEO przestaje być tematem IT i staje się tematem ryzyka. Ta strona nie przypisuje WPPoland klientów z Veřejné zakázky jako wdrożeń referencyjnych i nie cytuje nieistniejących case study.

Pendlerzy z Brna, Ostravy i Plzně pracują w biurach w Pradze, więc strona CS/EN z polskim zapleczem redakcyjnym jest tu częstsza niż czysto polski front z czeskim panelem. Opieka, która nie testuje obu wersji językowych po każdym cyklu aktualizacji, zostawia regresję, która wychodzi dopiero na porównaniu stagingu, nie w Lighthouse.

#Operacje specyficzne dla Czech w kontekście unijnym

Polski zespół zna WordPressa. Czeski klient w Pradze pyta o coś innego: gdzie leżą dane, jak długo trzymamy logy, kto wystawia fakturę s DIČ, czy název firmy na stronie zgadza się z obchodním rejstříkem, czy angielska wersja nie jest maszynowym eksportem z CS. Te pytania trzeba umieć obsłużyć procesem, nie sloganem o „zgodności z RODO”.

#GDPR CZ, UOOU w Pradze i transfer za granicę

Czechy wdrożyły GDPR przez zákon č. 110/2019 Sb. o zpracování osobních údajů. Nadzór: Úřad pro ochranu osobních údajů (UOOU) z siedzibą przy Pplk. Sochora 27 w Pradze 7. Ustawa wymaga informacji dla subjektów danych, umów powierzenia, rejestru činností zpracování tam, gdzie procedura klienta to wymaga, i zgłoszenia naruszenia, gdy istnieje riziko pro práva a svobody osob.

RODO nadal dotyczy przetwarzania, które celuje w osoby w UE. Serwis firmy w Pradze z ruchem z Polski, Niemiec albo innych krajów unijnych ma więc dwie warstwy, nie jedną. Wtyczka cookie skopiowana z niemieckiego sklepu (opt-in wszędzie) nie jest automatycznie „GDPR-compliant” w Czechach, a brak bannera nie jest automatycznie legalny, gdy idzie tracking, profilowanie albo transfer do kraju bez adekwatnego poziomu ochrony. Opieka nie sprzedaje opinii prawnej. Pilnuje, żeby narzędzia na stronie zgadzały się z tym, co stoi v zásadách ochrany osobních údajů, i żeby po aktualizacji GTM albo wtyczki consent logi zgód nadal się zapisywały.

#eIDAS przy logowaniu i podpisach elektronicznych

Rozporządzenie eIDAS (910/2014) i jego następca eIDAS 2 ustawiają ramy dla kwalifikowanych podpisów elektronicznych, pieczęci i usług zaufania w UE. W Czechach to się łączy z národní identitou občanů (NIA), bankovní identitou u niektórych dostawców i datovými schránkami jako kanałem urzędowym. WordPress nie zastępuje tych systemów. Formularz na stronie, który zbiera dane do smlouvy, musi być spójny z tym, co klient obiecuje w procesie offline.

W utrzymaniu po każdym cyklu aktualizacji sprawdzamy, czy integracja OAuth/OIDC z dostawcą tożsamości nadal działa, czy redirect URI nie wyciekł po zmianie domeny, czy sesja nie trzyma tokenów miejscu, które audyt klienta nie akceptuje. eIDAS to kontekst dla decyzji klienta i prawnika, nie plakietka w stopce. Opieka dokumentuje, co się zmieniło w warstwie technicznej, żeby klient mógł ocenić wpływ na proces podpisu albo identifikacji.

#Hosting w UE: Wedos, Forpsi, Active24, nie „najtańszy VPS”

Dane osobowe pod GDPR CZ ciągną pytanie: w której jurysdykcji stoi serwer i kopia. Wedos, Forpsi, Active24, Český hosting i mniejsze hostery z datacenter w Czechach albo w UE to nazwy, które klient w Pradze rozpoznaje, gdy pyta „kde leží WordPress”. To nie jest ranking WPPoland i nie jest certyfikat. To jest zestaw nazw, które otwierają merytoryczną rozmowę o rezydencji.

Rozmowa o hostingu w onboardingu jest więc operatorska, nie wizerunkowa. Czy produkcja jest w UE? Czy kopia wyjeżdża nocą poza jurysdykcję, którą klient akceptuje? Czy CDN kończy TLS w Czechach, w innym kraju UE, czy w USA? Utrzymanie, które „wrzuca wszystko na najtańszy VPS za oceanem”, odpada na pierwszym callu z bezpieczeństwem. Przeniesienie originu do UE, jeśli klient tego wymaga, jest osobnym zleceniem, nie darmowym dodatkiem do abonamentu.

#Obchodní rejstřík, IČO i impressum po aktualizacji

Impressum i stopka to nie „wpisz název firmy z wizytówki”. W Czechach rejestr handlowy to obchodní rejstřík prowadzony przez rejstříkové soudy; IČO i DIČ mają się zgadzać z výpisem, nie z brandingiem z Figma. Po aktualizacji motywu albo wtyczki SEO pole z IČO i s právní formou nesmí zmizet.

Opieka nie redaguje občanského zákoníku. Pilnuje, żeby po zmianie szablonu stopki impressum nadal istniało w CS i EN, i żeby hreflang cs-CZ nie dostał treści z polskiego szablonu z NIP-em zamiast DIČ. Szablon impressum skopiowany z niemieckiej GmbH (Amtsgericht, USt-IdNr) na stronie české s.r.o. jest błędem, który prawnik klienta zobaczy szybciej niż Lighthouse.

#Para CS/EN jako element utrzymania, nie tylko developmentu

Najczęstsze tarcie we współpracy Polska - Praga nie jest w PHP. Jest w parze języków. Czeski front w rejestrě vykání, angielska wersja dla inwestorów i partnerów zagranicznych, nie tłumaczenie maszynowe z polskiego briefu. Polylang albo WPML rozwiązują hreflang i kopie językowe. Nie rozwiązują procesu: kdo schvaluje český text, kdo angielski, než to jde na produkci.

W utrzymaniu po każdym cyklu aktualizacji sprawdzamy:

• czy wersja CS nadal serwuje czeski tekst na właściwym URL, a EN na swoim;
• czy hreflang nie wskazuje na 404 po zmianie slugów;
• czy zásady ochrany osobních údajů i impressum istnieją w obu wersjach;
• czy formularze zwracają błędy w obu językach, nie tylko w kolorze ramki;
• czy diakritika v češtině (háčky, čárky) nie została zepsuta po imporcie tłumaczeń z polskiego panelu.

#Reakcja na incydent bez pustych procentów

Obietnica dostępności zapisana procentem na stronie city to ozdobnik, nie kontrakt. Dostępność wynika z hostingu, DNS, CDN, wtyczek i ludzi. Opieka opisuje procedurę, nie talizman.

Wykrycie: monitoring syntetyczny plus alert z WAF albo z hosta. Triage: czy to treść, czy formularz, czy wp-admin, czy cała produkcja, czy tylko wersja EN. Ograniczenie: tryb konserwacji, cofnięcie wtyczki, wyłączenie endpointu, rotacja haseł, twardy WAF. Odtworzenie z kopii, jeśli pliki są spalone. Dokumentacja osi czasu. Post-mortem z przyczyną i z działaniem, które ma nie powtórzyć się za miesiąc.

Czas pierwszej odpowiedzi zapisujemy w umowie. W dniach roboczych priorytet zwykle zamyka się w oknie godzin, nie dni. Dyżur poza tym oknem jest wtedy, gdy umowa go obejmuje. Ta strona nie sprzedaje uniwersalnego SLA w tabelce. Sprzedaje porządek: widać, kto wszedł, co zmienił, kiedy serwis wrócił.

Jeśli klient musi złożyć zgłoszenie do UOOU albo, przy ruchu unijnym, do organu nadzorcowego w innym kraju UE, dziennik z opieki jest załącznikiem. Brak dziennika oznacza, że compliance składa raport ze zrzutów ekranu. UOOU siedzi w Pradze, ale zgłoszenie składa administrator danych, nie agencja utrzymująca WordPressa.

#Przypadek: aktualizacja wtyczki wielojęzycznej rozjechałaby parę CS/EN, środowisko testowe to zatrzymał

Korporacyjny WordPress prowadzony przez polski zespół, front dwujęzyczny CS/EN, publikacje produktowe jako CPT, formularz kontaktowy z osobnými údaji. W kolejce do produkcji leżała aktualizacja wtyczki wielojęzycznej plus patch motywu blokowego.

Na środowisku testowym, sklonowanym z produkcji, wersja angielska serwowała czeski tekst na połowie podstron. Równolegle impressum zniknęło z wersji EN po zmianie szablonu stopki. Na produkcji ten sam zestaw poszedłby w piątkowe popołudnie przed terminem kampanii w Karlínie. Redakcja w Pradze dostałaby skargę od právního oddělení, a formularz kontaktowy w EN zwracałby błędy walidacji po czesku.

środowisko testowe zatrzymał promocję. wycofanie zmian na kopii testowej potwierdził, że sama aktualizacja Core jest niewinna, gdy wtyczka wielojęzyczna ma poprawną mapę tłumaczeń i gdy motyw nie woła usuniętego haka. Motyw i mapowanie języków dostały poprawkę, checklista CS/EN (archiwum CPT, single, impressum, formularz, hreflang) przeszła, dopiero potem produkcja. Nie ma tu nazwy firmy, bo to kształt zdarzenia, nie case study z logotypem. Jest mechanizm: najpierw kopia, potem produkcja. Bez kopii zostałby post-mortem i seria mailów do UOOU.

Ten sam kształt wraca przy wtyczkach consent, które po patchu przestają logować zgody, przy cache obiektowym, który serwuje stary fragment menu w EN, i przy „drobnej” aktualizacji SEO, która nadpisuje robots i wycina panel partnera z indeksu wewnętrznego wyszukiwania. Praga nie wybacza tego ciszej niż inny rynek. Wygląda to gorzej, bo obok siedzi ktoś, którý ptá na GDPR CZ a na IČO v OR.

#Miesięczny rytm, onboarding i przejęcie bałaganu

Onboarding to audyt, nie kick-off z prezentacją. Inwentaryzacja wtyczek, wersja PHP, cron, poczta, SSL, WAF, czy kopia w ogóle się odtwarza, gdzie stoi serwer, kto ma dostęp SFTP i do wp-admin, czy są konta-widma po agencji, która zniknęła. Baseline Lighthouse na stronie głównej i na najważniejszym formularzu w CS i EN. Lista ryzyk z priorytetem: najpierw to, co psuje odtworzenie i bezpieczeństwo, potem to, co psuje konwersję i zgodność impressum.

Dla Pragi audyt dociąga checklistę lokalną. Hosting: UE czy nie. Zásady ochrany osobních údajů: czy wymieniają rzeczywiste podprocesory i transfery. Impressum: název a IČO jak v OR, nie jak na starém roll-upu. Para CS/EN: kdo schvaluje, czy środowisko testowe pokazuje obě verze. Jeśli jest sektor publiczny albo Veřejná zakázka: czy formulář zpětné vazby funguje po aktualizacji.

Pierwszy cykl aktualizacji na stagingu jest częścią onboardingu, nie „bonusem w miesiącu drugim”. Jeśli stagingu nie ma, jego postawienie jest pracą startową. Serwis firmy w Pradze bez kopii testowej nie wchodzi w stały abonament z otwartymi auto-update.

Miesiąc stały: okno aktualizacji, skan, przegląd logów WAF, test odtworzenia kopii w uzgodnionym cyklu, krótki raport. Raport ma metryki (uptime z monitoringu, błędy 5xx, czas odpowiedzi, lista wgranych wersji), decyzje (wtyczka X zostaje, wtyczka Y do wymiany) i residualne ryzyko (host poza UE, brak 2FA u redakcji, impressum bez DIČ, regresja EN po ostatnim patchu). Bez residualnego ryzyka raport jest broszurą.

Przejęcie zaniedbanej instalacji zaczyna się od tej samej listy, tylko dłuższej. Stary PHP, wtyczka page buildera bez łatek, kopia tylko na tym samym dysku co produkcja, hasło admin we wpisie w Notion, trzy wtyczki wielojęzyczne naraz, w tym jedna licząca czeski tekst na froncie angielskim. Pierwszy miesiąc to remediacja. Stała opieka zaczyna się, gdy da się bezpiecznie wgrać łatki.

Budowa od zera albo przebudowa motywu to już inna usługa: programista WordPress oraz strona city programista WordPress w Pradze. Sklep, checkout i integracje płatnicze: programista WooCommerce i programista WooCommerce w Pradze. Migracja na headless albo Astro: migracja Next.js i Astro w Pradze. Opieka nie udaje, że jest projektem wdrożeniowym. Gdy w utrzymaniu wychodzi, że motyw trzeba napisać od nowa, to idzie jako osobne zlecenie, na piśmie.

#Wydajność przy hubie tech w Czechach

Praga nie jest Frankfurtem z giełdą internetową, ale origin w UE, HTTP/3, Brotli, AVIF, cache, który nie trzyma soukromé zóny klienta, ograniczenie wtyczek z zapytań SQL na każdej podstronie: to nadal robota utrzymaniowa. Core Web Vitals mierzymy na realnych URL-ach w CS i EN, nie na pustej instalacji. INP psuje się od skryptów czatu i od tag managera, który marketing dodał poza ticketingiem. Opieka, która nie widzi GTM, będzie gonić „optymalizację obrazków” w nieskończoność.

Dla serwisu B2B albo instytucjonalnego w Pradze liczy się też čas do prvního bajtu z korporátní síťě v ČR, nie tylko z telefonu. Monitoring z jednego regionu USA kłamie. Punkt pomiaru w Czechach albo przynajmniej w Europie Środkowej jest częścią kontraktu operatorskiego, nie dodatkiem. Polska i Praga dzielą CET/CEST, więc okno diagnostyki w dzień roboczy pokrywa się; to nie zwalnia z sondy w UE.

#Bezpieczeństwo jako lista decyzji, nie jako plakietka

HTTPS z HSTS tam, gdzie infrastruktura to uniesie. Nagłówki ograniczające XSS. 2FA. Minimum kont administratorskich. Zakaz wtyczek „nulled”. Zakaz edytora plików wp-admin na produkcji. Rotacja haseł po odejściu freelancerów. Test odtworzenia kopii, bo kopia, której nikt nie odtwarzał, jest plikiem. Przy danych osobowych: umowa powierzenia, lista podprocesorów (host, CDN, poczta, analityka), procedura naruszenia pod GDPR CZ, jasność kto jest administratorem, a kto procesorem.

To nie jest certyfikat ISO sprzedawany z abonamentem. To jest lista, którą da się odhaczyć przy onboardingowym audycie i wrócić do niej co kwartał. Klient, który czyta zákon o zpracování osobních údajů albo siedzi obok hubu w Karlíně, i tak przyniesie własną checklistę. Lepiej mieć swoją wcześniej.

Sąsiedztwo startupów Karlíně nie czyni marketingowego WordPressa systemem klasyfikacji informacji vládní úrovně. Zespół nie pisze, że strona „spełnia ISO 27001” albo „je certifikována NÚKIB”, jeśli audytu nie było. WordPress ma dostarczyć inwentarz, ślad dostępu i dyscyplinę aktualizacji, które klient wkleja do własnej dokumentacji Veřejné zakázky albo umowy powierzenia.

#Jak zaczynamy, bez zaliczek w procentach na stronie

Zakres, godziny reakcji i cena są indywidualne i lądują w umowie przed startem. Na tej stronie nie ma podziału płatności na transze procentowe i nie ma tabeli pakietów. Krótki opis serwisu, stacku, hostingu, pary CS/EN i tego, czy jest środowisko testowe, wystarczy, żeby zaproponować audyt onboardingu.

Kontakt: formularz. W zgłoszeniu przydaje się lokalizacja hostingu, lista wtyczek albo dostęp do stagingu, informacja czy serwis musi zostać w UE oraz czy front jest dwujęzyczny CS/EN. Z tego powstaje plan: co naprawiamy zanim w ogóle wejdziemy w miesięczny rytm, a co zostaje w kadencji.

Opieka w Pradze ma sens, gdy serwis już niesie biznes albo povinnost informovat veřejnost a trzeba go nie zepsuć. Gdy trzeba go dopiero zbudować, wracamy do programisty WordPress w Pradze. Gdy trzeba go utrzymać przy GDPR CZ, eIDAS w procesach klienta, hostingu w UE i hubu startupowym Karlín, zostajemy przy tym, co ta strona opisuje: środowisko testowe, kopia, WAF, dziennik, procesy rejestrowe po stronie klienta.