Strona na WordPressie to kod PHP, JavaScript i baza danych, które działają w środowisku zmieniającym się co tydzień: nowe wersje PHP, wtyczek i przeglądarek, nowe luki w popularnych wtyczkach. Strona zostawiona sama sobie na rok zwykle ma kilka znanych podatności i co najmniej jedną wtyczkę bez wsparcia.
Nazywam się Mariusz Szatkowski i zajmuję się WordPressem od 2006 roku. Opiekę nad stronami prowadzę sam, z Gdyni. W tym przewodniku opisuję, co ta opieka obejmuje w praktyce i po czym poznasz, że ktoś robi ją porządnie.
Samodzielna czy zlecona opieka nad WordPressem?
| Obszar | Gdy robisz to sam, bez procesu | Gdy opieka ma proces |
|---|---|---|
| Aktualizacje | ”Zaznacz wszystko” w kokpicie na produkcji i biały ekran w piątek wieczorem | Najpierw kopia stagingowa i test wizualny, poprawki bezpieczeństwa od razu, reszta z opóźnieniem 24 do 48 godzin |
| Kopie zapasowe | Tylko kopie hostingu, które znikają razem z kontem, gdy ktoś je przejmie | Kopie poza serwerem, w krajach UE, przez co najmniej 30 dni, z próbą odtworzenia |
| Bezpieczeństwo | Infekcja przez wtyczkę siedzi niezauważona tygodniami | Kontrola integralności plików i monitoring dostępności co 1 do 5 minut |
| Wydajność | Ratowanie strony, gdy już jest wolna | Czyszczenie bazy i pomiar Core Web Vitals jako stały punkt miesiąca |
Jak bezpiecznie aktualizować WordPress?
Najczęstszą przyczyną awarii, które naprawiam, są aktualizacje wgrane bez testu. Robię to w trzech krokach:
- Staging: każda aktualizacja trafia najpierw na kopię strony.
- Test wizualny: porównuję zrzuty kluczowych podstron przed aktualizacją i po niej, żeby wyłapać rozjechany układ, którego nie pokaże log błędów.
- Kolejność: poprawki bezpieczeństwa wgrywam od razu, a aktualizacje funkcjonalne czekają 24 do 48 godzin, aż inni użytkownicy zgłoszą oczywiste błędy.
Przed aktualizacją sprawdzam też zgodność: czy motyw działa na PHP 8.4, czy dodatek do WooCommerce obsługuje najnowszą wersję rdzenia. Szczegóły zakresu znajdziesz na stronie utrzymania stron WordPress.
Jak robić kopie zapasowe WordPressa według reguły 3-2-1?
Kopie u hostingodawcy to za mało. Gdy konto hostingowe zostanie zablokowane albo przejęte, tracisz stronę razem z kopiami. Reguła 3-2-1 wygląda tak:
- 3 kopie danych,
- 2 różne nośniki (serwer i zewnętrzna przestrzeń na kopie),
- 1 kopia poza serwerem strony.
Kopie, które robię, leżą poza serwerem, w krajach UE, przez co najmniej 30 dni. Kopia, której nikt nie odtworzył, jest tylko nadzieją, więc regularnie sprawdzam odtworzenie na osobnej kopii strony.
Jak monitorować bezpieczeństwo WordPressa?
- Kontrola integralności plików: porównuję pliki rdzenia, wtyczek i motywu z wersjami wzorcowymi, żeby wykryć nieautoryzowane zmiany, typowy ślad malware.
- Monitoring dostępności: sprawdzenie co 1 do 5 minut, czy strona odpowiada. Gdy przestaje, dostaję powiadomienie.
- Zapora (WAF): reguły w Cloudflare albo na serwerze, które odcinają złośliwe boty, zanim dojdą do WordPressa.
Jak optymalizować wydajność WordPressa?
Szybsza strona dostaje lepsze oceny Core Web Vitals, a Google bierze je pod uwagę jako sygnał jakości strony. W ramach opieki:
- czyszczę bazę danych: rewizje, spam w komentarzach, wygasłe transienty,
- sprawdzam zasoby serwera, żeby strona wytrzymała skoki ruchu,
- ustawiam konwersję nowych obrazów do AVIF lub WebP.
Jak wygląda obsługa awarii?
Nie oferuję dyżuru 24/7 ani gwarantowanego czasu reakcji. Ustalam za to z góry, które zdarzenia są krytyczne. Awaria płatności, brak możliwości logowania i błąd kosmetyczny mają różny priorytet.
Dobre zgłoszenie zawiera adres strony, czas pierwszego wystąpienia, kroki odtworzenia, oczekiwany wynik i ostatnie zmiany. Zanim cokolwiek ruszę, zabezpieczam punkt przywracania, odtwarzam problem poza produkcją, gdy się da, i szukam warstwy, która zawiodła: hosting, rdzeń, motyw, wtyczka, własny kod, cache, DNS albo usługa zewnętrzna.
Po naprawie przechodzę pierwotny scenariusz i funkcje obok. W sklepie to koszyk, przekierowanie do płatności, potwierdzenie, e-mail, stan magazynowy i analityka. W raporcie zapisuję przyczynę, zmianę, wynik testu i sposób wycofania. Gdy źródło problemu leży poza moim zasięgiem, na przykład u bramki płatności, obejście opisuję jako tymczasowe.
Jeśli awaria już trwa, a strona nie ma opieki, zacznij od pomocy technicznej WordPress.
Co powinien zawierać miesięczny raport z opieki?
Raport ma pokazywać stan strony, a nie listę kliknięć:
- aktualizacje z wynikiem testów i ewentualnym wycofaniem,
- stan kopii zapasowych i datę ostatniej próby odtworzenia,
- incydenty, ich wpływ i czas wykrycia,
- zmiany wydajności mierzone na tych samych podstronach,
- wygasające licencje, certyfikaty i zależności, które wymagają twojej decyzji.
Raz na kwartał przeglądam konta administratorów, integracje, formularze, zadania cykliczne i listę wtyczek. Przy każdej pozycji decyduję: zostawić, zaktualizować, zastąpić albo usunąć.
Opieka obejmuje rutynę. Nowy proces zakupowy, przebudowa integracji czy zmiana modelu danych to osobny projekt z własną wyceną.
Ile kosztuje samodzielna opieka nad WordPressem?
Policz prawdziwy koszt robienia tego samemu:
- Czas: 2 do 4 godzin miesięcznie na same aktualizacje i kopie.
- Ryzyko: co zrobisz, gdy aktualizacja zepsuje kasę w sklepie i trzeba czytać log błędów PHP?
- Koszt utraconych godzin: każda godzina przy wtyczkach to godzina, której nie poświęcisz firmie.
Kiedy zacząć opiekę nad WordPressem?
Najlepiej zaraz po uruchomieniu strony albo po migracji. Jeśli strona już działa, zacznij od audytu bezpieczeństwa: wersja PHP, stan wtyczek i motywu oraz sprawdzenie, czy kopie zapasowe da się odtworzyć. Każdy miesiąc bez testowanych aktualizacji i sprawdzonych kopii podnosi koszt odzyskania strony po włamaniu.
