Relacja z 22. WordUp Gdynia, jak było naprawdę?

#Jak przebiegło spotkanie WordUp Gdynia #22

Data: 5 kwietnia 2025
Miejsce: Muzeum Miasta Gdyni (foyer + audytorium)
Uczestnicy: ~100 osób

22. edycja WordUp Gdynia już za nami. Wiosenne spotkanie w Muzeum Miasta Gdyni zgromadziło zarówno doświadczonych programistów, jak i osoby dopiero zaczynające swoją przygodę z WordPressem. Jak zwykle nie zabrakło inspirujących rozmów, praktycznych prelekcji i fantastycznej atmosfery sprzyjającej wymianie doświadczeń. To wydarzenie udowodniło, że trójmiejska społeczność WordPressa tętni życiem i chętnie dzieli się wiedzą. Każda prezentacja była naładowana praktycznymi poradami i inspiracją, od bezpieczeństwa, przez SEO, aż po kwestie prawne i UX. Uczestnicy mogli zadawać pytania, dzielić się swoimi przemyśleniami i od razu wdrażać nowe pomysły w swoich projektach.

Formalnie było to 22. spotkanie z serii WordUp Trójmiasto, którą prowadzi ekipa #wptrojmiasto na stronie WordUp Gdynia. Wstęp był bezpłatny, obowiązywała rejestracja, a zapowiedź wydarzenia ukazała się 18 marca 2025 na polskim serwisie WordPress.org pod tytułem „Po zimowym rejsie”.

#Jak wyglądała rozgrzewka i networking na WordUp Gdynia

Weekend zaczął się już w piątek wieczorem (4 kwietnia, 19:00) od luźnego before party w pubie PifPaf przy ulicy 10 Lutego.

#Jakie prelekcje i panel były na WordUp Gdynia #22

Konferencja otworzyła się punktualnie o 12:00. Choć Karolina Czapla oraz Filip Sroka nie mogli się pojawić z powodów zdrowotnych, szybko zagospodarowaliśmy lukę krótką sesją lightning networking. Oto pełna agenda z esencją każdego wystąpienia:

Udział XSS w tabeli podajemy za podsumowaniem Patchstack z listopada 2024, o którym niżej.

#Panel open mic o AI, kompetencjach miękkich i GPL

Moderowany przez Kasię Tadaszak i Mariusza Szatkowskiego. Publiczność dyskutowała o:

• Przyszłości WordPressa z asystentem AI w Gutenbergu (42% entuzjastów, 29% sceptyków).
• Znaczeniu kompetencji miękkich u programisty, negocjacje i asertywność w relacji z klientem.
• Licencje GPL vs model SaaS, gorąca debata przeniosła się później do PifPaf.

#Co zapowiadał oficjalny program WordUp Gdynia #22

Strona wydarzenia na wpgdynia.pl wymieniała prelegentów „w kolejności przypadkowej” i do większości wystąpień dawała krótki opis. Te zapowiedzi pokazują, z jakim pytaniem każdy prelegent wchodził na scenę.

Maciej Palmowski zapowiedział historię pod tytułem „O tym jak w ciągu miesiąca usunęliśmy 1000 wtyczek z repozytorium”. W opisie stawiał tezę, że liczba zamkniętych wtyczek wygląda przerażająco i znowu podsuwa wniosek o dziurawym WordPressie, po czym pytał, czy na pewno, i zapowiadał przegląd konsekwencji oraz wniosków.

Aleksandra Grygiel w wystąpieniu „Hosting bez tajemnic” oparła się na obsłudze klientów firmy hostingowej: ponad 4 tysiące odebranych czatów i kilka tysięcy odpowiedzi mailowych. Zakres sięgał od przekroczonych zasobów konta po ataki wirusów.

Magdalena Paciorek miała pokazać krok po kroku, jak przygotować demo w WordPress Playground, czy to do szkoleń, czy do prezentacji własnego motywu albo wtyczki.

Tomasz Dziuda zapowiadał błędy, które zniechęcają albo wręcz blokują potencjalnych klientów, przy czym część z nich wynika z działań wyglądających na sprawdzone praktyki.

Piotr Mońka, Tech Lead w Ambiscale, opisywał dostępność jako zbiór niewidocznych barier, które dotykają nie tylko osób z niepełnosprawnościami, ale każdego użytkownika strony.

Tomasz Skupny przyszedł z tytułem „Nie pytaj co może zrobić dla Ciebie prawnik, tylko co możesz bez niego”. Opis obejmował umowę z klientem, ustalenia na początku współpracy, wymogi przy tworzeniu stron i sprawdzenie, czy klient nie zniknie bez zapłaty, czyli połączenie OSINT, RODO i Prawa komunikacji elektronicznej.

Paweł Gontarek, właściciel agencji semgence.pl, w wystąpieniu Na SEO mi to SEO? zapowiadał, że SEO traktowane jako główny kanał sprzedaży może się po prostu nie opłacić.

Max Matłoka w temacie „Ile razy trzeba zostać zhackowanym, aby czegoś się nauczyć?” obiecał pokazać, co dzieje się po zignorowaniu dobrych praktyk i niezabezpieczeniu własnego konta.

Rafał Chrzan zapowiadał metody, którymi da się przez REST API WordPressa dostać bez autoryzacji do produktów cyfrowych, oraz najczęstsze błędy sprzedawców plików.

W programie były też dwa wystąpienia, które nie doszły do skutku. Karolina Czapla miała mówić o pięciu metodach samodzielnego badania rynku, zanim zacznie się kodować wtyczkę. Filip Sroka planował temat „Jak testujemy naszą wtyczkę: merge, automatyzacja i wyzwania”. Listę zamykali Marcin Andrzejewski jako „Smooth operator” i Mariusz Szatkowski jako współorganizator, a networking w PifPaf zapowiedziano hasłem „Boli Cię Twój WordPress?”, z zaproszeniem do przyniesienia własnych problemów.

#Ile wtyczek zamknięto po bug bounty Patchstack w październiku 2024

Wystąpienie Macieja Palmowskiego opierało się na akcji, którą Patchstack opisał 13 listopada 2024 w artykule Nearly 1000 Plugins Closed During WordPress Security Cleanup. Autorem tekstu jest sam Palmowski, wtedy Security Community Manager w Patchstack.

Październik 2024 był miesiącem cyberbezpieczeństwa i Patchstack poluzował zasady swojego programu bug bounty. Wtyczki i motywy z mniej niż tysiącem aktywnych instalacji dostawały tyle samo punktów co te z tysiącem, a zniesiono limit trzech lat od ostatniej aktualizacji. Oba wyjątki dotyczyły tylko zgłoszeń z oceną CVSS co najmniej 6,5.

Wynik według Patchstack:

Liczba nie oznacza 1571 łatwych do wykorzystania dziur. Najczęstsze oceny CVSS to 7,1 (755 zgłoszeń) i 6,5 (426), a 164 zgłoszenia dostały 9,0 lub więcej. Według tego samego zestawienia 976 zgłoszeń (62,13%) jako warunek wstępny podawało brak logowania, 416 wymagało roli współpracownika, a 148 roli subskrybenta. Wiele zgłoszonych wtyczek i motywów nie miało aktualizacji od 6 do 11 lat. Badacze dostali łącznie ponad 17 tysięcy dolarów nagród.

Najwięcej mówi przedostatni wiersz. Prawie trzy czwarte zgłoszeń trafiło do zespołu przeglądu wtyczek WordPress.org, bo kontakt do autora nie istniał, był nieaktualny albo nie działał. Stąd zamknięcia: większość ma charakter tymczasowy i staje się stała, jeśli autor nie zareaguje. Patchstack zwraca też uwagę, że zamknięta wtyczka dalej działa na stronach, które ją mają, a użytkownik zwykle nie widzi żadnego ostrzeżenia. Sprawa jest opisana w zgłoszeniu Trac #30465. Wniosek Patchstack dla autorów wtyczek jest prosty: opublikować program zgłaszania podatności (VDP) z działającym kontaktem, żeby raport trafił do autora, zanim trafi do zespołu przeglądu.

To samo wystąpienie Palmowski powtórzył po angielsku na WordCamp Kraków 29 czerwca 2025; nagranie jest na WordPress.tv.

#Co z prelekcji WordUp Gdynia warto wdrożyć w projektach WordPress

Kilka wystąpień przekłada się na konkretne zadania dla osób utrzymujących strony na WordPressie.

Z wystąpienia Macieja Palmowskiego zostaje waga podatności XSS, które według Patchstack stanowiły 67% zgłoszeń. Warto przejrzeć, jak utrzymywane przez Ciebie wtyczki walidują i escapują dane wejściowe. Drugie zadanie to sprawdzenie, czy któraś z używanych wtyczek nie została zamknięta w repozytorium, bo panel WordPressa może tego nie pokazać.

Rafał Chrzan pokazał, jak wyłączyć listowanie użytkowników w REST API i chronić pobieranie plików cyfrowych sygnaturami URL oraz tokenami. To punkt do sprawdzenia w każdym sklepie sprzedającym pliki. Punkt wyjścia to endpoint /wp/v2/users, który dokumentacja REST API opisuje jako kolekcję użytkowników, z domyślnym kontekstem view i parametrami who=authors oraz has_published_posts. Pola email i username pojawiają się dopiero w kontekście edit, więc publiczna odpowiedź pokazuje mniej, ale nadal zdradza listę autorów.

Piotr Mońka przeszedł przez najczęstsze błędy dostępności: kontrast, fokus trap i aria-label. Wszystkie trzy da się sprawdzić na istniejącej stronie, przechodząc ją klawiaturą i używając narzędzia do pomiaru kontrastu.

Aleksandra Grygiel wymieniła pięć problemów hostingowych, z którymi spotyka się najczęściej: limit iNodes, cron spam, fałszywe alarmy antywirusa, timeouty i pomyłki w DNS.

Tomasz Skupny dorzucił stronę umowną: OSINT o kliencie, klauzule escrow, wzór SLA i checklistę na wypadek znikającego klienta. Warto zestawić ten materiał z umowami, których już używasz.

#Gdzie WordUp Gdynia #22 mieści się w serii spotkań WordPress w Trójmieście

Archiwum na wpgdynia.pl zaczyna się od wpisu WordUp Gdańsk #1 z grudnia 2012, ze spotkaniem w gdańskim pubie Polufka i trzema tematami: o samych WordUpach, o e-commerce na WordPressie i o Advanced Custom Fields. Kolejne edycje szły już pod nazwą WordUp Trójmiasto, a część z nich miała własny profil: #11 i #13 były edycjami dla początkujących, a #18 świętowała 20-lecie WordPressa.

Edycja #22 jest ostatnią w archiwum pod szyldem WordUp Trójmiasto. Od #23 strona używa nazwy WordUp Gdynia, a rytm wydarzenia pozostał ten sam: piątkowe spotkanie w PifPaf, sobotnie prelekcje od 12:00 w Muzeum Miasta Gdyni i wieczorny networking. Tak wyglądały #23 (6 grudnia 2025, z biforem na jarmarku w Gdańsku), #24 (28 lutego 2026) i #25 (19 września 2026). Strona główna zapowiada edycję #26 na 16 stycznia 2027 w tym samym muzeum i zapowiada na nią ponad 100 uczestników i ponad 12 prelegentów.

#Co działo się na after party WordUp Gdynia #22

Po zamknięciu muzeum przenieśliśmy się z powrotem do PifPaf. Rozmowy trwały do późna, od błędów w REST API po ulubione motywy FSE.

#Sponsorzy i partnerzy WordUp Gdynia #22

• White Label Coders, partner tytułarny, sfinansowanie sali i pakiety powitalne.
• Smarthost.pl, strefa kawowa i voucher book.
• Planet Pay, dostawca bramek płatniczych z wtyczkami do WooCommerce, wymieniony wśród patronów na stronie wydarzenia.
• Kinsta, konkurs „Longest Uptime”, gadżety.
• cyber_Folks, strefa chillu i lemoniada.
• PAQ-studio, helpdesk SEO e-commerce przy stoisku.
• relacje.video / relacje.ai, pełna dokumentacja wideo (playlista poniżej).

Partnerami wydarzenia były Fundacja WWW i WPPoland.

#Gdzie znaleźć nagrania i materiały z WordUp Gdynia #22

Pełna playlista „WordUp Gdynia #22” na kanale WPGdynia w serwisie YouTube.

Playlista ma 10 filmów: dziewięć prelekcji z tabeli powyżej oraz nagranie z panelu „free mic”. Nagrań Karoliny Czapli i Filipa Sroki w niej nie ma, co zgadza się z ich nieobecnością. Na tym samym kanale są osobne playlisty kolejnych edycji, #23 i #24, oraz WordCampów Gdynia 2024 i 2025.

#Terminy WordCamp Kraków i WordCamp Gdynia 2025

• WordCamp Kraków 2025, 27 do 29 czerwca 2025, kolejne spotkanie pod Wawelem.
• WordCamp Gdynia 2025, 26 do 28 września 2025 w Pomorskim Parku Naukowo-Technologicznym, wracamy nad Bałtyk z dwudniową, wielotorową edycją, poprzedzoną piątkowym Contributor Day.

Według oficjalnej strony WordCamp Gdynia 2025 był pierwszym dwujęzycznym WordCampem w Polsce, z osobną ścieżką prelekcji po angielsku.

Dziękujemy wszystkim uczestnikom, prelegentom i partnerom za energię, wiedzę i świetną atmosferę. Liczymy, że zobaczymy się na kolejnych wydarzeniach WordPress Community. Na WordUp Gdynia najważniejsi są ludzie i energia, którą wnoszą. Już od samego wejścia czuć było pozytywny vibe, a rozmowy toczyły się nie tylko na korytarzach, ale i podczas after party w pubie PifPaf przy ulicy 10 Lutego. To tam rodziły się najlepsze pomysły i nawiązywały nowe znajomości oraz współprace.

„Gdynia, z jej urokliwą lokalizacją nad morzem, dostarcza niesamowitej atmosfery i energii. Taka sceneria sprzyja kreatywnemu myśleniu i jest doskonałym tłem dla tak inspirującego wydarzenia, jakim jest WordUp.”, organizatorzy na stronie WordUp Gdynia

#Dlaczego warto było być na WordUp Gdynia #22

• Świeża dawka wiedzy od topowych ekspertów z branży
• Motywacja do wdrażania innowacji w swoich projektach
• Okazja do poznania ludzi dzielących Twoją pasję
• Dostęp do nagrań z prelekcji, wracaj do nich w dowolnym momencie

Jeśli jeszcze nie byłeś na żadnym WordUpie, warto dołączyć do nas następnym razem. To najlepszy sposób na bycie na bieżąco z WordPressem i poznanie naprawdę inspirującej społeczności.

WordUpy są dobrym miejscem, żeby zobaczyć, jak inny zespół rozwiązał problem, który właśnie masz na biurku. Poza spotkaniami robimy to samo w praktyce, prowadząc prace deweloperskie na WordPressie.