Programista WordPress w Kielcach

Programowanie WordPress dla firm z Kielc i województwa świętokrzyskiego: dedykowane motywy blokowe, wtyczki, integracje z polskim stosem płatności i logistyki oraz utrzymanie. Pracuję bezpośrednio jako senior, bez warstwy pośredniczącej, z kontrolą kodu na każdej gałęzi i pisemnym przekazaniem projektu.

Kielce mają na lokalny rynek dwa charakterystyczne odciski, które realnie zmieniają wymagania wobec WordPressa. Pierwszy to Targi Kielce, czwarty co do wielkości ośrodek wystawienniczy w Europie Środkowo-Wschodniej, z MSPO we wrześniu, Plastpolem w maju i kalendarzem branżowych wystaw rozłożonym na cały rok. Drugi to przemysł regionalny zakorzeniony w Górach Świętokrzyskich i tradycji wydobywczej: produkcja materiałów budowlanych, ceramika sanitarna, dystrybucja prasy i FMCG, do tego coraz mocniejsze zaplecze IT skupione wokół Kieleckiego Parku Technologicznego. Strona zbudowana z kupionego motywu i dwudziestu wtyczek nie wytrzymuje, gdy dochodzą sezonowe szczyty ruchu, katalogi B2B i niemiecki kupiec szukający dokumentacji w angielskiej wersji.

#Programowanie WordPress w realiach Kielc

Producent kostki i obrzeży z okolic Suchedniowa, sprzedawca części do maszyn z hali przy Targach, gabinet rehabilitacji z Centrum i firma logistyczna spod S7 mają zupełnie inne potrzeby od WordPressa. Łączy je jeden problem: motyw kupiony w marketplace plus stos wtyczek nie udźwignie sezonowych pików okolicy MSPO ani katalogu B2B z dokumentacją techniczną. Tę warstwę buduję jako dedykowany kod, a nie kolejną wtyczkę z katalogu.

#Co realnie buduję

• Dedykowane motywy blokowe na Full Site Editing: theme.json, wzorce bloków, warianty stylów, hierarchia szablonów, którymi redakcja zarządza bez wzywania programisty
• Własne wtyczki na logikę biznesową, która ma przeżyć zmianę motywu: integracje, własne typy treści, endpointy REST, narzędzia w panelu
• Integracje z polskim stosem płatności: BLIK, Przelewy24, PayU, Autopay, Tpay, plus PayPo i Klarna dla zakupów odroczonych, żeby checkout WooCommerce nie tracił klienta na ostatnim kroku
• Wysyłka i logistyka: InPost Paczkomaty z mapą wyboru punktu, kurierzy, integracje z BaseLinkerem i feed do Allegro dla sprzedawców prowadzących wiele kanałów obok własnego sklepu
• Przygotowanie pod KSeF: od lutego 2026 obowiązek e-faktur w obrocie B2B, spięcie WooCommerce z Subiektem, Comarch albo bezpośrednio z API Krajowego Systemu e-Faktur i poprawne dane do JPK_V7
• Wielojęzyczność PL/EN/DE pod wystawców i kupujących z Targów Kielcach: WPML lub Polylang, hreflang, osobne slugi, niezależne meta dla każdej wersji i obsłużone strefy czasowe formularzy zapisów na targi
• Dostępność WCAG 2.1 AA dla podmiotów publicznych, instytucji kultury i firm składających oferty w przetargach: ustawa o dostępności cyfrowej wymaga jej od jednostek sektora publicznego, a coraz częściej także od wykonawców

#Dlaczego lokalizacja Kielc ma znaczenie technicznie

Kalendarz Targów Kielcach wymusza na wystawcach myślenie o stronie nie jako stałym obciążeniu, ale jako infrastrukturze, która musi udźwignąć kilka okien w roku. Plastpol w maju, Industrial Spring na przełomie marca i kwietnia, MSPO na początku września, Polsecure jesienią, do tego targi pakowania, mebli, sadownictwa i nowej infrastruktury (dawna Autostrada, dziś rozszerzona o kolej i energetykę) generują tygodniowe szczyty, w których ruch potrafi wzrosnąć kilkukrotnie i przyjść z innych krajów. Strona, która o tym nie wie, leży akurat wtedy, kiedy zagraniczny kupiec szuka karty katalogowej. W praktyce oznacza to pełne cache stron na brzegu (Cloudflare albo Varnish), oddzielne ścieżki dla strony katalogowej i panelu admina, preload kluczowych zasobów hero i test obciążeniowy zanim ruch przyjdzie naprawdę. Polski hosting (cyber_Folks, OVH PL, home.pl, Mikr.us) sprawdza się dla mniejszych projektów, ale przy wystawcach z międzynarodowym ruchem osobny CDN i origin pull przestają być luksusem.

Region świętokrzyski ma drugą cechę, która zmienia decyzje techniczne: dużą część gospodarki tworzą firmy produkcyjne i dystrybucyjne sprzedające do innych firm, a nie do konsumenta. To pociąga konkretne wymagania: katalog produktów z atrybutami technicznymi (wymiary, normy PN-EN, deklaracje zgodności, dokumentacja PDF do pobrania), ceny widoczne dopiero po zalogowaniu kontrahenta, role użytkowników (klient detaliczny, hurtowy, kontrahent zagraniczny) z różnymi cenami i warunkami, zapytania ofertowe zamiast koszyka. WooCommerce w wariancie domyślnym tego nie obsłuży, ale dobrze rozszerzony radzi sobie z B2B lepiej niż dedykowane platformy w segmencie małych i średnich firm, bo daje pełną kontrolę nad procesem i nie blokuje danych.

Bliskość granicy z Niemcami przez S74 i S7 oraz ruch wystawienniczy oznaczają, że niemal każda strona firmy produkcyjnej z regionu prędzej czy później dostaje wersję angielską albo niemiecką. To nie jest opcja kosmetyczna: niemiecki kupiec spodziewa się PayPal, Klarny i SEPA, prawa odstąpienia (Widerrufsrecht) i Impressum na stronie, a polski klient BLIK-a i Przelewów24. Jeden checkout musi pokazać właściwy zestaw metod w zależności od wersji językowej i kraju dostawy, a nie wrzucać wszystkiego na jeden ekran.

#Skąd biorą się kompetencje na lokalnym rynku

Politechnika Świętokrzyska i Uniwersytet Jana Kochanowskiego kształcą inżynierów i informatyków, którzy zostają w regionie lub trafiają do firm spinających się przez Kielecki Park Technologiczny. Wokół Parku osiadły lokalne zespoły IT (Infover, Smartive, Silevis, Globtrak, ITM Code, Transition Technologies PSC), a Kieleckie Dni Informatyki regularnie pokazują, że to nie jest peryferia, tylko mocny rynek techniczny. W praktyce oznacza to, że projekty trafiają do mnie po kilku takich rękach: motyw nadpisywany bezpośrednio w plikach na produkcji, wtyczki dublujące funkcje, brak środowiska testowego, podpięty firmowy Allegro do innego stanu magazynowego niż sklep. Pierwszy krok to uporządkowanie i odzyskanie kontroli nad kodem, nie dokładanie kolejnej warstwy.

#Jak prowadzę projekt

Nie ma tu menedżera przekazującego wiadomości ani juniora uczącego się na Twoim sklepie. Osoba, z którą rozmawiasz, pisze kod.

1. Audyt i odkrycie. Przeglądam obecny motyw, wtyczki, integracje, ograniczenia hostingu i dane analityczne. Spisuję dług techniczny, szybkie wygrane i mierzalne kryteria sukcesu, zanim powstanie pierwsza linia kodu.
2. Specyfikacja techniczna. Decyzje architektoniczne, wybór stosu (motyw blokowy czy refaktoryzacja istniejącego), harmonogram i kryteria odbioru. Plan zatwierdzasz przed startem.
3. Implementacja w gałęziach funkcyjnych. Zgodnie z WordPress Coding Standards: ciągi gotowe do tłumaczeń, dostępne znaczniki, bloki renderowane serwerowo tam, gdzie to ma sens, testy na fragmentach, które tego wymagają, kontrola kodu na każdej gałęzi.
4. QA na środowisku testowym. Pełne rozwiązanie na środowisku testowym identycznym z produkcją: testy regresji, cele Core Web Vitals i skan dostępności. Testujesz na realnej treści i integracjach, zatwierdzasz do startu.
5. Wdrożenie i przekazanie. Udokumentowany proces wydania ze ścieżką wycofania, żyjąca dokumentacja dla redakcji i programistów, sesja przekazania. Projekt trafia do Twojego zespołu albo na opcjonalny abonament opieki.

#Typowe problemy, z którymi przychodzą firmy z Kielc

• Strona wystawcy, która leży na targach. Tydzień Plastpolu albo MSPO i ruch ze świata waliło stronę do gleby, bo cała generacja szła z origin i bez cache. Konfiguruję pełne cache na brzegu, statyczne katalogi produktów dla wystawców z karuzelą po zalogowaniu i osobne ścieżki dla wp-admin, żeby panel działał, kiedy strona publiczna jest pod obciążeniem.
• Katalog B2B udający sklep. Firma chce pokazać produkty, ale nie ma sprzedawać przez koszyk. Robię z tego porządny katalog: filtry po atrybutach, dokumentacja PDF, formularz zapytania ofertowego z routingiem do handlowca po regionie, login dla stałych kontrahentów z cenami dedykowanymi.
• Sprzedaż na Allegro i we własnym sklepie obok siebie. Stany magazynowe się rozjeżdżają, bo brak jednego źródła prawdy. Spinam WooCommerce z BaseLinkerem i magazynem, żeby zamówienia i stany szły jednym torem, a feed do Allegro odbywał się automatycznie z poprawnymi mapowaniami kategorii.
• Checkout, który gubi klientów. Sklep przyjmuje tylko przelew albo ma rozsypaną kolejność metod płatności. Porządkuję BLIK, Przelewy24/PayU/Autopay, kartę i PayPo tak, żeby najczęściej wybierane metody były u góry, a wybór Paczkomatu InPost nie wywalał koszyka.
• Faktury i KSeF 2026. Od lutego 2026 e-faktury w obrocie B2B są obowiązkowe. Spinam WooCommerce z Subiektem albo Comarch i przygotowuję dane pod KSeF oraz poprawny JPK_V7, żeby faktura powstawała automatycznie z zamówienia i trafiała do systemu krajowego bez ręcznego przeklejania.
• Strona po agencji, która zniknęła. Brak dostępu do kodu, brak dokumentacji, motyw nadpisany w plikach na produkcji. Odzyskuję kontrolę: środowisko testowe, repozytorium git, runbook i dopiero wtedy zmiany.
• Wielojęzyczność, która rozjeżdża SEO. Wersja angielska zrobiona automatycznym tłumaczeniem, hreflang nieobecny albo błędny, duplikaty slugów. Przebudowuję na WPML lub Polylang z poprawnym hreflang PL/EN/DE i niezależnymi meta, żeby wersje rankowały na swoich rynkach.

#Bezpieczeństwo i zgodność z prawem

W projektach traktuję bezpieczeństwo jako zestaw decyzji architektonicznych, a nie uniwersalną obietnicę zgodności. Typowy zakres obejmuje HTTPS z HSTS tam, gdzie pasuje do infrastruktury, nagłówki Content Security Policy ograniczające XSS, skanowanie podatności zależności w CI, uwierzytelnianie dwuskładnikowe dla kont administracyjnych i regularne testowanie kopii zapasowych. Przy stronach przetwarzających dane osobowe przygotowuję konfigurację zgód, umowy powierzenia i minimalizację danych do weryfikacji z właścicielem procesu. Dla klientów na bieżącej opiece prowadzę cykliczne przeglądy bezpieczeństwa: testy odtworzenia kopii, audyt dostępów, przegląd aktualizacji i listę ryzyk do decyzji biznesowej.

#Inżynieria wydajności

Core Web Vitals to nie ozdoba, to sygnał rankingowy i realne doświadczenie użytkownika, szczególnie na mobile, gdzie dziś trafia większość ruchu lokalnego. Projekty pod Kielce celują powyżej progów Google:

• LCP poniżej 1,5 sekundy dzięki uporządkowanej ścieżce renderowania krytycznego, preloadowanym obrazom hero w AVIF/WebP, cache na brzegu i generowaniu statycznemu tam, gdzie to możliwe
• INP poniżej 100 ms dzięki minimalnej hydracji JavaScript, web workerom do cięższych obliczeń i kontrolowanemu ładowaniu skryptów zewnętrznych
• CLS poniżej 0,05 dzięki jawnym wymiarom obrazów, font-display:swap z dopasowanymi fallbackami i zarezerwowanemu miejscu na treść dynamiczną

Metryki monitoruję ciągle przez Lighthouse CI i dane realnych użytkowników. Regresja uruchamia alert i blokuje wdrożenie. Dla wystawców Targów Kielcach dodatkowo robię test obciążeniowy na tydzień przed ich oknem targowym, żeby uniknąć sytuacji, w której strona pada w środę o jedenastej, kiedy ze stoiska skanują kod QR.

#Lokalne SEO i widoczność dla firmy z Kielc

Dobrze zbudowana strona ma wartość tylko wtedy, gdy klient z Kielc, regionu albo z zagranicy ją znajdzie. Fundament SEO układam już na etapie architektury:

• Techniczny fundament: czyste URL, sitemap XML, robots.txt, canonical, poprawna hierarchia nagłówków i dane strukturalne (LocalBusiness, Organization, Product, Service, FAQ, HowTo)
• Wyszukiwanie lokalne: Google Business Profile, dane strukturalne z adresem w Kielcach, spójne NAP, strony docelowe pod zapytania z regionu świętokrzyskiego, w tym z mniejszych miast powiatowych (Skarżysko, Starachowice, Końskie, Ostrowiec, Jędrzejów)
• Rynek wystawienniczy i międzynarodowy: dla firm sprzedających do Niemiec, Czech i krajów Bałtyckich osobne struktury URL, hreflang PL/EN/DE i niezależne metadane, plus dane strukturalne Event dla obecności na targach (MSPO, Plastpol, Industrial Spring), żeby strony wystawców pojawiały się w kontekście wydarzenia
• Widoczność w odpowiedziach AI: treść układam tak, żeby była czytelna również dla systemów generujących odpowiedzi (Google AI Overviews, ChatGPT, Perplexity), z jasnymi definicjami, faktami i uporządkowanymi danymi

SEO nie jest dodatkiem po starcie, jest częścią decyzji architektonicznych od pierwszego szkicu.

#Pytania, które najczęściej dostaję

Czy możecie zmigrować istniejącą stronę? Tak, z dowolnego CMS do WordPress, z WordPress do headless (Astro/Next.js) i między hostingami. Każda migracja obejmuje mapowanie URL, przekierowania 301 i monitoring SEO przez 90 dni po przeniesieniu.

Co obejmuje opieka? Aktualizacje WordPress, wtyczek i motywów testowane wcześniej na środowisku testowym, codzienne backupy z 30-dniową retencją, monitoring dostępności, skan bezpieczeństwa i godziny deweloperskie na drobne zmiany.

Pracujecie tylko z Kielcami? Bazuję na rynku świętokrzyskim i lokalnej społeczności technicznej skupionej wokół Kieleckiego Parku Technologicznego, ale współpracuję z klientami w całej Polsce i za granicą, zwłaszcza z wystawcami Targów Kielcach i firmami handlującymi w obrębie UE.

Sklep z motywu czy dedykowany? Decyzja zapada na bazie kosztu i długu, nie tego co ciekawiej się buduje. Nowe projekty zwykle startują z motywem blokowym; odziedziczone częściej potrzebują skoncentrowanej refaktoryzacji niż przepisywania od zera. Wybór dokumentuję jako pisemny kompromis techniczny.

Co z KSeF od lutego 2026? Przygotowanie obejmuje dwa scenariusze: integracja bezpośrednio z API KSeF (jeśli klient nie używa zewnętrznego programu księgowego) albo most przez Subiekt, Comarch lub innego pośrednika, który już komunikuje się z systemem krajowym. W obu przypadkach WooCommerce wystawia poprawny dokument z zamówienia i nie wymaga ręcznego przeklejania danych.

#Bezpieczeństwo aplikacyjne przy pracy z kodem

Nagłówki HTTP, HSTS i kopie zapasowe chronią infrastrukturę, ale większość realnych incydentów na WordPressie zaczyna się o poziom wyżej: w formularzu zapytania ofertowego, w endpoincie AJAX filtrującym katalog albo we wtyczce dołożonej rok temu na szybko. Dlatego bezpieczeństwo aplikacyjne prowadzę jako osobny zestaw reguł przy pisaniu kodu i przy jego przeglądzie, niezależnie od tego, co ma skonfigurowany hosting.

Walidacja na wejściu, sanityzacja przy zapisie, escapowanie na wyjściu. To trzy różne kroki i żaden nie zastępuje pozostałych. Dane z żądania przechodzą najpierw przez wp_unslash (WordPress dokłada ukośniki do superglobali), potem przez funkcję dobraną do typu pola: sanitize_text_field, sanitize_textarea_field, sanitize_email, sanitize_key, absint, wp_kses_post tam, gdzie redaktor faktycznie ma prawo do znaczników. Walidacja to osobne pytanie: czy wartość w ogóle należy do dozwolonego zbioru. NIP z poprawną sumą kontrolną, atrybut produktu istniejący w słowniku, wartość pola wyboru z listy dozwolonych, identyfikator regionu handlowca ze zbioru zdefiniowanego w kodzie. Escapowanie robię możliwie najpóźniej, przy samym wyjściu: esc_html, esc_attr, esc_url, wp_json_encode dla danych wstrzykiwanych do skryptu, esc_html__ i esc_attr__, gdy ciąg jest tłumaczony. Escapowanie w momencie zapisu do bazy to typowy błąd, bo ta sama wartość trafia potem do maila, do eksportu CSV i do odpowiedzi API, a każde z tych wyjść ma inne reguły.

Przygotowane zapytania zamiast sklejania SQL. Każde własne zapytanie idzie przez $wpdb->prepare z placeholderami %s, %d i %f, a operacje zapisu przez $wpdb->insert, $wpdb->update i $wpdb->delete z jawną tablicą formatów. esc_sql nie jest zamiennikiem prepare i nie traktuję go jako zabezpieczenia. Nazw tabel i kolumn nie da się przekazać jako zwykłego parametru, więc pochodzą albo z $wpdb->prefix, albo z listy dozwolonych wartości po stronie kodu; od WordPressa 6.2 służy do tego placeholder %i. W katalogach B2B, gdzie filtry po atrybutach technicznych budują zapytanie dynamicznie, kolumna sortowania i kierunek też przechodzą przez mapowanie na dozwolone wartości, nie przez wklejenie parametru z adresu URL.

Nonce to ochrona przed CSRF, uprawnienia to autoryzacja. Nonce generuję przez wp_nonce_field lub wp_create_nonce, sprawdzam przez check_admin_referer w panelu, check_ajax_referer w akcjach AJAX, a w REST przez nagłówek X-WP-Nonce z akcją wp_rest. Nonce mówi tylko tyle, że żądanie pochodzi z interfejsu aplikacji i nie jest przeterminowane. Nie mówi, czy użytkownik ma prawo do operacji, więc to sprawdzam osobno przez current_user_can z konkretną capability (edit_shop_orders, manage_woocommerce, własna capability dla panelu kontrahenta), nigdy przez porównanie nazwy roli i nigdy przez is_admin, które opisuje wyłącznie kontekst żądania. Akcje rejestrowane jako wp_ajax_nopriv_ są z definicji dostępne anonimowo, więc dostają własne ograniczenie liczby żądań i własny komplet walidacji.

REST API z jawnym permission_callback. Każda trasa rejestrowana przez register_rest_route dostaje permission_callback; od WordPressa 5.5 jego brak generuje ostrzeżenie. Na endpointach zapisujących nigdy nie jest to __return_true. Argumenty deklaruję w tablicy args razem z sanitize_callback i validate_callback, żeby reguły były zapisane w definicji trasy, a nie rozjeżdżały się po ciele funkcji. Pliki przyjmuję przez wp_handle_upload i wp_check_filetype_and_ext, bo rozszerzenie nie jest dowodem na typ pliku, a katalog z dokumentacją techniczną PDF to najwygodniejszy sposób na wrzucenie na serwer czegoś wykonywalnego.

Przegląd kodu wtyczek zewnętrznych przed wdrożeniem na produkcję. Wtyczka spoza oficjalnego repozytorium, kupiona na marketplace albo dostarczona przez integratora, przechodzi przegląd zanim dotknie produkcji. Sprawdzam datę ostatniej aktualizacji i deklarowaną zgodność z aktualną gałęzią WordPressa, obecność eval, create_function, extract i unserialize na danych użytkownika, base64_decode w ciele funkcji, bezpośrednie użycia $_GET i $_POST bez wp_unslash i sanityzacji, file_get_contents na zdalnym adresie zamiast wp_remote_get, własny mechanizm autoaktualizacji ciągnący kod z obcej domeny oraz to, czy ekran ustawień w ogóle weryfikuje nonce i capability. Wtyczka, która nie przejdzie przeglądu, nie wchodzi na produkcję, nawet jeśli działa poprawnie na środowisku testowym. Jeśli daje jedyną potrzebną funkcję, zwykle taniej jest napisać wąski odpowiednik jako własną wtyczkę niż utrzymywać cudzy dług.

Automatyzacja tego, co da się zautomatyzować. PHPCS z WordPress Coding Standards i regułami z grupy WordPress.Security (NonceVerification, ValidatedSanitizedInput, EscapeOutput) uruchamiany w CI, PHPStan z rozszerzeniem dla WordPressa do sprawdzania typów i martwych gałęzi kodu, composer audit oraz pakiet Roave Security Advisories blokujący instalację zależności ze znanymi podatnościami, wp core verify-checksums i wp plugin verify-checksums do wykrycia plików zmienionych bezpośrednio na serwerze. Zestaw uruchamia się na każdej gałęzi, więc nie ma etapu „sprawdzimy przed startem”, jest blokada scalenia.

Dlaczego to ma znaczenie akurat w Kielcach. Wystawcy MSPO i dostawcy do sektora obronnego dostają od kontrahentów ankiety bezpieczeństwa, w których pytania o walidację wejścia, kontrolę dostępu i proces przeglądu zależności padają wprost, a odpowiedź „korzystamy z popularnych wtyczek” nic nie znaczy. Firmy produkcyjne i dystrybucyjne z regionu trzymają w katalogach B2B ceny dla kontrahentów, deklaracje zgodności i dokumentację techniczną, których anonimowy odwiedzający widzieć nie powinien. To nie jest ukrywanie sekcji stylami, tylko sprawdzenie capability przed wygenerowaniem odpowiedzi, również w endpointach AJAX obsługujących filtry katalogu i podpowiedzi wyszukiwarki. Zakres cyklicznych przeglądów, sposób zgłaszania podatności i czasy reakcji określa umowa opieki, a znane ryzyka, których nie opłaca się usuwać, spisuję jako decyzję biznesową właściciela, nie jako obietnicę.

#Inne lokalizacje w Polsce

W centralnej Polsce opisujemy programowanie WordPress w Częstochowie oraz programowanie WordPress w Rzeszowie. Na północ sensownym uzupełnieniem jest programowanie WordPress w Radomiu.

#Rozmowa na start

Jeśli firma z Kielc, regionu świętokrzyskiego albo wystawiająca się na Targach Kielce potrzebuje programisty WordPress, napisz po niezobowiązującą konsultację. Przejrzę obecną sytuację, integracje i cele, po czym przedstawię uczciwą ocenę zakresu prac. Wycena jest zawsze indywidualna i wynika z realnego zakresu, a nie cennika z półki. Każdy sensowny projekt zaczyna się od jasnej komunikacji i wspólnych oczekiwań co do celów biznesowych, wymagań technicznych i ram czasowych.