Como foi o WordUp Gdynia #22 em abril de 2025
Data: 5 de abril de 2025
Local: Museu da Cidade de Gdynia (foyer + auditório)
Participantes: ~100 pessoas
A 22ª edição do WordUp Gdynia ficou para trás. O encontro de primavera no Museu da Cidade de Gdynia reuniu tanto programadores experientes como aqueles que estão apenas a começar a sua jornada WordPress. Como sempre, não faltaram conversas inspiradoras, palestras práticas e uma atmosfera fantástica que encorajou a troca de experiências. Este evento provou que a comunidade WordPress na Tricidade é vibrante e está ansiosa por partilhar conhecimento. Cada apresentação estava cheia de conselhos práticos e inspiração, desde segurança, passando por SEO, a questões legais e UX. Os participantes puderam fazer perguntas, partilhar os seus pensamentos e implementar imediatamente novas ideias nos seus projetos.
Formalmente, foi o 22º encontro da série WordUp Trójmiasto, que a equipa #wptrojmiasto mantém no site do WordUp Gdynia. A entrada era gratuita com inscrição, e o anúncio saiu a 18 de março de 2025 no site de notícias polaco do WordPress.org com o título «Po zimowym rejsie» (Depois do cruzeiro de inverno).
Before party e networking em Gdynia
O fim de semana começou logo na sexta-feira à noite (4 de abril, 19:00) com uma before party descontraída no pub PifPaf, na Rua 10 Lutego.
Palestras e oradores do WordUp Gdynia #22
A conferência abriu exatamente às 12:00. Embora Karolina Czapla e Filip Sroka não pudessem comparecer por razões de saúde, rapidamente preenchemos a lacuna com uma curta sessão de lightning networking. Aqui está o horário completo com a essência de cada palestra:
| Hora | Orador | Título e conclusões principais |
|---|---|---|
| 12:30 | Magdalena Paciorek | WordPress Playground, demonstração ao vivo de construção de um tema e partilha no navegador sem alojamento. |
| 13:00 | Maciej Palmowski | O maior bug bounty na história do WP: 1570 relatórios, cerca de 1000 plugins fechados, 67% dos relatórios eram XSS. |
| 13:30 | Max Matłoka | Ataques reais de hackers e lições aprendidas com invasões pessoais («não vai acontecer comigo»). |
| 14:00 | Rafał Chrzan | REST API + venda de ficheiros digitais: como desativar «list users», implementar assinaturas de URL e downloads baseados em tokens. |
| 15:00, 15:30 • pausa para catering fish & chips | ||
| 15:30 | Piotr Mońka | Erros de acessibilidade (contraste, focus trap, aria-label) e a «tecla F»: Focus-Form-Feedback-Fallback-Flair. |
| 16:00 | Tomasz «Dziudek» Dziuda | Armadilhas UX que matam a conversão: inferno de overlays, PDFs em vez de HTML, registo forçado. |
| 16:30 | Paweł Gontarek | «O SEO vale sempre a pena?», quando o SEO não compensa e é melhor investir em PPC ou newsletters. |
| 17:00 | Aleksandra Grygiel | Top 5 problemas de alojamento: iNodes, cron spam, falsos positivos do antivírus, timeouts, confusão de DNS + painel Smarthost Pulse. |
| 17:30 | Tomasz Skupny | Direito IT na prática: OSINT do cliente, cláusulas de custódia, modelo de SLA e a checklist do «cliente que desaparece». |
A percentagem de XSS na tabela vem do resumo da Patchstack de novembro de 2024, descrito mais abaixo.
Painel open mic sobre IA, soft skills e GPL
Moderado por Kasia Tadaszak e Mariusz Szatkowski. A audiência discutiu:
- O futuro do WordPress com assistentes de IA no Gutenberg (42% entusiastas, 29% céticos).
- A importância das soft skills para programadores, negociação e assertividade ao lidar com clientes.
- Licenças GPL vs modelo SaaS, um debate aceso que continuou mais tarde no PifPaf.
O que anunciava o programa oficial do WordUp Gdynia #22
A página do evento em wpgdynia.pl listava os oradores «por ordem aleatória» e dava uma descrição curta da maioria das palestras. Esses anúncios mostram com que pergunta cada orador subiu ao palco.
Maciej Palmowski anunciou uma história com o título «Como removemos 1000 plugins do repositório num mês». A descrição dizia que o número de plugins fechados parece assustador e volta a sugerir que o WordPress está cheio de falhas, e depois perguntava se isso é mesmo assim, prometendo um olhar sobre as consequências e as lições.
Aleksandra Grygiel baseou «Alojamento sem segredos» no seu trabalho de apoio ao cliente numa empresa de alojamento: mais de 4000 chats atendidos e vários milhares de respostas por email. O âmbito ia dos recursos da conta excedidos aos ataques de vírus.
Magdalena Paciorek ia mostrar passo a passo como preparar uma demonstração no WordPress Playground, seja para formações, seja para apresentar o seu próprio tema ou plugin.
Tomasz Dziuda anunciou os erros que afastam ou até bloqueiam potenciais clientes, alguns deles causados por ações que parecem boas práticas.
Piotr Mońka, Tech Lead na Ambiscale, descreveu a acessibilidade como um conjunto de barreiras invisíveis que afetam não só pessoas com deficiência, mas qualquer visitante de um site.
Tomasz Skupny trouxe o título «Não perguntes o que um advogado pode fazer por ti, pergunta o que podes fazer sem ele». A descrição abrangia o contrato com o cliente, o que acordar no início do projeto, os requisitos na criação de sites e como verificar se um cliente vai desaparecer sem pagar, ou seja, uma combinação de OSINT, RGPD e da lei polaca das comunicações eletrónicas.
Paweł Gontarek, dono da agência semgence.pl, anunciou em Na SEO mi to SEO? (um trocadilho polaco, algo como «Para que quero eu SEO?») que o SEO tratado como principal canal de vendas pode simplesmente não compensar.
Max Matłoka, em «Quantas vezes é preciso ser hackeado para aprender alguma coisa?», prometeu mostrar o que acontece quando se ignoram as boas práticas e se deixa a própria conta sem proteção.
Rafał Chrzan anunciou os métodos para obter acesso não autorizado a produtos digitais através da REST API do WordPress, bem como os erros mais comuns de quem vende ficheiros.
O programa tinha ainda duas palestras que não se realizaram. Karolina Czapla ia falar de cinco formas de estudar o mercado por conta própria antes de começar a programar um plugin. Filip Sroka tinha planeado «Como testamos o nosso plugin: merge, automação e desafios». A lista fechava com Marcin Andrzejewski como «Smooth operator» e Mariusz Szatkowski como coorganizador, e o networking no PifPaf foi anunciado com a frase «O teu WordPress dói-te?», com o convite para trazer os próprios problemas.
Quantos plugins foram fechados após o bug bounty da Patchstack em outubro de 2024
A palestra de Maciej Palmowski baseou-se numa ação que a Patchstack descreveu a 13 de novembro de 2024 no artigo Nearly 1000 Plugins Closed During WordPress Security Cleanup. O autor é o próprio Palmowski, na altura Security Community Manager na Patchstack.
Outubro de 2024 foi o mês da cibersegurança e a Patchstack aliviou as regras do seu programa de bug bounty. Plugins e temas com menos de mil instalações ativas valiam os mesmos pontos que os de mil, e foi eliminado o limite de três anos desde a última atualização. As duas exceções aplicavam-se apenas a relatórios com pontuação CVSS de pelo menos 6,5.
O resultado segundo a Patchstack:
| Indicador | Valor |
|---|---|
| Relatórios válidos em outubro | 1571 (1570 no anúncio), de 37 investigadores |
| Instalações ativas abrangidas pelos relatórios | 7 141 940 |
| Recorde mensal anterior | 620 (janeiro de 2024) |
| Relatórios sobre plugins / temas | 1536 (97,77%) / 35 (2,23%) |
| Cross-Site Scripting | 1056 (67,22%) |
| CSRF | 152 (9,68%) |
| Arbitrary File Upload / SQL Injection | 73 / 67 |
| Relatórios encaminhados para a equipa de revisão de plugins | 1162 (73,97%) |
| Plugins fechados à data da publicação | 977, cerca de 1,1% do repositório |
O número não significa 1571 falhas fáceis de explorar. As pontuações CVSS mais comuns foram 7,1 (755 relatórios) e 6,5 (426), e 164 relatórios tiveram 9,0 ou mais. Na mesma análise, 976 relatórios (62,13%) indicavam ausência de login como pré-requisito, 416 exigiam o papel de colaborador e 148 o de subscritor. Muitos dos plugins e temas reportados não eram atualizados há 6 a 11 anos. Os investigadores receberam no total mais de 17 000 dólares em recompensas.
A penúltima linha é a que diz mais. Quase três quartos dos relatórios foram para a equipa de revisão de plugins do WordPress.org, porque o contacto do autor não existia, estava desatualizado ou não funcionava. Daí os encerramentos: a maioria é temporária e torna-se definitiva se o autor não responder. A Patchstack sublinha ainda que um plugin fechado continua a funcionar nos sites que o têm, e o utilizador normalmente não vê qualquer aviso. O tema é acompanhado no ticket Trac #30465. A conclusão da Patchstack para os autores de plugins é simples: publicar um programa de divulgação de vulnerabilidades (VDP) com um contacto que funcione, para que um relatório chegue ao autor antes de chegar à equipa de revisão.
Palmowski repetiu a mesma palestra em inglês no WordCamp Kraków a 29 de junho de 2025; a gravação está no WordPress.tv.
Que lições das palestras aplicar em projetos WordPress
Várias palestras desta edição traduzem-se em tarefas concretas para quem mantém sites WordPress.
Da apresentação de Maciej Palmowski sobre o maior bug bounty da história do WP fica o peso das vulnerabilidades XSS, 67% dos relatórios segundo a Patchstack. Vale a pena rever como os plugins que mantém validam e escapam os dados de entrada. A segunda tarefa é verificar se algum dos plugins que usa foi fechado no repositório, porque o painel do WordPress pode não o mostrar.
Rafał Chrzan mostrou como desativar a listagem de utilizadores na REST API e proteger downloads de ficheiros digitais com assinaturas de URL e tokens, um ponto a verificar em qualquer loja que venda ficheiros. O ponto de partida é o endpoint /wp/v2/users, que a referência da REST API descreve como uma coleção de utilizadores, com o contexto predefinido view e os parâmetros who=authors e has_published_posts. Os campos email e username só aparecem no contexto edit, por isso a resposta pública mostra menos, mas continua a revelar a lista de autores.
Piotr Mońka passou pelos erros de acessibilidade mais comuns: contraste, focus trap e aria-label. Os três podem ser revistos num site existente com navegação por teclado e um verificador de contraste.
Aleksandra Grygiel listou os cinco problemas de alojamento que mais encontra: limite de iNodes, cron spam, falsos positivos do antivírus, timeouts e confusão de DNS.
Tomasz Skupny trouxe o lado contratual, com OSINT sobre o cliente, cláusulas de custódia, um modelo de SLA e uma checklist para o cliente que desaparece. Vale a pena comparar esse material com os contratos que já tem em uso.
Onde o WordUp Gdynia #22 se encaixa na série de encontros WordPress da Tricidade
O arquivo em wpgdynia.pl começa com a publicação WordUp Gdańsk #1, de dezembro de 2012, com um encontro no pub Polufka em Gdańsk e três temas: os próprios WordUps, comércio eletrónico em WordPress e Advanced Custom Fields. As edições seguintes decorreram com o nome WordUp Trójmiasto, e algumas tiveram perfil próprio: a #11 e a #13 foram edições para principiantes, e a #18 celebrou os 20 anos do WordPress.
A edição #22 é a última do arquivo com o nome WordUp Trójmiasto. A partir da #23 o site usa o nome WordUp Gdynia, e o ritmo manteve-se: encontro de sexta-feira no PifPaf, palestras ao sábado a partir das 12:00 no Museu da Cidade de Gdynia e networking à noite. Foi assim na #23 (6 de dezembro de 2025, com a pré-festa no mercado de Natal de Gdańsk), na #24 (28 de fevereiro de 2026) e na #25 (19 de setembro de 2026). A página inicial anuncia a edição #26 para 16 de janeiro de 2027 no mesmo museu e prevê para ela mais de 100 participantes e mais de 12 oradores.
After party no PifPaf depois do WordUp Gdynia
Depois de fechar o local, voltámos para o PifPaf. As conversas duraram até tarde, desde bugs da REST API até temas FSE favoritos.
Patrocinadores e parceiros do WordUp Gdynia #22
- White Label Coders, parceiro titular, financiamento do local e sacos de boas-vindas.
- Smarthost.pl, zona de café e livro de vouchers.
- Planet Pay, fornecedor de gateways de pagamento com plugins para WooCommerce, listado entre os patrocinadores na página do evento.
- Kinsta, concurso «Maior Uptime», gadgets.
- cyber_Folks, zona chill e limonada.
- PAQ-studio, helpdesk SEO para e-commerce no stand.
- relacje.video / relacje.ai, gravações de vídeo completas (playlist abaixo).
Os parceiros do evento foram a Fundacja WWW e a WPPoland.
Gravações do WordUp Gdynia #22 no YouTube
Playlist completa «WordUp Gdynia #22» no canal WPGdynia do YouTube.
A playlist tem 10 vídeos: as nove palestras da tabela acima e uma gravação do painel «free mic». Não há gravações de Karolina Czapla nem de Filip Sroka, o que bate com a ausência de ambos. O mesmo canal tem playlists próprias das edições seguintes, #23 e #24, e dos WordCamps Gdynia 2024 e 2025.
Datas do WordCamp Cracóvia e WordCamp Gdynia 2025
- WordCamp Cracóvia 2025, 27 a 29 de junho de 2025, o próximo encontro sob o Wawel.
- WordCamp Gdynia 2025, 26 a 28 de setembro de 2025 no Parque Científico e Tecnológico da Pomerânia, voltamos ao Mar Báltico com uma edição de dois dias e várias faixas, precedida de um Contributor Day na sexta-feira.
Segundo o site oficial, o WordCamp Gdynia 2025 foi o primeiro WordCamp bilingue na Polónia, com uma faixa própria em inglês.
Obrigado a todos os participantes, oradores e parceiros pela energia, pelo conhecimento e pela atmosfera fantástica. Esperamos vê-lo nos próximos eventos da Comunidade WordPress. O WordUp Gdynia não é apenas sobre palestras, mas acima de tudo sobre as pessoas e a energia que trazem. Desde a entrada, podia-se sentir a vibração positiva, e as conversas aconteciam não só nos corredores, mas também durante a after party no PifPaf, na Rua 10 Lutego. Foi lá que nasceram as melhores ideias, e novas amizades e colaborações começaram.
«Gdynia, com a sua localização encantadora à beira-mar, proporciona uma atmosfera e energia incríveis. Tal cenário promove o pensamento criativo e é um pano de fundo perfeito para um evento tão inspirador como o WordUp.», os organizadores no site do WordUp Gdynia (tradução própria)
Porque valeu a pena participar no WordUp Gdynia #22
- Uma dose fresca de conhecimento dos melhores especialistas da indústria
- Motivação para implementar inovação nos seus projetos
- A oportunidade de conhecer pessoas que partilham a sua paixão
- Acesso a gravações das palestras, reveja-as a qualquer momento
Se ainda não foi a um WordUp, vale a pena juntar-se a nós na próxima vez. É a melhor maneira de se manter atualizado com o WordPress e conhecer uma comunidade verdadeiramente inspiradora.
Encontros como o WordUp em Gdynia são onde se ouve o que correu mal em produção a outras equipas, meses antes de isso aparecer escrito em qualquer lado. Trazemos esse contexto para os projetos que fazemos em WordPress.
