WordPress napędza ogromną część stron firmowych, bo jest wygodny w obsłudze i elastyczny. Ma to swoją cenę: taka strona wymaga regularnej opieki. Administracja strony WordPress nie sprowadza się do kliknięcia „aktualizuj” raz na jakiś czas. To powtarzalna praca: aktualizacje, kopie zapasowe, zabezpieczenia i kontrola, czy wszystko działa. Poniżej rozpisujemy, co się na nią składa, co właściciel firmy zrobi sam, a co rozsądniej oddać komuś, kto zajmuje się tym na co dzień.
Na czym polega administracja strony WordPress w praktyce
Strona na WordPressie ma kilka warstw i każda żyje własnym życiem: rdzeń systemu, motyw, wtyczki, baza danych i serwer (wersja PHP, certyfikat SSL, konfiguracja hostingu). Poprawki do każdej z nich wychodzą w innym rytmie i każda potrafi się zepsuć niezależnie od reszty. Zadanie administratora łatwo opisać: wszystko ma być aktualne, ze sobą zgodne i zabezpieczone, a gdy coś się posypie, musi istnieć szybka droga powrotu do działającej wersji.
Na typowy zakres prac składają się:
- aktualizacje rdzenia WordPressa, motywu i wtyczek – z testem, a nie „w ciemno”,
- kopie zapasowe plików i bazy danych, trzymane poza serwerem,
- zabezpieczenia: kontrola kont, logowania, uprawnień i podejrzanych plików,
- monitoring dostępności strony oraz ważności SSL i domeny,
- drobne poprawki techniczne i porządki, np. usuwanie nieużywanych wtyczek czy optymalizacja bazy.
Koszty i abonamenty opisaliśmy osobno – we wpisie o kosztach i zakresie administracji strony internetowej w 2026 roku. Tutaj zajmujemy się tym, co i dlaczego robi się od strony technicznej.
Aktualizacje – dlaczego „aktualizuj wszystko” to zły pomysł
Od aktualizacji zależy najwięcej, bo większość włamań wykorzystuje znane luki w nieaktualnych wtyczkach. Kłopot w tym, że to właśnie aktualizacje najczęściej psują stronę. Nowa wersja wtyczki nie dogaduje się ze starym motywem, formularz kontaktowy przestaje wysyłać wiadomości, sklep gubi koszyk.
Bezpieczna aktualizacja krok po kroku
- Kopia zapasowa tuż przed zmianą – świeża, a nie sprzed tygodnia.
- Przegląd listy zmian – przy dużych aktualizacjach (np. przeskok wersji głównej wtyczki sklepowej albo page buildera) sprawdź, co się zmieniło i czy autor nie ostrzega przed niezgodnościami.
- Test na kopii strony (staging) – w bardziej złożonych witrynach i e-sklepach aktualizację robi się najpierw na kopii, dopiero potem na wersji publicznej.
- Kolejność – zwykle najpierw wtyczki, potem motyw, na końcu rdzeń, z kontrolą po każdym etapie.
- Sprawdzenie po aktualizacji – formularze, koszyk i płatności, wersja mobilna, szybkość ładowania, dziennik błędów.
Wtyczki porzucone i „pirackie”
Osobna kategoria problemów to wtyczki, których autor przestał je rozwijać, i płatne dodatki ściągnięte z nieoficjalnych źródeł. Te pierwsze nie dostają już poprawek bezpieczeństwa. Te drugie bywają zainfekowane, zanim w ogóle trafią na serwer. Dlatego co jakiś czas trzeba zrobić przegląd: co jest jeszcze potrzebne, co ma aktualną licencję, co należy zastąpić innym rozwiązaniem.
Wersja PHP po stronie serwera
PHP nie widać w panelu WordPressa, więc łatwo o nim zapomnieć. Starsze wersje tracą wsparcie i poprawki bezpieczeństwa, a hostingi prędzej czy później je wyłączają. Przy zmianie wersji sprawdza się zgodność motywu i wtyczek – i lepiej zrobić to według własnego planu niż w dniu, w którym hosting wymusi zmianę.
Kopie zapasowe, które naprawdę da się odtworzyć
„Przecież hosting robi backup” – słyszymy to bardzo często. Zwykle rzeczywiście robi, tylko dobrze wiedzieć, jak często, ile czasu trzyma kopie i czy przywrócenie jest bezpłatne. Kopia leżąca wyłącznie na tym samym serwerze co strona nic nie da, gdy awaria dotyczy samego serwera albo konta hostingowego.
Zasady dobrego backupu
- Pełny zakres – pliki (w tym przesłane obrazy i pliki motywu) oraz baza danych. Sama baza bez plików albo same pliki bez bazy to za mało.
- Częstotliwość dopasowana do strony – wizytówka zmieniana raz na kwartał nie potrzebuje kopii co godzinę. Sklep, który codziennie przyjmuje zamówienia, potrzebuje częstych kopii bazy.
- Przechowywanie poza serwerem – w zewnętrznej chmurze lub na innym serwerze, najlepiej w kilku wersjach wstecz.
- Retencja – kopie z kilku dni i tygodni. Infekcję często wykrywa się po czasie, więc kopia z wczoraj może już zawierać złośliwy kod.
- Test odtworzenia – backup, którego nikt nigdy nie przywrócił, to tylko założenie, że działa. Najlepszym dowodem jest okresowe próbne odtworzenie na kopii strony.
W sklepach internetowych jest jeszcze jeden haczyk: baza przywrócona sprzed kilku godzin może skasować najnowsze zamówienia. Plan odtwarzania trzeba więc przemyśleć zawczasu, a nie układać go w nerwach, kiedy sklep stoi.
Zabezpieczenia – co realnie chroni stronę
Nie istnieje jedna wtyczka, która „zabezpiecza WordPressa”. Ochrona to kilka prostych warstw. Każda z osobna niewiele zmienia, ale razem mocno utrudniają włamanie.
Konta i logowanie
- Silne, unikalne hasła i logowanie dwuskładnikowe dla administratorów.
- Żadnego konta o nazwie „admin” i żadnego wspólnego loginu dla kilku osób.
- Limit prób logowania i blokada adresów, z których ktoś próbuje zgadywać hasła.
- Właściwe role: osoba dodająca wpisy nie potrzebuje uprawnień administratora. Konta byłych pracowników i podwykonawców – usunięte.
Konfiguracja i serwer
- Aktualny certyfikat SSL i wymuszony HTTPS.
- Wyłączona edycja plików motywu i wtyczek z poziomu panelu.
- Poprawne uprawnienia plików i katalogów na serwerze.
- Zapora aplikacyjna (WAF) – na poziomie hostingu, usługi zewnętrznej albo wtyczki.
- Skanowanie plików pod kątem zmian i złośliwego kodu.
Co, gdy już doszło do infekcji
Objawy bywają różne: przekierowania na obce strony, dziwne wyniki w Google, ostrzeżenie w przeglądarce, spam wysyłany z serwera. Przywrócenie kopii nie wystarczy, jeśli luka, przez którą weszli atakujący, zostanie otwarta. Trzeba ją znaleźć, usunąć złośliwy kod, zmienić hasła i klucze, a na koniec sprawdzić, czy wyszukiwarka nie oznaczyła strony jako niebezpiecznej. W takiej sytuacji naprawdę lepiej działać z kimś, kto zna temat.
Monitoring i drobiazgi, o których łatwo zapomnieć
Sporo awarii nie ma nic wspólnego z atakiem ani aktualizacją. Strona znika, bo wygasła domena albo nikt nie opłacił hostingu. Formularz od miesiąca nie wysyła wiadomości, bo zmieniła się konfiguracja poczty. Certyfikat SSL nie odnowił się sam. Na takie rzeczy pomaga monitoring:
- sprawdzanie dostępności strony co kilka minut z powiadomieniem o awarii,
- przypomnienia o odnowieniu domeny, hostingu i licencji płatnych wtyczek,
- okresowy test formularzy i wysyłki e-maili,
- kontrola szybkości i błędów zgłaszanych w Google Search Console.
Ostatni punkt wiąże się bezpośrednio z widocznością w wyszukiwarce: wolna, niestabilna strona z błędami technicznymi traci pozycje. Jeśli chcesz sprawdzić kondycję swojej witryny, przeczytaj, jak wygląda audyt SEO strony i co z niego wynika.
Co możesz robić sam, a co warto zlecić
Nie do wszystkiego potrzebny jest specjalista. Z dodawaniem i edycją treści, zdjęć, wpisów czy produktów spokojnie poradzisz sobie sam. Twoja działka to także własne hasło i logowanie dwuskładnikowe. No i zgłaszanie błędów, które zauważysz – im szybciej, tym lepiej.
Resztę administracji strony WordPress lepiej oddać komuś z doświadczeniem:
- aktualizacje z testem i planem awaryjnym – zwłaszcza w sklepach i na stronach z wieloma wtyczkami,
- konfigurację i weryfikację kopii zapasowych, łącznie z próbnym odtworzeniem,
- zabezpieczenia serwera i WordPressa oraz reakcję na incydenty,
- zmianę wersji PHP, migrację na inny hosting, porządki w bazie danych,
- monitoring dostępności i terminów odnowień.
Kryterium jest proste. Jeśli pomyłka przy danej czynności może wyłączyć stronę albo sklep na kilka dni, a Ty nie wiesz na pewno, jak ją cofnąć – zostaw to komuś, kto robi to regularnie.
Na co zwrócić uwagę, wybierając opiekę nad WordPressem
Zanim podpiszesz umowę na administrację strony WordPress, dopytaj o konkrety:
- jak często robione są aktualizacje i czy ktoś je testuje przed wdrożeniem,
- gdzie leżą kopie, jak długo są przechowywane i czy przywrócenie mieści się w abonamencie,
- jaki jest czas reakcji przy awarii i jak zgłasza się problem,
- czy dostajesz raport z wykonanych prac,
- kto ma dostęp do panelu i hostingu – i czy Ty jako właściciel masz pełne dane dostępowe do domeny, hostingu i strony.
Ten ostatni punkt traktuj poważnie. Strona i domena mają należeć do Ciebie, bez względu na to, kto się nimi opiekuje.
Bywa też, że przy administracji wychodzi na jaw coś innego: strona jest po prostu za stara. Motyw nie jest rozwijany, wtyczki się gryzą, wersja mobilna szwankuje. Wtedy łatanie kosztuje więcej niż nowa, lżejsza witryna. Jeśli jesteś na tym etapie, zajrzyj do wpisu o tym, dlaczego responsywna strona internetowa jest dziś podstawą, i do naszej oferty stron WWW i e-sklepów.
Jak to robimy w TOM REKLAMY
Projektujemy i wdrażamy strony oraz sklepy internetowe, a po starcie zajmujemy się ich optymalizacją i opieką techniczną. Strony, którymi się opiekujemy, znamy więc „od środka” – wiemy, co jest zainstalowane i po co. Przejmujemy też witryny zbudowane przez innych wykonawców. Wtedy zaczynamy od przeglądu stanu technicznego, żeby wiedzieć, z czym pracujemy. Orientacyjne stawki znajdziesz w cenniku. Zakres zawsze ustalamy pod konkretną stronę – prosta wizytówka wymaga zupełnie innej opieki niż sklep z codziennymi zamówieniami.
Jeśli nie wiesz, kiedy Twoja strona na WordPressie była ostatnio aktualizowana albo czy kopie zapasowe w ogóle działają, napisz na studio@tomreklamy.pl, zadzwoń pod +48 793 125 570 lub skorzystaj z formularza kontaktowego. Sprawdzimy, w jakiej kondycji jest strona, i zaproponujemy rozsądny zakres opieki.
Najczęściej zadawane pytania
Czy mogę włączyć automatyczne aktualizacje i zapomnieć o administracji?
Automatyczne aktualizacje drobnych poprawek bezpieczeństwa są rozsądne, ale włączenie ich dla wszystkich wtyczek i motywu bez kontroli niesie ryzyko. Jeśli aktualizacja coś zepsuje w nocy, możesz dowiedzieć się o tym dopiero od klientów. Automatyzacja działa dobrze tylko w połączeniu z kopiami zapasowymi i monitoringiem.
Jak często należy aktualizować stronę na WordPressie?
Poprawki bezpieczeństwa warto wdrażać możliwie szybko po ich wydaniu, a pozostałe aktualizacje w stałym rytmie, np. raz lub dwa razy w miesiącu. Przy sklepach internetowych przegląd powinien być częstszy. Ważniejsza od samej częstotliwości jest regularność i test po każdej zmianie.
Czy kopia zapasowa od hostingu wystarczy?
Często jest dobrym uzupełnieniem, ale rzadko wystarcza jako jedyne zabezpieczenie. Sprawdź, jak długo hosting przechowuje kopie, czy obejmują pliki i bazę oraz czy przywrócenie jest płatne. Bezpieczniej mieć dodatkowo własną kopię przechowywaną poza serwerem strony.
Czy przejmiecie opiekę nad stroną zrobioną przez inną firmę?
Tak, przejmujemy strony wykonane przez innych wykonawców. Zaczynamy od przeglądu technicznego: wersji systemu, wtyczek, motywu, serwera i kopii zapasowych. Na tej podstawie proponujemy zakres opieki albo – jeśli strona jest w złym stanie – omawiamy inne rozwiązania.
Po czym poznać, że strona na WordPressie została zainfekowana?
Najczęstsze sygnały to przekierowania na obce witryny, ostrzeżenia przeglądarki, dziwne tytuły w wynikach Google, nowe nieznane konta administratorów czy nagły spadek szybkości. Czasem infekcja nie daje widocznych objawów, dlatego warto regularnie skanować pliki. Przy podejrzeniu włamania nie usuwaj niczego na ślepo – najpierw zabezpiecz kopię i skontaktuj się z administratorem.