woj. lubelskie
Audyt strony WordPress
Biała Podlaska
Strona prowadzona od kilku lat zbiera kolejne wtyczki, konta i pliki, a część z nich przestaje być używana. Wynikiem audytu strony na WordPressie jest lista problemów ułożona według wagi, razem z planem naprawy. Powstaje po przeglądzie bezpieczeństwa, wersji rdzenia i wtyczek, kopii zapasowych z próbnym odtworzeniem, wydajności, bazy danych, konfiguracji serwera oraz podstaw SEO i dostępności. Zgłoszenia przyjmujemy od firm z Białej Podlaskiej i z gmin wokół miasta, a odpowiedź z wyceną wraca w 24 godziny i nic nie kosztuje.
Przegląd
Instalacja WordPressa w firmie z Białej Podlaskiej: co pokazuje jednorazowy odczyt
Audyt WordPressa to jednorazowa diagnoza jednej instalacji, czyli sprawdzenie strony bez wdrażania poprawek. Odczyt obejmuje rdzeń, motyw i wtyczki, konta w panelu, kopie zapasowe, bazę danych oraz konfigurację konta na serwerze.
Sama aktualizacja wtyczki albo motywu nie polega już na nadpisaniu plików i tyle. Od wydania 6.3 WordPress odkłada poprzednią wersję elementu do katalogu wp-content/upgrade-temp-backup i przywraca ją, jeżeli aktualizacja się nie uda. Po udanej aktualizacji taka kopia jest usuwana, więc historia wersji z niej nie powstaje i udanej aktualizacji nią się nie cofnie. Mechanizm potrzebuje prawa zapisu do tego katalogu i wolnego miejsca na dysku, a ekran stanu witryny sprawdza oba warunki i zgłasza brak któregoś.
Audyt nie ogranicza się u nas do WordPressa. Sklepy kierujemy natomiast do audytu sklepu internetowego oraz do audytów sklepów na PrestaShopie.
Pod spodem opisujemy, jakie firmy w mieście prowadzą strony na WordPressie, i wyjaśniamy, co się dzieje z wtyczką pozostawioną bez poprawek.
Rynek Białej Podlaskiej i strony oparte na WordPressie
Rynek Białej Podlaskiej opiera się na handlu, transporcie, produkcji i budownictwie, a część firm pracuje w Bialskiej Strefie Aktywności Gospodarczej. W transporcie i w spedycji pytania klientów są konkretne: dotyczą trasy, rodzaju ładunku i obsługi celnej. Handel i magazyny reagują tu na ruch na granicy wschodniej, przetwórstwo i rolnictwo idą za kalendarzem prac, budownictwo zbiera zlecenia z miasta i z sąsiednich gmin, a usługi dla mieszkańców opierają się na wizytówce i na podstronach usług.
Stronę na WordPressie może prowadzić firma z każdej z tych branż. Powód zamówienia przeglądu bywa przy tym różny: przejęcie strony po poprzednim wykonawcy, planowana przebudowa albo pytanie o stan instalacji po latach bez sprawdzenia. Gdy pytanie obejmuje całe zaplecze informatyczne firmy zamiast jednej strony, prowadzi ono do obsługi informatycznej firm w Białej Podlaskiej.
Wtyczka bez opiekuna, czyli bezpieczeństwo WordPressa w Białej Podlaskiej
W odczycie wypisujemy wtyczki, które autorzy porzucili albo które dublują funkcje, wtyczki bez aktualizacji od ponad roku oraz rozwiązania premium z wygasłą licencją, czyli te, które przestały dostawać poprawki bezpieczeństwa.
Data ostatniej aktualizacji widoczna w publicznym katalogu wtyczek mówi, kiedy autor wydał poprawkę po raz ostatni. Osobnym przypadkiem jest wtyczka zamknięta przez opiekunów katalogu. Taka wtyczka zostaje w instalacji bez żadnego sygnału, bo wraz z zamknięciem znika z katalogu także źródło, z którego instalacja pobierałaby aktualizację. Kod działa dalej, tylko luka znaleziona po zamknięciu nie zostanie załatana.
Punkty odczytu
Zakres audytu strony WordPress w Białej Podlaskiej, obszar po obszarze
Zakres przeglądu rozkłada się na osiem obszarów. Siedem z nich opisujemy niżej osobno, razem z mechanizmem, który stoi za każdym wpisem do raportu.
- Kto się loguje, z jakimi prawami i na jakie hasło
- Numery wydań rdzenia, motywu i dodatków plus luki znane dla nich
- Dodatki bez opiekuna i dwa dodatki do jednego zadania
- Zawartość, której wydanie WordPressa nie zawiera
- Czy archiwum istnieje, skąd je wziąć i czy wraca do działania
- Czas zapytań, waga zdjęć i cache na serwerze
- Ważny certyfikat i parametry po stronie hostingu
- Podstawy SEO: indeksacja, tytuły, mapa strony, przekierowania
Ostatnia pozycja zostaje tu bez rozwinięcia: indeksację, tytuły, mapę strony i przekierowania czyta osobno audyt SEO w Białej Podlaskiej.
Na żadnym etapie nie przestawiamy ustawień bez zgody klienta: przegląd kończy się na odczycie. Jeśli odczyt wykaże aktywne włamanie, czyszczenie instalacji wyceniamy osobno.
Przy okazji odnotowujemy, czy strona ma politykę prywatności i politykę cookies oraz czy baner zgód jest powiązany z pomiarem. Oceny zgodności z przepisami w tym nie ma, a miejsca warte rozmowy z prawnikiem wskazujemy osobno.
Wersje elementów instalacji wobec publicznego katalogu
Spis wersji obejmuje rdzeń WordPressa, motyw razem z motywem potomnym, jeśli taki istnieje, oraz wszystkie wtyczki, także wyłączone. Do każdej pozycji dopisujemy podatności znane dla tego numeru wydania.
Wtyczka z publicznego katalogu podaje w swoim opisie dwa pola zgodności: najniższą obsługiwaną wersję WordPressa oraz najwyższą, z którą autor swoją wtyczkę sprawdził. Trzecie pole, wymaganą wersję PHP, autor wypełnia opcjonalnie, więc jego brak nie znaczy, że wtyczka radzi sobie z dowolną wersją. Z tych pól nie wynika, że po nowszym wydaniu wtyczka przestanie działać, a tylko to, czego autor nie zadeklarował; resztę rozstrzyga test na kopii instalacji.
Wtyczki wyłączone, usunięte i dublujące się funkcje
Notujemy osobno wtyczki nieaktywne, których pliki nadal leżą w instalacji, funkcje powtarzające się między dwoma dodatkami oraz te, które doładowują skrypty na podstronach bez takiej potrzeby.
Wyłączenie wtyczki w panelu zatrzymuje jej kod, a pliki zostają w instalacji. Usunięcie wtyczki te pliki kasuje, tylko że wpisy w tabelach ustawień i własne tabele wtyczki zostają, jeżeli autor nie przewidział sprzątania po sobie. Taki ślad nie psuje strony i nie widać go na ekranie wtyczek, dlatego znajduje go dopiero odczyt bazy.
Drugi ślad bywa trwalszy. Własne typy treści, takie jak realizacje czy opinie, rejestruje kod, nie ustawienie w panelu, więc wpisy takiego typu widać w panelu tylko wtedy, gdy ten kod jest aktywny. Dokumentacja WordPressa zaleca z tej przyczyny rejestrowanie własnych typów we wtyczce, a nie w motywie: chodzi o to, żeby treści przetrwały zmianę motywu.
Kto ma wejście do panelu i jak mocne hasło
Lista kont w panelu idzie do raportu razem z rolą każdego z nich i z oceną siły hasła.
WordPress ma pięć wbudowanych ról o różnym zakresie uprawnień. Najwyższa instaluje i usuwa wtyczki oraz motywy i zmienia ustawienia całej witryny. Niżej stoi rola obejmująca treść wszystkich autorów, potem rola ograniczona do własnych wpisów, dalej rola, która wpis napisze, ale go nie opublikuje, a na końcu rola bez dostępu do treści. Samo hasło zostaje przy tym pierwszym składnikiem logowania: drugi, czyli potwierdzenie z osobnego urządzenia, dokłada się do niego i go nie zastępuje.
Usunięcie konta pociąga za sobą decyzję o treściach. WordPress pyta, co zrobić z wpisami i odnośnikami należącymi do tego konta, i daje dwa wyjścia: usunąć je razem z kontem albo przypisać innemu kontu. Konta, z którego ktoś właśnie pracuje w panelu, usunąć się nie da.
Ślady po wejściu z zewnątrz w plikach instalacji
Ten obszar czytamy z plików: szukamy pozycji dołożonych do instalacji, sprawdzamy zawartość katalogu mu-plugins i wyłapujemy kod wstrzyknięty w pliki, które już tam były. Aktywne włamanie wykryte przy odczycie zgłaszamy telefonicznie, bez czekania na raport.
Miejsce archiwum i próba powrotu do pracy
Sprawdzamy, gdzie leżą kopie, i robimy próbne odtworzenie na osobnym środowisku, mierząc, ile trwa powrót do pracy. Kopia trzymana na koncie, na którym stoi sama strona, nie chroni przed awarią dysku ani przed zaszyfrowaniem danych.
Gdy pliki są z poniedziałku, a baza ze środy, po wgraniu takiego zestawu w bazie brakuje wpisów, do których odwołują się pliki, albo odwrotnie. Kopia składa się bowiem z dwóch kompletów, plików instalacji i zrzutu bazy danych, a oba muszą pochodzić z tej samej chwili. Liczy się zatem, czy obie części dają się złożyć w jedną działającą instalację.
Tu mówimy wyłącznie o jednej instalacji; firmowe stanowiska i serwery mają osobny tekst o kopiach zapasowych w firmie.
Co obciąża bazę i co waży w bibliotece mediów
Przy wydajności podajemy wagę poszczególnych elementów strony i wskazujemy, która poprawka da najwięcej. Wolny WordPress bierze się typowo z obrazów wstawionych w oryginalnym rozmiarze, z wtyczek doładowujących skrypty na każdej podstronie oraz z braku cache po stronie serwera, a przebudowa strony zwykle nie jest do takiej naprawy potrzebna.
Zapytania do bazy i rozmiar obrazów czytamy razem, bo łączy je biblioteka mediów. Plik wgrany przez panel dostaje w bazie własny wpis załącznika z datą wgrania, osobą wgrywającą, nazwą pliku, jego typem, rozmiarem i wymiarami. Taki wpis bywa przypisany do konkretnego wpisu albo strony, bywa też bez przypisania, a biblioteka ma na to osobny filtr: filtr pokazuje pliki, których żaden wpis ani żadna strona nie ma przypisanych. Brak przypisania nie znaczy jeszcze „nieużywany”: plik wstawiony w treść adresem bywa niepowiązany, a plik przypisany i wycięty z treści nadal powiązany, więc o tym, czy plik gdzieś się wyświetla, rozstrzyga dopiero przegląd treści.
Ważność certyfikatu, limity konta i dostępność
Serwer sprawdzamy przed rozmową o optymalizacji: czas odpowiedzi, wersję PHP, cache po stronie serwera i limity. Pomiary wchodzą do raportu. Gdy przyczyna leży po stronie serwera, w grę wchodzi nasz hosting dla firm z Białej Podlaskiej, choć raport zachowuje ważność bez względu na to, u kogo strona ostatecznie stanie.
Przy certyfikacie liczy się też to, czy szyfrowane połączenie obowiązuje w panelu. Służy do tego stała FORCE_SSL_ADMIN: po jej włączeniu logowanie i praca w panelu idą połączeniem szyfrowanym, więc hasło i ciasteczko sesji nie wędrują nieszyfrowane. Stała ta zastąpiła wcześniejsze rozwiązanie, obejmujące samo logowanie.
Dostępność sprawdzamy w trzech punktach: powiązanie etykiety z polem formularza, kontrast tekstu i obsługa klawiaturą.
W panelu stoją też dwa narzędzia do danych osobowych: eksport danych osoby i ich usunięcie. Żądanie nie wykonuje się od razu, bo właściciel adresu potwierdza je odnośnikiem z wiadomości, a wynikiem eksportu jest plik z archiwum ważny ograniczony czas. Zakres ma przy tym granicę: narzędzie zbiera dane z WordPressa oraz z dodatków, które same je zgłaszają, więc dodatek milczący zostaje poza wynikiem.
Wielkość zlecenia
Nakład pracy i koszt: od czego zależy wycena przeglądu
Koszt wyznacza wielkość instalacji, liczba wtyczek oraz pytanie, czy w audycie trzeba próbnie odtworzyć większą kopię.
Wielkość instalacji jest sumą kilku wielkości: podstron i wpisów, zawartości biblioteki mediów razem z pomniejszonymi wersjami obrazów, zainstalowanych wtyczek z ich plikami oraz objętości bazy danych. Te same elementy decydują potem o objętości archiwum, bo kopia obejmuje pliki i zrzut bazy. Próbne odtworzenie większego archiwum podnosi więc nakład pracy w samym audycie: pobranie, wgranie i import trwają dłużej, im więcej danych archiwum zawiera.
Skąd bierze się wycena, zamiast stawki z góry
Na pytanie, ile kosztuje audyt strony internetowej na WordPressie, odpowiadamy wyceną po poznaniu adresu. Audyt standardowej strony zajmuje zwykle 3–5 dni roboczych. Samo przygotowanie wyceny nic nie kosztuje i wraca do Ciebie w 24 godziny.
Co rozliczamy poza samym odczytem
Osobno wyceniamy usunięcie infekcji, bo czyszczenie instalacji wykracza poza odczyt. Raport zostaje u klienta, więc dalsze prowadzenie strony może pozostać po jego stronie albo przejść na stałą opiekę nad WordPressem.
- Wielkość instalacji: podstrony, wpisy i biblioteka mediów
- Jak wiele wtyczek i motywów jest zainstalowanych
- Objętość bazy danych oraz archiwum kopii
- Próbne odtworzenie większej kopii w ramach audytu
- Usunięcie infekcji wyceniamy osobno
Zakres i termin podajemy przed startem.
Decyzja
Kiedy sam audyt bezpieczeństwa WordPressa nie domyka pytania o stronę
Skan podatności i odczyt całej instalacji odpowiadają na różne pytania.
Z listy podatności wynika, czy instalacja stoi otwarta na znane ataki. Powolne wczytywanie strony, zawartość bazy i stan biblioteki mediów zostają poza tą listą.
Trzy pary pojęć, które w zapytaniach bywają mieszane, rozdzielamy osobno.
Automatyczny raport online wobec odczytu po zalogowaniu
Z zewnątrz, bez żadnych dostępów, da się odczytać część rzeczy: czy strona odpowiada, czy certyfikat jest ważny, ile waży strona główna i jakie pliki pobiera przeglądarka. Automatyczny raport z narzędzia online, czyli audyt strony internetowej online, stoi na tym samym materiale. Wersje wtyczek, konta i ich uprawnienia, zawartość bazy, treść pliku konfiguracyjnego, miejsce i kompletność kopii oraz limity konta leżą po drugiej stronie logowania. Przegląd tych obszarów potrzebuje dostępu do panelu i do konta na serwerze. U nas bezpłatna jest wycena zakresu i terminu, a sam audyt jest pracą płatną.
Skan bezpieczeństwa a odczyt ustawień motywu i menu
Skan szuka znanych wzorców w plikach i w bazie. Nie odpowie na pytanie, dlaczego w stopce brakuje menu, choć menu jest w panelu zbudowane. Menu układa się bowiem w panelu, ale wyświetla się tylko w obszarze, który zarejestrował motyw. Gdy do zarejestrowanego obszaru nie przypisano żadnego menu, WordPress buduje domyślnie listę ze stron witryny. Pierwsze niepuste menu wyświetla się tam, gdzie motyw wywołuje menu bez wskazania obszaru. Z zewnątrz różnica między tymi przypadkami pozostaje niewidoczna.
Jednorazowy przegląd a stała opieka nad stroną
Audyt zamyka się w jednym przebiegu i w jednym raporcie. Po nim instalacja jest opisana, a mimo to stoi w tym samym stanie, w jakim była przed odczytem: diagnoza nazywa problem, zmianę w plikach i w bazie wprowadza dopiero naprawa.
Przy stronie, która zmienia się rzadko, powtórzenie audytu zalecamy w odstępie rocznym, a dodatkowo po większej przebudowie; w przerwie między przeglądami zostaje monitoring aktualizacji i kopii. Comiesięczne aktualizowanie elementów, dopilnowanie kopii i obsługa zgłoszeń to już praca rozłożona na miesiące, opisana przy opiece nad WordPressem w Białej Podlaskiej.
Zamówienie
Komu zlecić jednorazowy odczyt instalacji WordPressa
Dwie rzeczy da się ustalić przed podpisaniem: kto siada do pracy i na jakich dostępach oraz co umowa mówi o granicy zlecenia. Właśnie na to patrz, gdy zastanawiasz się, jak wybrać firmę do audytu strony.
Kto prowadzi audyt WordPressa w Białej Podlaskiej i na jakich dostępach
Cyfrowa Pomoc obsługuje firmy z Warszawy i z województwa lubelskiego, a zdalnie z całej Polski. Spotkania w biurze w Lublinie umawiamy wcześniej; konsultacje idą przez Google Meet, Zoom albo Teams.
Przy jednej stronie działają zwykle trzy niezależne logowania. Panel WordPressa otwiera treści, konta i ustawienia samej witryny. Panel hostingu otwiera pliki instalacji, bazę danych, wersję PHP i limity konta. Panel domeny otwiera wpisy kierujące adres pod wskazany serwer. Hasło do jednego z nich nie daje wejścia do pozostałych, a bywają one prowadzone przez różne firmy i zapisane u różnych osób. Audyt potrzebuje dwóch pierwszych.
Czego dopilnować w umowie na jednorazowy odczyt
Umowa towarzyszy u nas każdemu zleceniu i opisuje zakres pracy, jej termin, koszt oraz zasady wsparcia; dokument o zachowaniu poufności podpisujemy na życzenie.
W zapisach umowy rozdzielamy przy tym dwie czynności. Diagnoza kończy się na opisie stanu instalacji, naprawa ten stan zmienia. Zlecenie na audyt obejmuje pierwszą z nich, więc zakres poprawek ustala się po raporcie, na podstawie listy problemów i ich wagi. Co do samej listy, rozwija ją poradnik o tym, na co patrzeć przy przeglądzie WordPressa.
Zasięg
Przegląd instalacji dla Białej Podlaskiej i gmin ościennych
Biała Podlaska zajmuje 49 km² i jest największym miastem północno-wschodniej części województwa lubelskiego, więc dla mniejszych miejscowości pełni rolę miasta usługowego.
Zgłoszenia trafiają do nas ze Śródmieścia, z Woli, z Błonia, z Kołychawy i z Sidorek, a także z dalszych części miasta.
Przyjmujemy je też z gmin wokół miasta: z Zalesia, z Rokitna, z Piszczaca, z Konstantynowa, z Janowa Podlaskiego, z Międzyrzeca Podlaskiego oraz z Terespola.
Jeżeli wolisz spotkanie na miejscu, dojeżdżamy w województwie lubelskim i w Warszawie. Poza tym obszarem całą współpracę prowadzimy zdalnie.
Terespol i Międzyrzec Podlaski są z miastem powiązane usługowo, więc i stamtąd przyjmujemy zgłoszenia o przegląd instalacji.
Współpraca
Od przekazania dostępów do planu naprawy WordPressa
Dostęp do panelu i serwera
Zaczyna się od dwóch loginów: do panelu WordPressa i do konta na serwerze. Czytamy, nie zmieniamy; żadna modyfikacja bez zgody.
Analiza i testy
Na drugim etapie idą trzy rzeczy: pomiar wydajności, skan bezpieczeństwa i próbne odtworzenie kopii. Znaczenie ma tu też to, za jakie środowisko instalacja sama się uważa. WordPress zna cztery wartości typu środowiska: produkcję, środowisko przedprodukcyjne, rozwojowe i lokalne. Domyślnie obowiązuje produkcja, a wartość nierozpoznana wraca do produkcji. Środowisko rozwojowe włącza przy tym tryb diagnostyczny z urzędu. Typu środowiska system nie rozpoznaje sam, bo wartość trzeba wpisać, więc kopia robocza postawiona obok strony może podawać się za produkcję.
Raport i plan
Etap trzeci zostawia dokument: problemy ułożone według wagi oraz podział na to, co zaplanować, i to, co naprawić od razu.
Pytania
Najczęstsze pytania o jednorazowy odczyt instalacji WordPressa
Liczy się wielkość instalacji, liczba wtyczek i to, czy w zlecenie wchodzi próbne odtworzenie większego archiwum. Objętość bazy i biblioteki mediów bywa różna przy tej samej liczbie podstron, dlatego liczby z góry nie podajemy. Zakres i termin odsyłamy po poznaniu adresu strony.
Przy standardowej stronie 3–5 dni roboczych. Termin podajemy razem z zakresem, jeszcze przed startem pracy. Duża biblioteka mediów oraz próbne odtworzenie większego archiwum mogą ten czas wydłużyć.
Nie. Przegląd zatrzymuje się na odczycie, a wprowadzenie czegokolwiek wymaga wcześniejszej zgody klienta. Dotyczy to też porządków wynikających z raportu: lista plików bez przypisania albo kont do usunięcia jest w raporcie propozycją.
Przy stronie o rzadko zmienianej treści mówimy o jednym przeglądzie w roku, a do tego o przeglądzie po większej przebudowie. Pomiędzy nimi zostaje monitoring aktualizacji i kopii.
Nie wymaga. Materiał czytamy z panelu WordPressa i z konta na serwerze, więc praca obywa się bez obecności na miejscu. Firmom z województwa lubelskiego i z Warszawy proponujemy też spotkanie, a poza tym obszarem ustalenia prowadzimy przez rozmowę wideo.
Raport opisuje usterkę i jej wagę, a wykonanie poprawki zmienia pliki albo bazę, więc jest już innym etapem pracy. Zakres poprawek ustalamy po lekturze raportu.
W ustawieniach czytania stoją dwa osobne pola. Po wybraniu strony statycznej wskazuje się stronę główną oraz, w drugim polu, stronę z wpisami, a obie muszą być różne. Strona wskazana jako strona z wpisami traci przy tym własną treść i własny szablon, bo pod jej adresem WordPress wyświetla listę wpisów. Gdy drugie pole zostaje puste, wpisy nadal istnieją, tylko dochodzi się do nich przez archiwa i kategorie.
Ekran importu wczytuje treści z pliku eksportu WordPressa, czyli wpisy, strony, komentarze, pola własne i kategorie, a także z kilku innych systemów. Każdy importer jest przy tym osobnym dodatkiem, instalowanym dopiero w chwili użycia, a nie częścią instalacji.
Ta sama okolica
Pozostałe usługi w Białej Podlaskiej
Ta sama usługa
Audyt strony WordPress w innych miastach
Podaj adres strony, a odeślemy zakres audytu i termin realizacji
Potrzebujemy adresu strony i informacji, kto prowadzi dla niej konto na serwerze. Po zgłoszeniu odsyłamy bezpłatną wycenę w 24 godziny.