woj. lubelskie
Audyt strony WordPress
w Puławach
Przegląd standardowej strony na WordPressie zamyka się zwykle w 3–5 dni roboczych, a firma z Puław dostaje na koniec listę problemów ułożoną według wagi, razem z planem naprawy. Odczyt obejmuje konfigurację serwera, bazę danych, wydajność, bezpieczeństwo, kopie zapasowe z próbnym odtworzeniem, konta w panelu, wersje rdzenia, motywu i wtyczek oraz podstawy SEO i dostępności. Bezpłatną wycenę z zakresem i terminem odsyłamy w 24 godziny.
Przegląd
Audyt WordPressa dla firm z Puław: co daje jednorazowy przegląd strony
Na końcu pracy zostaje jeden dokument: problemy uszeregowane według wagi i propozycja, co z nimi zrobić. Materiałem do niego jest zawartość instalacji: pliki rdzenia, motyw, wtyczki, treść z bazy, lista kont i ustawienia hostingu.
Przy każdej wtyczce i przy każdym motywie stoi w panelu osobny przełącznik automatycznych aktualizacji. Włączenie go dla rdzenia nie obejmuje dodatków, a włączenie dla jednej wtyczki nie przenosi się na pozostałe. Instalacja bywa więc w stanie mieszanym: część elementów podnosi się sama, część czeka na ręczne kliknięcie. Stan tych przełączników tłumaczy część różnic między pozycjami na liście aktualizacji.
Strony na innych systemach też wchodzą w zakres, a dla sklepów prowadzimy odrębne przeglądy: audyt sklepu internetowego i audyty sklepów na PrestaShopie. Przedmiotem tej strony jest audyt strony internetowej na WordPressie, bez części sklepowej. Puławski rynek widziany przez firmowe witryny otwiera pierwszy podrozdział, a drugi wraca do wtyczki, dla której nie powstają już poprawki.
Gospodarka Puław a firmowe strony na WordPressie
Gospodarka Puław opiera się na zakładach azotowych z 1966 roku i na zapleczu naukowym: sześciu placówkach naukowo-badawczych, wśród nich instytutach rolniczych, weterynaryjnych i chemicznych. Oferta tych firm trafia w tym segmencie do inżyniera, technologa albo do działu zakupów. Dalszą część rynku wypełniają rolnictwo z agrotechniką, usługi dla mieszkańców oraz obsługa ruchu turystycznego, który jedzie do Nałęczowa i Kazimierza Dolnego.
Sytuacja, w której ktoś pyta o stan instalacji, wygląda na przykład tak: zajmowała się nią osoba, której nie ma już w firmie, strona przeszła na nowego właściciela razem z działalnością albo w panelu wyskoczył komunikat, którego wcześniej tam nie było. Zgłoszenia od pracowników, sprzęt i sieć w biurze należą do innego zakresu: obsługa informatyczna firm w Puławach.
Bezpieczeństwo WordPressa w Puławach: dlaczego działająca wtyczka bywa problemem
Wtyczka, nad którą autor przestał pracować, działa dalej. Strona wygląda tak samo, formularz wysyła wiadomości, a na liście wtyczek w panelu nie pojawia się przy niej żadne ostrzeżenie.
Datę ostatniego wydania wtyczki podaje jej strona w publicznym katalogu; drugim miejscem do sprawdzenia jest forum wsparcia i to, czy zgłoszenia dostają odpowiedź. Gdy od ponad roku nie wyszło nowe wydanie, a zgłoszenia zostają bez odzewu, nowszego kodu dla tej wtyczki nie ma. Wycofanie wpisu z katalogu daje inny skutek: wtyczki nie da się już stamtąd pobrać, natomiast w instalacjach, w których siedzi, kod wykonuje się nadal. Dlatego w zestawieniu wtyczek, poza numerem wersji, stoi data wydania i to, czy wpis w katalogu jeszcze istnieje.
Osiem obszarów
Co obejmuje audyt strony WordPress: od wersji wtyczek do ustawień serwera
Pole odczytu zakreśla lista niżej, z ośmioma pozycjami. Sprawdzenie strony WordPress zamyka się wtedy, gdy przejdziemy je wszystkie.
Siedem z nich dostaje własny podrozdział, a podstawy SEO zostają na liście, bo prowadzą do odrębnego opracowania.
- Aktualność wydań wobec opisanych podatności
- Wtyczki powtarzające funkcje i te bez autora
- Komu wolno co zmienić w panelu
- Ślady po dołożonym kodzie
- Kopie zapasowe i wynik próby odtworzenia
- Zapytania do bazy, obrazy i pamięć podręczna
- Podstawy SEO: indeksacja, tytuły, mapa strony, przekierowania
- Certyfikat oraz to, jak ustawiony jest serwer
Instalacja wychodzi z przeglądu w stanie, w jakim do niego weszła, bo zgodę na jakąkolwiek zmianę wydajesz Ty. Usuwanie skutków włamania wchodzi do oddzielnej wyceny, ponieważ przestawia pliki i wpisy. Przy dokumentach i dostępności zatrzymujemy się na sprawdzeniu technicznym, a przy ich treści odsyłamy do prawnika.
Tym, co z tej listy dotyczy wyszukiwarki, zajmuje się osobne opracowanie: audyt SEO w Puławach.
Które wydania pracują w instalacji i co o nich opisano
Numery wydań rdzenia, motywu i każdej wtyczki wchodzą do zestawienia razem z publicznie znanymi lukami przypisanymi do tych numerów.
Wartości w opisie wtyczki wpisuje jej autor, a nie niezależny sprawdzający. Najstarsze wydanie WordPressa, które wtyczka obsłuży, stoi w polu Requires at least. Ostatnie wydanie, na którym autor przeprowadził test, podaje pole Tested up to. Instalacja bywa nowsza od tej wartości, a sama różnica nie wskazuje usterki, bo pole mówi o zasięgu testów autora, nie o wyniku sprawdzenia kodu. Trzecie pole, Requires PHP, nie jest obowiązkowe, dlatego u części dodatków zostaje niewypełnione. Wymagania motywu stoją w innym miejscu, w nagłówku jego arkusza stylów.
Czy odinstalowanie wtyczki sprząta po sobie bazę danych
Na listę pozycji do sprawdzenia trafiają:
- rozwiązania premium bez ważnej licencji, odcięte od poprawek bezpieczeństwa
- dodatki wczytujące swoje skrypty na podstronach, na których nie są używane
- wtyczki nieaktywne, ale nadal obecne w plikach
- ta sama funkcja obsługiwana przez dwie wtyczki naraz
- wtyczki bez aktualizacji od ponad roku
Odinstalowanie wtyczki zabiera jej pliki. Czy zabiera też jej dane, zależy od autora: procedura czyszczenia uruchamiana przy odinstalowaniu jest opcjonalna i część dodatków jej nie ma. Bez niej w bazie zostają zarówno ustawienia zapisane przez dodatek, jak i tabele, które sam założył; sprząta je dopiero ręczna zmiana. Wyłączenie prowadzi do czegoś innego: kod przestaje się uruchamiać, a wtyczka leży w plikach dalej. Panel mówi zatem o tym, co jest włączone; o zawartości instalacji rozstrzygają pliki i baza.
Uprawnienia konta w panelu, siła hasła i klucze w konfiguracji
Konta oglądamy pod kątem uprawnień oraz siły haseł.
Zakres konta nie wynika z nazwiska, lecz z przypisanej mu roli. Uprawnienie do podmiany motywu, do instalowania wtyczek i do plików na serwerze ma w panelu wyłącznie rola administratora. Pozostałe role kończą się na treści: wpisy, strony, własny profil. W zestawieniu kont liczy się więc jedno: które z nich mają tę rolę. Uwagę zwracają też konta założone na jedną współpracę, bo po jej zakończeniu zostają aktywne, dopóki ktoś ich nie wyłączy. Drugi składnik logowania zmienia sytuację. Tam, gdzie w WordPressie włączono uwierzytelnianie dwuskładnikowe, samo hasło do panelu już nie wpuszcza: trzeba podać jeszcze kod z aplikacji.
W pliku wp-config.php leżą obok danych dostępu do bazy klucze i sole uwierzytelniania, czyli długie, losowe ciągi znaków zapisane jako stałe. Służą do podpisywania ciasteczek logowania, więc po ich wymianie dotychczasowe ciasteczka tracą ważność i każda zalogowana osoba musi zalogować się ponownie. Treść strony i ustawienia zostają przy tym nietknięte.
Skanowanie strony pod kątem wirusów: co uznajemy za ślad
Ślad włamania bywa plikiem, którego w instalacji być nie powinno, kodem dopisanym do istniejącego pliku albo wpisem doklejonym w bazie; osobno sprawdzamy katalog mu-plugins. Telefon do Ciebie idzie natychmiast, gdy włamanie okaże się czynne. Kroki po tym telefonie układają się tak:
- kopia obecnego stanu odłożona do analizy
- odebranie dostępu napastnikowi
- czyszczenie
- wskazanie drogi wejścia
- wymiana haseł oraz kluczy
- przegląd kont z uprawnieniami administratora
- obserwacja zmian w plikach
Spis obejmuje przy tym zarówno pliki na serwerze, jak i wpisy w bazie, bo dopisany kod trafia w jedno albo w drugie miejsce.
Co trzeba mieć pod ręką, żeby odtworzyć stronę z kopii
Sprawdzamy, gdzie leżą kopie, a przydatność każdej z nich rozstrzyga próbne odtworzenie na osobnym środowisku, przy którym mierzymy, ile trwa powrót do pracy. Archiwum leżące obok strony, na tym samym serwerze, nie przetrwa ani awarii dysku, ani zaszyfrowania danych.
Do odtworzenia potrzebne jest archiwum z plikami, zrzut bazy z tej samej chwili oraz konto, na które jedno i drugie da się wgrać. Brak jednego z tych elementów zatrzymuje odtwarzanie. Gdy zrzut bazy pochodzi z innego dnia niż archiwum plików, przywrócona strona ma wpisy bez obrazów i załączników, bo tych plików w archiwum zabrakło.
Wbudowane narzędzie eksportu bywa brane za kopię. Oddaje ono jeden plik z samymi tekstami i odnośnikami do wgranych materiałów; poza nim pozostaje motyw, zestaw wtyczek, ustawienia instalacji i rzeczywiste obrazy z biblioteki. Taki plik wczytuje się narzędziem importu w drugiej instalacji, nie wgrywa na serwer zamiast plików strony. Eksport służy więc do przeniesienia tekstów, a przywrócenie instalacji po awarii wymaga obu części kopii.
Dane z firmowych komputerów i serwerów to inna skala pracy, którą opisują kopie zapasowe w firmie.
Przyspieszenie strony WordPress: waga elementów i zapytania do bazy
Na pomiar wchodzi to, co obciąża stronę przy każdym wejściu: odpytywanie bazy, waga grafik i to, czy pamięć podręczna działa. Wskazujemy, ile waży każdy element strony i który poprawiony przyniesie największy zysk.
Za wolne ładowanie odpowiadają zwykle grafiki wstawione w oryginalnym rozmiarze, wtyczki dokładające skrypty na każdej podstronie oraz brak cache po stronie serwera. Naprawa tych trzech rzeczy zwykle obywa się bez przebudowy układu, a liczby z pomiarów trafiają do raportu.
Szyfrowanie połączenia, parametry serwera i wiadomości wysyłane ze strony
Certyfikat SSL i ustawienia konta hostingowego zamykają listę. Z konta odczytujemy czas odpowiedzi, wersję PHP, cache po stronie serwera i limity, a pomiary podajemy w raporcie. Jeśli problemem jest serwer, możemy zaproponować nasz hosting w Puławach; raport działa niezależnie od wyboru dostawcy.
Wiadomości z formularza wychodzą domyślnie z serwera, na którym stoi strona, a nadawcę dobiera sama instalacja. Serwery odbiorców sprawdzają, czy nadawca ma prawo wysyłać pocztę w imieniu danej domeny, więc wiadomość nadana tą drogą bywa odrzucana albo ląduje wśród wiadomości śmieciowych. Adres nadawcy wpisany w ustawieniach panelu nie zmienia przy tym drogi, którą wiadomość wychodzi. Druga droga wygląda inaczej: strona loguje się do skrzynki pocztowej i podaje wiadomość tak, jak zrobiłby to program pocztowy. Pierwsza bywa źródłem zgłoszeń o formularzu, który działa, choć wiadomości nie docierają.
Z dostępności bierzemy podstawy: obsługę klawiaturą, kontrast oraz etykiety formularzy. Do tej samej części należy pytanie o politykę prywatności na stronie internetowej, politykę cookies i baner zgód spięty z pomiarem.
Wycena
Od czego zależy wycena audytu WordPressa dla firmy z Puław
Koszt zależy od wielkości instalacji, liczby wtyczek i tego, czy potrzebne jest próbne odtworzenie większej kopii.
Miejsce w instalacji zajmują głównie materiały wgrane z panelu: grafiki, dokumenty, załączniki. Tekstów jest przy nich niewiele, a liczba podstron dokłada tylko pozycje do przejścia. Do rachunku dochodzi baza, w której obok treści siedzą ustawienia wszystkich dodatków. Rozmiar archiwum z kopią wynika dokładnie z tych liczb.
Dlatego wycena powstaje po spisaniu instalacji. Cena audytu WordPressa bierze się z tych samych pozycji co cena audytu strony internetowej, bo za oboma pytaniami stoi ten sam przegląd.
Ile kosztuje audyt strony internetowej: skąd bierze się bezpłatna wycena
Za ustalenie zakresu i terminu nie bierzemy opłaty. Przyślij adres strony: odpowiedź z zakresem audytu i terminem realizacji wychodzi w 24 godziny. Liczbę pozycji do przejścia widać dopiero po spisie instalacji, dlatego zakres zapisujemy w wycenie, zanim praca ruszy.
Co po audycie wchodzi do oddzielnego rachunku
Osobno wyceniamy jedną pracę: czyszczenie po włamaniu. Usuwanie kodu przebudowuje zawartość instalacji, więc należy już do naprawy, a nie do opisu stanu. Większe archiwum zmienia natomiast rozmiar samego zlecenia: im więcej waży, tym dłużej idzie jego pobranie, wgranie i wczytanie na środowisku testowym.
- próbne odtworzenie większej kopii
- liczba wtyczek i motywów w plikach
- wielkość instalacji i liczba podstron
- objętość biblioteki plików oraz bazy
- czyszczenie po infekcji w oddzielnej wycenie
Decyzja
Co wybrać: audyt bezpieczeństwa WordPressa czy pełny odczyt instalacji
Pytanie brzmi, czy przegląd ma zostać przy bezpieczeństwie, czy objąć również to, co odpowiada za szybkość strony, jej kopie i ustawienia hostingu.
Przy stronie, która rzadko się zmienia, taki przegląd zalecamy raz w roku, a dodatkowo po każdej większej przebudowie.
Każdy z trzech podrozdziałów stawia naprzeciw siebie dwie drogi: czytanie strony z zewnątrz i z panelu, szukanie obcego kodu i mierzenie szybkości, wreszcie jeden przegląd i stałą opiekę.
Audyt strony internetowej online a pytania bez odpowiedzi z zewnątrz
Na pytanie, ile kont w panelu ma uprawnienia administratora, odczyt z zewnątrz nie odpowie. Bez odpowiedzi zostaje też to, czy kopia zapasowa gdzieś jest i gdzie leży, oraz to, co poza treścią znajduje się w plikach instalacji.
Z zewnątrz widać to, co strona wysyła każdemu: kod odpowiedzi serwera i czas jej otrzymania, ważność certyfikatu, adresy wczytywanych plików, a przy nich czasem numer wersji wpisany w sam adres. Dalsze odpowiedzi leżą w panelu i na koncie hostingowym, więc wymagają przekazanych dostępów.
Poza skanem bezpieczeństwa: pamięć podręczna i optymalizacja obrazów w WordPressie
Pamięć podręczna bywa w dwóch warstwach: jedna działa na serwerze, druga w samym WordPressie, jako dodatek. Warstwę serwerową włącza się po stronie konta hostingowego, więc jej przełącznika w panelu strony nie ma. Opróżnia się je osobno, więc po poprawieniu treści część odwiedzających widzi jeszcze poprzednią wersję strony, dopóki obie warstwy nie zostaną wyczyszczone.
Rozmiary pomniejszonych kopii obrazka bierze WordPress z ustawień obowiązujących w chwili wgrania pliku. Zmiana tych ustawień później dotyczy już tylko nowych plików, a obrazek wstawiony w oryginale przeglądarka pobiera w pełnym rozmiarze, choćby na stronie zajmował niewielką ramkę. Skan bezpieczeństwa nie zajmuje się ani warstwami pamięci, ani wagą obrazków.
Po raporcie: samodzielne prowadzenie strony albo stała opieka
Raport opisuje instalację z dnia odczytu. Każda wprowadzona poprawka tworzy inny stan, dlatego naprawa wchodzi do kolejnego zlecenia.
Raport zostaje u Ciebie i to Ty decydujesz, co dalej: prowadzić stronę własnymi siłami albo oddać ją pod stałą opiekę nad WordPressem w Puławach. Między przeglądami pozostaje pilnowanie aktualizacji oraz kopii.
Zlecenie
Jak wybrać firmę do audytu strony w Puławach i poza nimi
O zakres pracy opłaca się zapytać tak samo każdego wykonawcę, nas też. Odpowiedź powinna mówić, jakie dostępy są potrzebne, gdzie kończy się sam odczyt i czy naprawa ma odrębną wycenę. Dwa podrozdziały niżej mówią, jakich dostępów potrzebujemy i co zapisuje umowa.
Kto czyta instalację i u kogo leżą dostępy
Do firm z Warszawy i z województwa lubelskiego jeździmy, a w innych częściach kraju praca toczy się zdalnie. Spotkanie w lubelskim biurze przy Królowej Jadwigi 14/81 umawiamy wcześniej.
Nad jedną firmową stroną stoją trzy panele, a prowadzić je mogą trzy różne osoby: panel WordPressa po stronie agencji, konto hostingowe wykupione kiedyś przez informatyka, domena zarejestrowana na dane osoby z zarządu. Odczyt potrzebuje dwóch z nich, panelu WordPressa i konta hostingowego, bo tam leżą ustawienia, konta, baza oraz pliki. Trzeci panel, domenowy, przy audycie nie jest potrzebny. Zanim przegląd się zacznie, trzeba więc wiedzieć, kto ma który z nich.
Co zapisujemy w umowie przed audytem
Umowa towarzyszy każdemu projektowi i zapisuje zakres, termin, koszt oraz zasady wsparcia po wdrożeniu; NDA podpisujemy na życzenie.
Listę pytań do zadania przed podpisem znajdziesz w osobnym opracowaniu: czego szukać w audycie WordPressa.
Zasięg
Audyt stron na WordPressie w Puławach i okolicach
Siedziba firmy nie ma dla przeglądu znaczenia: odczyt idzie przez panel i konto hostingowe.
Miasto ma 50 km² powierzchni. Włostowice, Wólka Profecka, Mokradki, Marynki, Górna Niwa oraz osiedla Kołłątaja i Kaniowczyków mieszczą się w tym samym zasięgu.
Zapytania przychodzą też z Nałęczowa i Kazimierza Dolnego, z Janowca, Żyrzyna, Końskowoli, Kurowa oraz Dęblina. Lublin leży blisko, więc puławska strona firmowa bywa czytana zarówno w mieście, jak i w stolicy województwa.
Potrzebny jest adres strony, a do tego wiedza, u kogo są hasła do panelu i do hostingu.
Po krótkiej rozmowie wracamy z zakresem, harmonogramem i wyceną.
Współpraca
Jak wygląda audyt strony WordPress od dostępów do raportu
Konta, od których zaczyna się odczyt
Czytamy, nie zmieniamy; żadna modyfikacja bez zgody. Spis kont wymaga przy tym rozróżnienia nazw: nazwa widoczna przy wpisie i nazwa używana przy logowaniu to w WordPressie dwa osobne pola. Bywają takie same, bo nazwę wyświetlaną WordPress tworzy domyślnie z loginu, ale jej zmiana nie przestawia tego, co wpisuje się w formularzu logowania.
Analiza i testy
Skan bezpieczeństwa, pomiar wydajności i próbne odtworzenie kopii zapasowej. Przy czytaniu bazy liczy się prefiks tabel, ustalany w czasie instalacji i zapisany w konfiguracji. Gdy w jednej bazie stoi więcej niż jedna strona, prefiks rozstrzyga, które tabele należą do tej, o którą pytasz. Widać go na początku nazwy każdej tabeli, więc zestaw jednej instalacji da się wydzielić bez zaglądania w treść wpisów.
Raport i plan
Lista problemów według wagi i propozycja, co naprawić od razu, a co zaplanować. Część poprawek zależy od tego, gdzie zostaną zapisane. Motyw potomny podstawia w WordPressie własne pliki w miejsce wybranych plików motywu nadrzędnego, więc wpisana tam poprawka przetrwa aktualizację. Ta sama zmiana wprowadzona w plikach motywu nadrzędnego zniknie, bo aktualizacja wymieni te pliki.
Pytania
O co pytają firmy przed audytem strony w Puławach
Kwotę ustalamy po spisie instalacji, bo liczba wtyczek i liczba podstron bywa w firmowych stronach bardzo różna. Do rachunku wchodzi też próbne odtworzenie większej kopii, jeśli trafi do zakresu. Prześlij adres strony: zakres audytu i termin realizacji odeślemy bez opłaty.
Audyt standardowej strony zajmuje zwykle 3–5 dni roboczych. Przy rozbudowanej instalacji termin bywa dłuższy, bo rozmiar instalacji i liczba wtyczek wyznaczają zakres zlecenia. Datę zakończenia zapisujemy w wycenie.
Sam przegląd niczego nie przestawia, bo ogranicza się do odczytu, a każda zmiana wymaga Twojej zgody. Potrzebne są konto administratora w panelu i konto hostingowe, przez które widać pliki, bazę oraz ustawienia serwera. Zakres, termin i koszt zapisuje umowa, a NDA podpisujemy na życzenie.
Nie. Do przeczytania instalacji potrzebne są dostępy, a nie wizyta; zakres omawiamy przez Google Meet, Zoom albo Teams. Do Puław dojeżdżamy, więc spotkanie na miejscu też jest możliwe, po umówieniu terminu.
Tak. Czytamy to, co jest w instalacji w dniu odczytu; kto ją zbudował, nie wchodzi do przeglądu. Dokument zawiera problemy ułożone według wagi, bez komentarza o pracy poprzedniej firmy, więc spokojnie przekażesz go osobie, która wprowadzi poprawki.
Numer podają sam WordPress oraz autorzy motywu i wtyczek, w swoich wymaganiach. Na koncie hostingowym ustawia się przy tym dwie niezależne rzeczy: wersję interpretera PHP oraz wersję serwera bazy danych. Podniesienie jednej nie przestawia drugiej, a każda ma własny kalendarz wsparcia, po którym przestaje dostawać poprawki.
Przy błędzie, który WordPress zdąży przechwycić, na adres administratora z ustawień idzie wiadomość z odnośnikiem do trybu odzyskiwania: osobnego wejścia do panelu, pomijającego element wywołujący błąd. Odnośnik ma ograniczoną ważność. Gdy błąd zatrzymuje stronę wcześniej, na przykład przy wpisie w konfiguracji, takiej wiadomości nie ma, a przyczyny trzeba szukać poza panelem.
Ten komunikat dotyczy samego połączenia: WordPress nie dotarł do bazy, więc nie zdążył pobrać ani jednego wpisu. Powód bywa po stronie danych logowania zapisanych w konfiguracji albo po stronie samego serwera bazy. Panel administracyjny opiera się na tym samym połączeniu, więc i on przestaje się otwierać.
Ta sama okolica
Pozostałe usługi w Puławach
Ta sama usługa
Audyt strony WordPress w innych miastach
Podaj adres strony, a odeślemy zakres audytu i termin realizacji
Adres strony przyjmujemy pod kontakt@cyfrowapomoc.pl albo telefonicznie: +48 887 831 588 oraz +48 570 572 580.