woj. lubelskie
Audyt strony WordPress
Zamość
Audyt standardowej strony na WordPressie zajmuje zwykle 3–5 dni roboczych i kończy się listą, w której problemy są uszeregowane według wagi, z planem naprawy. W odczycie mieszczą się konta i uprawnienia, wydania rdzenia oraz dodatków, kopie sprawdzane próbnym odtworzeniem, szybkość wczytywania, baza, serwer, a także podstawy SEO i dostępności. Firma z Zamościa dostaje jeden dokument, z którego wynika, co pilne, a co da się zaplanować. Zakres z terminem wyceniamy bezpłatnie, w ciągu 24 godzin.
Dla firm
Audyt strony WordPress w Zamościu dla firm: jednorazowy przegląd instalacji
Jednorazowy przegląd instalacji odpowiada na jedno pytanie: w jakim stanie jest ta konkretna strona.
W samym panelu WordPressa jest ekran, który zbiera część tych informacji. Narzędzie „Stan witryny” ma dwie zakładki. Pierwsza uruchamia testy i wypisuje zalecenia, między innymi o wersjach i o połączeniu z serwerem. Druga zestawia dane o instalacji: wersję rdzenia i wersję PHP, parametry konta hostingowego, rozmiar katalogów, ustawienia bazy oraz listę włączonych dodatków i motywów. Ekran nie ocenia natomiast, czy dodatek nadal jest rozwijany, czy kopię da się odtworzyć ani czy w plikach nie dołożono czegoś z zewnątrz. Zalecenia z testów są przy tym ogólne, bez odniesienia do tego, co dana strona naprawdę robi. Odczyt z panelu jest więc punktem wyjścia przeglądu, a nie jego zakończeniem.
Instalacje na innych systemach też przeglądamy. Dla sklepów mamy odrębne dokumenty: audyt sklepu internetowego, a przy PrestaShopie audyty sklepów na PrestaShopie. Dwa wątki rozwijamy osobno: kiedy taki przegląd bywa zamawiany i co oznacza dodatek bez poprawek.
Jakie firmy w Zamościu zamawiają audyt strony na WordPressie
Rynek Zamościa ma dwa bieguny. Pierwszym jest turystyka: Stare Miasto z 1580 roku, od 1992 roku na liście światowego dziedzictwa UNESCO, ściąga odwiedzających obsługiwanych przez hotele, gastronomię i firmy okołoturystyczne. Drugim rolnictwo i przetwórstwo z okolic miasta, gdzie producenci sprzedają klientom spoza regionu. Obok nich pracują usługi dla mieszkańców powiatu oraz budownictwo.
Każda z tych firm może mieć stronę na WordPressie, a jednorazowy przegląd bywa zamawiany na przykład wtedy, gdy stronę przejmuje nowy administrator albo gdy szykuje się przebudowa. Sprzęt i sieć opisuje osobno obsługa informatyczna firm w Zamościu.
Audyt bezpieczeństwa strony w Zamościu: co znaczy wtyczka bez poprawek
Na liście odczytu stoją wtyczki porzucone przez autorów albo dublujące funkcje, dodatki bez aktualizacji od ponad roku i płatne rozwiązania z nieważną licencją.
Porzucenie dodatku widać po jego karcie w katalogu publicznym: data ostatniej aktualizacji odsuwa się w przeszłość, a przy dodatku niesprawdzanym z nowszymi wydaniami pojawia się ostrzeżenie. Bywa też, że wtyczka zostaje zamknięta w tym katalogu i jej karta przestaje być dostępna. W obu sytuacjach kanał aktualizacji milczy, więc instalacja zostaje z wersją kodu, którą już ma. Same pliki leżą dalej na serwerze i pracują, choć strona wygląda jak przedtem.
Zakres
Co obejmuje audyt strony WordPress
Zakres zamyka się w ośmiu obszarach. Lista niżej podaje je w skrócie, a każdy poza podstawami SEO opisany jest pod nią osobno.
- Wydania rdzenia, motywu i dodatków oraz znane podatności
- Nakładające się funkcje i stary kod wtyczek
- Kto zakłada konta i jak mocne są hasła
- Obcy kod w plikach i katalog mu-plugins
- Gdzie leżą kopie i czy da się z nich wrócić
- Co obciąża bazę, jak ważą obrazy, czy działa cache
- Certyfikat oraz wersja PHP i limity konta
- Podstawy SEO: indeksacja, tytuły, mapa strony, przekierowania
Cały ten odczyt odbywa się bez ingerencji: audyt polega na czytaniu i żadnej zmiany nie wprowadzamy bez zgody klienta. Pozycja o podstawach SEO zostaje na liście bez rozwinięcia, bo indeksacją, mapą witryny i przekierowaniami zajmuje się audyt SEO w Zamościu. Przy dokumentach dodajemy zastrzeżenie: to nie jest audyt prawny, wskazujemy miejsca wymagające konsultacji prawnej.
Jakie wersje ma rdzeń, motyw i każda wtyczka
Spis obejmuje numer wydania rdzenia, wersję motywu i wersję każdej wtyczki oraz podatności opublikowane dla tych wersji.
Co z tego da się odczytać, zanim ktokolwiek zajrzy do panelu? Karta dodatku w katalogu publicznym pokazuje, z jakim najstarszym wydaniem WordPressa dodatek współpracuje i przy jakim najnowszym autor go sprawdzał. Jest tam też miejsce na minimalną wersję PHP, wartość opcjonalną. Gdy autor sprawdzał dodatek po raz ostatni przy starszym wydaniu, niż pracuje na stronie dzisiaj, brakuje jego deklaracji zgodności z wydaniem obecnym, choć sam dodatek może działać bez zarzutu.
Osobno czyta się motywy blokowe. W motywie klasycznym układ podstron opisują pliki szablonów z katalogu motywu, a zmiana wymaga edycji tych plików albo motywu potomnego. W blokowym szablony też startują z plików, lecz po zmianie w edytorze witryny nowa wersja zapisuje się w bazie jako wpis, zamiast w plikach motywu, i od tej pory ma pierwszeństwo. Pliki pozostają wtedy w stanie z paczki autora, choć strona wygląda inaczej. Porównanie samych plików z tą paczką nie pokazuje więc tego, co widzi odwiedzający, i trzeba zajrzeć do zapisanych szablonów.
Co zostaje w instalacji po wyłączonej wtyczce
Lista dodatków bywa dłuższa, niż wynika z potrzeb strony: część jest nieaktywna, część powtarza funkcje innej wtyczki, a część ładuje skrypty na podstronach, które ich nie potrzebują.
Wyłączenie dodatku zdejmuje z niego bieg i nic więcej: pliki leżą tam, gdzie leżały, a wpisy ustawień i tabele z pierwszego uruchomienia siedzą w bazie. Usunięcie dodatku z panelu kasuje pliki, lecz dane w bazie znikają wyłącznie wtedy, gdy autor przewidział procedurę czyszczenia i gdy ta wykona się do końca. Gdy autor takiej procedury nie przewidział albo gdy pliki zostaną skasowane ręcznie z serwera, nie ma czego uruchomić, więc osierocone tabele zostają w bazie.
Kto może zalogować się do panelu i co tam zmieni
Trzeci obszar to konta użytkowników, przypisane im uprawnienia i siła haseł.
WordPress opisuje uprawnienia rolami. Administrator dokłada i usuwa wtyczki oraz motywy, przestawia ustawienia i zakłada konta. Redaktor odpowiada za treść całej witryny, również cudzą. Autor wydaje własne wpisy, współpracownik jedynie szykuje je do zatwierdzenia, a subskrybent prowadzi tylko własny profil. Z liczby kont z najwyższą rolą wynika, ile osób może wprowadzić do instalacji nowy kod. Hasło jest pierwszym składnikiem logowania, a drugi składnik, generowany osobno przy każdym wejściu, dokłada się do niego i go nie zastępuje.
Co robimy, gdy w plikach znajdzie się obcy kod
Czwarty obszar to ślady włamania: podejrzane pliki, katalog mu-plugins i kod wstrzyknięty do plików albo do treści.
Gdy przegląd natrafi na aktywne włamanie, dzwonimy od razu. Dalej idzie ustalona kolejność: kopia obecnego stanu do analizy, odcięcie dostępu i czyszczenie, ustalenie drogi wejścia, wymiana haseł oraz kluczy, przejrzenie kont administratorów i monitoring zmian w plikach. Czyszczenie wyceniamy osobno, bo jest naprawą.
Kopia zapasowa sprawdzona próbnym odtworzeniem
Sprawdzamy, gdzie trzymane są kopie, i wykonujemy próbne odtworzenie na osobnym środowisku, mierząc czas powrotu do pracy. Kopia leżąca na koncie obsługującym stronę nie zabezpieczy przed awarią dysku ani przed zaszyfrowaniem danych.
Do odtworzenia potrzebne są pliki instalacji i zrzut bazy razem, i to z jednego punktu w czasie, bo zapisy w bazie wskazują na konkretny stan plików, a pliki na konkretną strukturę bazy. Rozjechane w czasie dają stronę, która wstaje, lecz gubi część treści. Samo odtworzenie zajmuje czas, który da się zmierzyć wcześniej.
Kopie w skali firmy, a nie samej strony, opisują kopie zapasowe w firmie.
Baza danych i to, co spowalnia wczytywanie strony
Raport podaje wagę elementów strony i wskazuje, która zmiana da najwięcej. Powolny WordPress bierze się zwykle z obrazów w pełnym rozmiarze, z dodatków ładujących skrypty na wszystkich podstronach i z braku pamięci podręcznej na serwerze; dochodzą zapytania do bazy. Poprawa zwykle sprowadza się do tych pozycji i zwykle obywa się bez przestawiania układu.
Baza ma też własne ustawienie kodowania znaków, nadawane przy jej zakładaniu oraz przy tworzeniu tabel. Gdy instalacja przenosi się między kontami o różnym kodowaniu, a zrzut wczytuje się bez zachowania pierwotnego ustawienia, polskie znaki w starych wpisach potrafią wyświetlić się jako ciągi obcych liter. Nowe treści wyglądają poprawnie, bo zapisują się już w nowym kodowaniu, dlatego kłopot bywa zauważony dopiero na starszych podstronach.
Certyfikat, ustawienia serwera i podstawy dostępności
Przed rozmową o optymalizacji czytamy serwer: limity konta, wersję PHP, czas odpowiedzi i pamięć podręczną po jego stronie. Pomiary idą do raportu razem z certyfikatem SSL. Gdy kłopot siedzi w serwerze, możemy zaproponować nasz hosting, choć raport zachowuje ważność niezależnie od tego, gdzie strona stoi. Parametry kont opisuje hosting w Zamościu.
Przy okazji sprawdzamy podstawy dostępności, czyli etykiety powiązane z polami formularza, kontrast i obsługę klawiaturą, a także obecność polityki prywatności, zasad cookies oraz banera zgód podłączonego do pomiaru.
Koszt
Co wpływa na koszt audytu WordPressa w Zamościu
Koszt układa się z rozmiaru instalacji, z liczby zainstalowanych dodatków oraz z tego, czy trzeba próbnie odtworzyć większe archiwum kopii. Kwot nie publikujemy.
Na rozmiar instalacji pracuje głównie to, co w niej narosło przez lata: katalog wysyłanych plików ze wszystkimi wersjami obrazów, liczba dodatków razem z ich danymi w bazie oraz zgromadzone treści. Osobno rośnie sama baza, bo trzymane w niej wersje wpisów i wyniki zapytań zapisywane na krótko też zajmują miejsce. Z rozmiaru instalacji wynika rozmiar kopii, a z niego czas pobrania, wgrania i importu. Dlatego próbne odtworzenie większego archiwum podnosi nakład pracy w samym przeglądzie i liczy się jako jeden z czynników jego ceny.
Ile kosztuje audyt WordPressa w Zamościu i jak wygląda wycena
Wycena jest bezpłatna i opiera się na adresie strony: po jego otrzymaniu odsyłamy zakres audytu oraz termin realizacji, najczęściej w ciągu 24 godzin.
Co wyceniamy osobno po audycie
Wdrożenie poprawek jest osobnym zleceniem, bo przegląd opisuje stan, a zmiany w instalacji to już inna praca. Czyszczenie po infekcji też wyceniamy osobno, bo należy do naprawy, nie do diagnozy.
- Wielkość instalacji: treści i katalog wysyłanych plików
- Liczba wtyczek i motywów z danymi w bazie
- Potrzeba odtworzenia większego archiwum
- Jedna witryna czy sieć witryn
- Usunięcie infekcji, wyceniane osobno
Wybór
Przegląd bezpieczeństwa czy cała instalacja WordPressa: co zamówić?
Zamawiający pyta zwykle, czy wziąć sam przegląd bezpieczeństwa, czy całą instalację. Odpowiedź zależy od tego, co ma zostać rozstrzygnięte.
Część pytań domyka się z zewnątrz, bez hasła. Reszta wymaga wejścia do panelu i na serwer.
Osobno stoi pytanie, czego nie pokaże sam skan bezpieczeństwa, oraz to, w którym miejscu jednorazowy opis stanu przechodzi w regularne utrzymanie strony.
Automatyczny raport online a przegląd z dostępem do panelu
Z samego adresu strony da się odczytać niemało. Przeglądarka pokaże, czy połączenie jest szyfrowane i jak szybko wczytuje się strona pod publicznym adresem; w kodzie bywa widoczna nazwa motywu i część dodatków. Z zewnątrz pozostaje natomiast niewidoczne to, co nie wychodzi na stronę: lista kont w panelu, zawartość katalogów, numer wydania każdego dodatku, treść dzienników serwera oraz to, czy kopia wraca po odtworzeniu.
Osobnym źródłem danych jest interfejs REST, dostępny domyślnie pod adresem zakończonym na /wp-json. Część odpowiedzi przychodzi bez logowania, bo dotyczy treści publicznych, listy typów wpisów albo nazw autorów opublikowanych wpisów. Pozostałe punkty wymagają uwierzytelnienia i bez niego odpowiadają odmową, dlatego z zewnątrz da się policzyć publiczne wpisy, lecz ustawień instalacji i całej listy kont bez uprawnień nie widać. Automatyczny raport opisze więc publiczną warstwę instalacji dokładnie, a przy tym pominie pliki i uprawnienia widoczne po zalogowaniu.
Sam skan bezpieczeństwa a przegląd treści, bazy i wydajności
Skan nastawiony na bezpieczeństwo szuka wzorców obcego kodu i znanych podatności. Nie odpowiada natomiast na pytanie, czy strona pokazuje wszystko, co pokazywać powinna.
Wtyczki i motywy dostarczają własne krótkie kody oraz bloki, czyli znaczniki wstawiane w treść, w miejsce których przy wczytywaniu podstawia się przygotowana zawartość: formularz, galeria albo lista wpisów. Po wyłączeniu takiego dodatku znacznik zostaje w treści bez swojej obsługi. Przy krótkim kodzie odwiedzający widzi wtedy surowy tekst w nawiasach kwadratowych, a przy bloku zawartość zwykle nie pojawia się wcale, natomiast w edytorze widać komunikat o nieobsługiwanym bloku. Taka podstrona odpowiada poprawnie i nie zgłasza błędu, więc skan bezpieczeństwa tego miejsca nie wskaże; widać je dopiero przy przeglądzie treści.
Co zostaje po audycie, a co wymaga stałej opieki nad WordPressem
Przy stronie, która rzadko się zmienia, zalecamy powtarzanie przeglądu co roku, a poza tym po większej przebudowie. W przerwie zostaje monitoring aktualizacji oraz kopii. Dokument trafia do klienta na stałe.
Różnica jest rzeczowa. Diagnoza opisuje stan instalacji w danym dniu i kończy się na tym opisie; naprawa ten stan zmienia i wymaga decyzji, kto bierze za nią odpowiedzialność. Diagnoza zamyka się więc tam, gdzie zaczyna się regularne utrzymanie. Cykliczne aktualizacje, pilnowanie kopii i reagowanie na zgłoszenia opisuje opieka nad WordPressem w Zamościu.
Wykonawca
Jak wybrać firmę do audytu strony
Przy wyborze wykonawcy liczy się to, co da się ustalić przed podpisaniem: kto wykonuje pracę, na jakich dostępach i co znajdzie się w dokumencie.
Poniżej dwa wątki: skąd prowadzimy pracę i co uzgodnić przed startem zlecenia.
Audyt strony WordPress w Zamościu: firma, biuro i dostępy do pracy
Pracujemy dla firm z województwa lubelskiego, z Warszawy oraz, w pracy zdalnej, z całej Polski. Biuro mamy w Lublinie, a spotkania umawiamy wcześniej.
Jedna strona wisi zwykle na trzech osobnych logowaniach, które łatwo ze sobą pomylić. Panel WordPressa otwiera treść, dodatki i konta użytkowników. Panel hostingu daje pliki, bazę i ustawienia serwera, czyli to, czego z panelu strony nie widać. Panel rejestratora domeny steruje samym adresem i wpisami kierującymi ruch na serwer. Zdarza się, że wszystkie trzy prowadzi jeden dostawca, lecz nawet wtedy są to osobne konta z osobnymi hasłami. Pierwsze dwa są potrzebne do odczytu; trzecie przy przeglądzie zwykle pozostaje nietknięte.
Co uzgodnić przed zamówieniem audytu
Przy każdym zleceniu podpisujemy umowę. Wpisujemy do niej zakres, termin i koszt, a osobno zasady wsparcia obowiązujące po wdrożeniu; NDA dołączamy na życzenie. Uzgodnić trzeba też, gdzie kończy się opis stanu, a zaczyna ingerencja w instalację. Pytania domykające ten wybór zebraliśmy w tekście czego szukać w audycie WordPressa.
Zasięg
Audyt WordPressa w Zamościu, na Roztoczu i w okolicach
W Zamościu mieszka 57,5 tys. osób (GUS, 2024), a miasto zajmuje 30 km², więc od Starego Miasta po Karolówkę nie ma daleko. Strony firmowe obsługują tu różne części rynku: noclegi wokół Rynku Wielkiego, usługi z Nowego Miasta, Plant czy Słonecznego Stoku oraz hurtownie z obrzeży miasta.
Jako dawna stolica województwa zamojskiego Zamość nadal obsługuje południowo-wschodnią część regionu. Ten sam przegląd obejmuje więc strony firm z Hrubieszowa i Tomaszowa Lubelskiego, z Biłgoraja, z roztoczańskich miejscowości, czyli Krasnobrodu, Zwierzyńca i Szczebrzeszyna, oraz z gminy Sitno.
Dojeżdżamy na miejsce w województwie lubelskim i w Warszawie. Poza tym obszarem pracujemy zdalnie. Przy przeglądzie instalacji dojazd rzadko bywa konieczny, bo do odczytu potrzebne są same logowania.
Współpraca
Trzy etapy audytu strony na WordPressie
Dostęp do panelu i serwera
Odczyt wymaga logowania do panelu WordPressa oraz do konta na serwerze. Czytamy, nie zmieniamy; żadna modyfikacja nie wchodzi bez zgody.
Analiza i testy
Próbne odtworzenie kopii zapasowej, pomiar wydajności i skan bezpieczeństwa. Wychodzą tu też drobniejsze rzeczy, na przykład stan plików tłumaczeń. Polskie teksty interfejsu leżą w osobnym katalogu o nazwie languages i aktualizują się niezależnie od wersji samego dodatku, więc po jego podniesieniu część opisów w panelu wraca na chwilę po angielsku, dopóki nowe tłumaczenie nie zostanie pobrane. Brakujące tłumaczenie nie psuje działania strony, ale pokazuje, że aktualizacja dodatku i aktualizacja jego opisów to dwa osobne pobrania.
Raport i plan
Problemy ustawione według wagi, a przy nich propozycja: co zrobić od razu, a co odłożyć w plan. Przy każdej pozycji zapisujemy, czego dotyczy: rdzenia, motywu, dodatku, bazy czy serwera.
Pytania
O co pytają firmy z Zamościa przed zamówieniem audytu
Kwot nie publikujemy, bo wycena opiera się na tym, co stoi w instalacji: jej rozmiarze, liczbie dodatków i potrzebie odtworzenia większego archiwum. Sama wycena jest bezpłatna, a jej termin podajemy w odpowiedzi na zgłoszenie.
Zwykle 3–5 dni roboczych przy stronie o typowej wielkości. Dzielimy tę pracę na dostęp, analizę z testami oraz raport z planem, a termin potwierdzamy razem z zakresem.
Nie. Audyt polega na odczycie i żadnej zmiany nie wprowadzamy bez zgody klienta. Jeśli coś wymaga natychmiastowej reakcji, najpierw dzwonimy i ustalamy, co może zostać zrobione.
Tak. Obsługujemy firmy z Lubelszczyzny i z Warszawy, a zdalnie również spoza tego obszaru. Rozmowy prowadzimy przez Google Meet, Teams albo Zoom, a spotkanie w lubelskim biurze umawiamy wcześniej.
To starszy interfejs zdalny WordPressa, służący do obsługi strony z zewnętrznych programów. Stanowi osobne wejście do instalacji i działa niezależnie od ekranu logowania, więc jego stan czytamy razem z kontami i uprawnieniami. Bywa wyłączony wtyczką albo zablokowany po stronie serwera, co również odnotowujemy w raporcie.
W ustawieniach ogólnych WordPressa są dwa osobne pola: adres instalacji, z której wczytują się pliki, oraz adres witryny, pod którym strona ma się otwierać. Zwykle mają tę samą wartość, lecz po przenoszeniu domeny albo po dodaniu certyfikatu łatwo zostawić w nich różne wpisy, a wtedy część odnośników kieruje w inne miejsce, niż oczekuje odwiedzający.
Maksymalny rozmiar wgrywanego pliku ustala serwer, a nie WordPress; panel pokazuje tę wartość przy ekranie wysyłania plików. Jeśli archiwum kopii jest większe, przesyłanie przerywa się, choć samo odtworzenie byłoby wykonalne. Ten sam limit decyduje o importach z pliku, dlatego próbne odtworzenia prowadzimy na osobnym środowisku, poza oknem przeglądarki.
Sieć witryn oznacza jedną instalację obsługującą wiele adresów, w której wtyczki i motywy włącza się dla całej sieci albo dla wybranej witryny, a nad administratorami poszczególnych witryn stoi osobne uprawnienie superadministratora. Przegląd obejmuje wtedy wspólny rdzeń i każdą witrynę z osobna, dlatego skala takiej instalacji wpływa na zakres i na termin.
Ta sama okolica
Pozostałe usługi w Zamościu
Ta sama usługa
Audyt strony WordPress w innych miastach
Podaj adres strony, a odeślemy zakres audytu i termin realizacji
Pierwsza rozmowa jest bezpłatna i bez zobowiązań. Potrzebny jest sam adres strony.