Administracja WordPress — co to znaczy w praktyce

Administracja WordPress to nie jest jednorazowa naprawa, tylko stała praca utrzymaniowa. Rdzeń, motyw i wtyczki dostają poprawki bezpieczeństwa co kilka tygodni, a każda z tych poprawek może zmienić zachowanie strony. Ktoś musi je wgrywać, sprawdzać efekt i mieć kopię, z której da się wrócić.

Poniżej opisujemy zakres, który wchodzi w każdy pakiet. Różnica między pakietami polega na częstotliwości prac, czasie reakcji i liczbie godzin na drobne zmiany, a nie na tym, że w tańszym pakiecie pomijamy kopie zapasowe albo aktualizacje.

Jak wygląda ta praca w miesiącu

Aktualizacje: najpierw kopia, potem update

Aktualizacje rdzenia i wtyczek wgrywamy w oknie ustalonym z klientem, a nie w chwili, gdy WordPress je zaproponuje. Kolejność jest zawsze ta sama: kopia zapasowa, aktualizacja, sprawdzenie kluczowych podstron i formularza. Jeżeli coś przestaje działać, wracamy do kopii sprzed kilkunastu minut, a nie szukamy przyczyny na żywej stronie.

Automatycznych aktualizacji wszystkiego nie zalecamy. Poprawki bezpieczeństwa rdzenia owszem — ale duże wydania wtyczek potrafią zmienić układ strony albo zepsuć integrację z płatnościami. Różnica między opieką a jej brakiem polega właśnie na tym, że ktoś sprawdza efekt, zamiast liczyć, że przejdzie.

Kopie zapasowe, które ktoś odtworzył

Kopia, której nikt nigdy nie przywrócił, jest założeniem, nie zabezpieczeniem. Trzymamy kopie poza serwerem strony, żeby awaria hostingu nie zabrała razem ze stroną także jej backupu, i okresowo odtwarzamy je na środowisku testowym.

Częstotliwość dobieramy do tego, jak szybko zmienia się treść. Dla strony firmowej kopia tygodniowa zwykle wystarcza. Dla serwisu z formularzami albo sklepu doba to już za długo — utrata dnia zgłoszeń bywa droższa niż cała roczna opieka.

Monitoring: wiemy przed telefonem od klienta

Sprawdzamy dostępność strony i czas odpowiedzi z zewnątrz, w krótkich odstępach. Alert idzie do nas, nie do właściciela — sens opieki polega na tym, że o awarii dowiadujesz się razem z informacją, że jest już naprawiana.

Poza samym „działa / nie działa” obserwujemy certyfikat SSL, datę wygaśnięcia domeny i błędy PHP w logach. Te trzy rzeczy odpowiadają za większość nagłych awarii, które z zewnątrz wyglądają na tajemnicze.

Bezpieczeństwo bez wtyczki na wszystko

Hardening zaczynamy od rzeczy, które nic nie kosztują: usunięcia nieużywanych motywów i wtyczek, ograniczenia prób logowania, wyłączenia edycji plików z panelu i odcięcia XML-RPC tam, gdzie nie jest potrzebny. Dopiero potem rozważamy wtyczki bezpieczeństwa — bo każda z nich to kolejny kod, który sam wymaga aktualizacji.

Jeżeli strona jest już zainfekowana, opieka nie jest właściwą usługą na start. Najpierw trzeba ją wyczyścić i ustalić, którędy weszło włamanie, inaczej abonament zamienia się w comiesięczne usuwanie tego samego problemu.

Czego w opiece nie ma

Nie budujemy w jej ramach nowych stron ani nie prowadzimy pozycjonowania. Drobne prace — zmiana treści, podmiana zdjęcia, poprawka w formularzu — mieszczą się w godzinach przypisanych do pakietu. Większe zmiany, na przykład nowa podstrona czy integracja z zewnętrznym systemem, wyceniamy osobno.

Piszemy to wprost, bo nieporozumienie o zakres jest najczęstszym powodem rozstania przy abonamentach technicznych.