Aktualizacja strony internetowej: aktualizacje stron, administracja i cena

Większość rozmów o aktualizacjach zaczyna się od pytania, czy to naprawdę konieczne, skoro strona działa. Odpowiedź nie zależy od tego, czy strona działa, tylko od tego, czy zbiera dane. Formularz kontaktowy, zapis na newsletter, koszyk, panel klienta: każde z nich sprawia, że firma jest administratorem danych osobowych w rozumieniu RODO. A wtedy stosuje się art. 32 ust. 1, który nakazuje wdrożyć odpowiednie środki techniczne i organizacyjne, w tym, cytując literę b, "zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania". Słowo "ciągłego" jest tu kluczowe, bo wyklucza podejście "zrobiliśmy stronę w 2021 i tyle". Litera d idzie dalej i wymaga "regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania". Nikt nie napisał w przepisie słowa "aktualizacja", ale nie da się mieć odporności systemu, którego producent od dwóch lat wypuszcza łatki, a nikt ich nie instaluje.

Naruszenie art. 32 mieści się w cięższej kategorii sankcji. Art. 83 ust. 4 lit. a RODO obejmuje obowiązki z artykułów od 25 do 39, a więc także bezpieczeństwo przetwarzania, i przewiduje karę do 10 000 000 euro, a w przypadku przedsiębiorstwa do 2 procent całkowitego rocznego światowego obrotu, przy czym stosuje się kwotę wyższą. W praktyce małej polskiej firmy nikt nie zapuka do drzwi dlatego, że wtyczka jest stara. Problem zaczyna się w innym momencie: gdy baza kontaktów z formularza wycieka i trzeba to zgłosić. Art. 33 ust. 1 daje na zgłoszenie naruszenia organowi nadzorczemu 72 godziny od stwierdzenia. Pytanie, które pada wtedy jako pierwsze, brzmi: jakie środki bezpieczeństwa były wdrożone. Historia aktualizacji jest odpowiedzią na to pytanie albo jej brakiem. Dlatego prowadzimy rejestr wykonanych prac z datami, nawet przy najmniejszych serwisach.

Kiedy klient pisze "potrzebuję aktualizacji strony", może mieć na myśli jedną z trzech rzeczy i za każdą płaci się inaczej. Pierwsza to aktualizacja techniczna: nowa wersja rdzenia CMS, wtyczek, motywu i PHP, plus testy, czy po podniesieniu nic się nie rozjechało. Druga to aktualizacja treści: nowe ceny, zmieniona oferta, aktualny zespół, poprawione dane rejestrowe po zmianie adresu. Trzecia to administracja: pilnowanie kopii zapasowych, dostępów, certyfikatu, domeny i skrzynek, czyli praca, której nie widać, dopóki czegoś zabraknie. Ta strona dotyczy wszystkich trzech, wykonywanych jednorazowo albo cyklicznie. Jeżeli szukasz stałego pakietu z miesięczną kwotą, właściwym adresem jest opieka nad stroną internetową. Jeżeli chodzi o zmianę wyglądu i układu, a nie o wersje oprogramowania, to modernizacja strony internetowej. A jeżeli chcesz policzyć roczny koszt posiadania strony razem z domeną i hostingiem, mamy o tym osobny tekst.

Wersja PHP jest tą częścią układanki, o której właściciele firm dowiadują się najpóźniej, bo nie widać jej na stronie. Twórcy PHP publikują twardy harmonogram: każda gałąź dostaje dwa lata aktywnego rozwoju i jeszcze rok samych poprawek bezpieczeństwa, po czym nie dostaje już nic. PHP 7.4 przestało być łatane 28 listopada 2022 roku, PHP 8.0 rok później, a PHP 8.1 z końcem grudnia 2025. To znaczy, że dziś, we wrześniu 2026, strona stojąca na którejkolwiek z tych wersji nie otrzyma poprawki nawet dla luki opisanej publicznie. Najbliższy termin dotyczy PHP 8.2, które traci wsparcie bezpieczeństwa 31 grudnia 2026, czyli za niecałe cztery miesiące. Sprawdzenie własnej wersji zajmuje minutę i zwykle znajduje się w panelu hostingu, a nie w panelu strony. To jest pierwsza rzecz, którą oglądamy przed wyceną, bo przeskok o dwie gałęzie naraz wymaga innej pracy niż przeskok o jedną.

Nie dlatego, że jest gorszy, tylko dlatego, że jest wszędzie. Według pomiaru W3Techs z 2 września 2026 roku WordPress napędza 40,7 procent wszystkich stron w internecie, co daje mu 58,9 procent rynku systemów zarządzania treścią. Skala robi z niego najbardziej opłacalny cel dla automatów skanujących internet w poszukiwaniu znanych luk. Atakujący nie wybiera Twojej firmy, tylko wpisuje w skaner nazwę podatnej wtyczki i przechodzi po wszystkim, co odpowiada. Drugi powód jest architektoniczny: typowa strona firmowa na WordPressie ma kilkanaście do trzydziestu wtyczek od różnych autorów, a każda z nich to osobny cykl wydawniczy i osobne ryzyko porzucenia projektu. Rdzeń WordPressa wymaga dziś co najmniej PHP 7.4, ale wtyczki potrafią wymagać więcej albo, co gorsza, przestać działać na nowszej wersji. Dlatego aktualizacji WordPressa nie robi się przez kliknięcie "aktualizuj wszystko" w piątek po południu.

Zaczynamy od pełnej kopii zapasowej: pliki i baza danych, pobrane poza serwer, z datą i możliwością odtworzenia. Potem stawiamy kopię testową serwisu pod adresem niedostępnym dla wyszukiwarek i całą pracę wykonujemy tam. Kolejność ma znaczenie: najpierw rdzeń systemu, potem wtyczki, na końcu motyw, a wersję PHP podnosimy dopiero wtedy, gdy reszta jest gotowa, bo to ona najczęściej ujawnia niezgodności w starym kodzie. Po każdej większej zmianie sprawdzamy, czy działają rzeczy, które przynoszą pieniądze: formularz kontaktowy razem z wysyłką maila, koszyk i płatność, logowanie, wyszukiwarka, mapa dojazdu, wersja mobilna. Dopiero potem przenosimy zmiany na serwer produkcyjny, w porze najmniejszego ruchu, z przygotowaną ścieżką powrotu. Na koniec zostaje raport z listą wersji przed i po oraz notatka, co wymaga uwagi przy następnym podejściu.

Automat jest dobry i warto go mieć włączonego dla poprawek bezpieczeństwa rdzenia, bo działa szybciej niż człowiek. Ma jednak trzy słabe punkty, których nie da się obejść ustawieniem. Po pierwsze, aktualizuje w ciemno, bez kopii zapasowej i bez testu, więc jeśli nowa wersja wtyczki gryzie się z motywem, dowiadujesz się o tym z telefonu od klienta, a nie z raportu. Po drugie, nie rusza tego, co wymaga decyzji: wersji PHP, wtyczki płatnej z wygasłą licencją, wtyczki porzuconej przez autora. Po trzecie, nie odróżnia zmiany kosmetycznej od zmiany łamiącej zgodność, a takie w świecie wtyczek zdarzają się regularnie. Praktyczny podział, który polecamy, wygląda tak: automatyczne poprawki bezpieczeństwa rdzenia włączone na stałe, aktualizacje wtyczek i motywu robione ręcznie na kopii testowej, wersja PHP zmieniana świadomie, po sprawdzeniu wymagań wszystkich zainstalowanych rozszerzeń.

Techniczna część bywa niewidoczna, ale nieaktualna treść kosztuje bezpośrednio, bo odbiera zaufanie dokładnie w momencie, w którym ktoś rozważa kontakt. Najczęściej znajdujemy pięć rzeczy. Ceny, które przestały obowiązywać, przez co pierwsza rozmowa zaczyna się od tłumaczenia, że jest drożej. Ofertę, która nie zawiera usług wprowadzonych w zeszłym roku, a zawiera te wycofane. Dane rejestrowe po zmianie formy prawnej, adresu albo numeru konta, czyli błąd, który potrafi zablokować przelew. Politykę prywatności napisaną pod inny zestaw narzędzi, bo w międzyczasie doszedł czat, piksel albo nowy system mailingowy. I rok w stopce, który sam w sobie nic nie znaczy, ale czytelnik traktuje go jak dowód, że firma nadal istnieje. Przy aktualizacji treści przechodzimy stronę po stronie z listą kontrolną i zwracamy zestawienie tego, co wymaga decyzji po Twojej stronie, zanim cokolwiek zmienimy.

Administracja to praca ciągła i najczęściej najgorzej opisana w umowach, co kończy się sporem dokładnie wtedy, gdy coś przestaje działać. Nasz podział jest prosty i zapisujemy go przed startem. Po stronie wykonawcy: kopie zapasowe wraz z okresowym testem odtworzenia, monitorowanie dostępności serwisu, odnawianie certyfikatu, aktualizacje według ustalonego rytmu, zarządzanie kontami w panelu i reakcja na awarię w umówionym czasie. Po stronie firmy: własność domeny i dostęp do jej panelu, decyzje o treści, dostarczenie materiałów oraz utrzymanie płatności za hosting i domenę. Osobna sprawa to dane osobowe. Jeżeli obsługujemy stronę, na której są dane klientów, przetwarzamy je w Twoim imieniu, więc potrzebna jest umowa powierzenia. To nie jest formalność dla formalności, tylko dokument, który przy kontroli pokazuje, kto miał dostęp i na jakiej podstawie.

Powiemy to wprost, zanim wystawimy fakturę, bo częściej opłaca się nam długa współpraca niż jedna droga naprawa. Są cztery sytuacje, w których aktualizacja jest wyrzucaniem pieniędzy. Pierwsza: motyw kupiony na giełdzie szablonów i porzucony przez autora, bo wtedy każda nowsza wersja WordPressa oddala stronę od działania, a poprawki trzeba pisać samodzielnie. Druga: strona przebudowana kreatorem, w której układ powstał ręcznymi wyjątkami w kodzie, więc podniesienie wtyczki kreatora rozsypuje podstrony. Trzecia: serwis, który nie ma wersji mobilnej ani szans na nią bez przepisania szablonów. Czwarta: strona, w której kod jest niezgodny z PHP nowszym niż nieobsługiwane już 8.0, a nakład na przepisanie przekracza koszt nowego serwisu. W każdym z tych przypadków liczymy obie drogi i pokazujemy kwoty obok siebie, zamiast doradzać w ciemno.

Cena zależy od trzech rzeczy i żadna z nich nie jest liczbą podstron. Pierwsza to zaległość, czyli ile wersji wstecz jest serwis. Podniesienie strony aktualizowanej pół roku temu to zwykle jedno popołudnie, a strony nietkniętej od 2021 roku to praca na kilka dni, bo trzeba przejść przez pośrednie wersje i po każdej sprawdzić, czy nic nie pękło. Druga to liczba i jakość wtyczek: dziesięć popularnych rozszerzeń z aktywnym wsparciem to inna sytuacja niż trzy wtyczki porzucone przez autorów, do których trzeba znaleźć zamienniki i przenieść dane. Trzecia to zakres testów, bo sklep z koszykiem, płatnością i integracją z magazynem sprawdza się dłużej niż strona firmowa z jednym formularzem. Wycenę podajemy jako kwotę stałą po obejrzeniu panelu i listy wtyczek, przed rozpoczęciem prac. Przy stałej współpracy miesięcznej rozliczamy to inaczej, w ramach abonamentu opieki, gdzie aktualizacje wchodzą w pakiet.