Co zrobić po instalacji WordPressa na stronie firmowej

Zanim zaczniesz instalować wtyczki lub publikować treści, sprawdź, kto może zalogować się do Twojej strony i jakie ma uprawnienia. WordPress udostępnia kilka mechanizmów związanych z kontami użytkowników, które łatwo przeoczyć. Niektóre ustawienia mogą też zostać zmienione przez wtyczki, migrację albo wcześniejszego wykonawcę.

Sprawdź konta administratorów. Wejdź w Użytkownicy → Wszyscy użytkownicy. Jeśli widzisz konto „admin” albo administratora, którego nie rozpoznajesz, wyjaśnij jego pochodzenie. Konto o przewidywalnej nazwie warto zastąpić nowym, ale samo ukrycie loginu nie zabezpieczy witryny. Ważniejsze są unikalne hasło, ograniczone uprawnienia i dodatkowe uwierzytelnianie.

Jeśli chcesz zmienić nazwę logowania, utwórz nowe konto administratora, sprawdź dostęp i dopiero wtedy usuń stare. WordPress pozwala przypisać istniejące treści innemu użytkownikowi podczas usuwania konta. Nie usuwaj więc administratora bez sprawdzenia, czy jest autorem opublikowanych wpisów.

Włącz uwierzytelnianie dwuskładnikowe (2FA). To dodatkowe potwierdzenie logowania, na przykład kodem z aplikacji. Szczególnie polecam je administratorom i redaktorom, ponieważ przejęcie takiego konta może pozwolić na zmianę treści albo ustawień strony. Możesz użyć wtyczki Wordfence Login Security, dostępnej w oficjalnym katalogu WordPressa.

Zamknij rejestrację, jeśli jej nie potrzebujesz. W Ustawienia → Ogólne sprawdź pole „Każdy może się zarejestrować”. Na zwykłej stronie firmowej najczęściej powinno być wyłączone. Jeśli prowadzisz sklep lub serwis członkowski, rejestracja może być potrzebna, ale wtedy sprawdź również domyślną rolę nowego użytkownika.

Przekonałem się, jak ważna jest ta kontrola, gdy przejąłem serwis windykacyjny na WordPressie. W bazie danych ustawienie rejestracji miało przypadkową wartość, przez co rejestracja pozostawała otwarta, chociaż nikt świadomie jej nie włączał. W serwisie powstały 3 konta utworzone przez automatyczne skanery. Zamknąłem możliwość rejestracji i uporządkowałem konta.

Sprawdź XML-RPC i publiczną listę autorów. XML-RPC to starszy mechanizm zdalnej komunikacji z WordPressem. Jeżeli żadna integracja go nie wykorzystuje, rozważ jego ograniczenie. Ważne, żeby sprawdzić faktyczny efekt, ponieważ niektóre sposoby wyłączenia pozostawiają aktywne pingbacki, czyli mechanizm powiadomień o odnośnikach między stronami.

W tym samym serwisie wtyczka reklamowana jako wyłączająca XML-RPC nie blokowała wszystkich jego funkcji. Dodatkowo login administratora był widoczny publicznie przez listę autorów. Ograniczyłem niepotrzebne mechanizmy i sprawdziłem, jakie dane użytkowników można odczytać bez logowania. Ukrycie nazwy użytkownika traktuję jednak jako uzupełnienie zabezpieczeń, nie ich fundament.

Kiedy dostęp jest zabezpieczony, przejdź do podstawowych ustawień witryny. Warto zrobić to przed dodaniem większej ilości treści, ponieważ późniejsza zmiana adresów może wymagać przekierowań i poprawek w linkach.

Ustaw bezpośrednie odnośniki. Wejdź w Ustawienia → Bezpośrednie odnośniki i wybierz strukturę „Nazwa wpisu”, jeśli pasuje do Twojego serwisu. Dzięki temu adres artykułu może wyglądać tak: twojadomena.pl/jak-wybrac-usluge/, zamiast zawierać techniczny identyfikator wpisu.

Czytelny adres pomaga użytkownikowi rozpoznać zawartość strony. Nie oznacza jednak automatycznie lepszej pozycji w Google. Jeżeli Twoja strona już działa i ma zaindeksowane adresy, nie zmieniaj ich pochopnie. Najpierw przygotuj przekierowania 301 ze starych adresów na nowe i sprawdź linki wewnętrzne.

Skonfiguruj stronę główną. W Ustawienia → Czytanie wybierz, czy na stronie głównej mają pojawiać się najnowsze wpisy, czy konkretna strona statyczna. Dla firmowej witryny zwykle ustawiam stronę statyczną, a artykuły kieruję do osobnej sekcji blogowej.

Następnie sprawdź nazwę witryny, opis, adres e-mail administratora, język i strefę czasową w Ustawienia → Ogólne. Poprawna strefa czasowa ma znaczenie między innymi przy planowaniu publikacji. Upewnij się też, że strona otwiera się przez HTTPS i nie występują błędy certyfikatu.

Wyłącz niepotrzebne komentarze. Jeśli nie zamierzasz prowadzić dyskusji pod wpisami, przejdź do Ustawienia → Dyskusja i wyłącz możliwość dodawania komentarzy do nowych artykułów. Sprawdź również ustawienia pingbacków i trackbacków.

Samo wyłączenie komentarzy dla przyszłych wpisów nie musi zamknąć ich pod wcześniej opublikowanymi materiałami. W przejętym serwisie windykacyjnym komentarze pozostawały otwarte na 72 wpisach, a wśród nich znalazło się 17 spamowych komentarzy. Zamknąłem je również w istniejących treściach.

Na koniec otwórz stronę w oknie prywatnym przeglądarki. Sprawdź stronę główną, menu, formularz kontaktowy, przykładowy wpis oraz adresy podstron. To prosty sposób, żeby wychwycić różnice między widokiem administratora a tym, co widzi odwiedzający.

WordPress ma wbudowane mechanizmy przydatne wyszukiwarkom, ale przed publikacją trzeba upewnić się, że są właściwie ustawione. Nie chodzi o instalowanie wszystkiego, co zawiera słowo SEO. Ważniejsze jest sprawdzenie, czy Google może dotrzeć do właściwych treści i odczytać ich podstawowe informacje.

Zacznij od widoczności w wyszukiwarkach. W Ustawienia → Czytanie znajdziesz opcję proszącą wyszukiwarki o nieindeksowanie witryny. Na stronie przeznaczonej do publicznego wyświetlania nie powinna być zaznaczona. Pamiętaj jednak, że to prośba kierowana do robotów, a nie mechanizm chroniący prywatną wersję testową. Taką wersję zabezpiecz osobno.

Wybierz jedną wtyczkę SEO. W serwisach, którymi się zajmuję, korzystam między innymi z Yoast SEO albo Rank Math. Obie pomagają zarządzać tytułami stron, opisami wyświetlanymi w wynikach wyszukiwania i mapą witryny. Nie instaluj ich równocześnie do obsługi tych samych funkcji, ponieważ może to prowadzić do nakładania się ustawień.

Warto sprawdzić:

• Tytuł SEO i opis strony głównej, żeby jasno przedstawiały działalność firmy.

• Tytuły oraz opisy najważniejszych podstron usługowych, kategorii i artykułów.

• Indeksowanie archiwów, które rzeczywiście mają wartość dla odwiedzających.

• Mapę witryny XML oraz podstawowe dane strukturalne, czyli informacje pomagające wyszukiwarce rozpoznać rodzaj treści.

Sprawdź mapę witryny. WordPress udostępnia własną mapę XML, zwykle pod adresem /wp-sitemap.xml. Wtyczka SEO może udostępniać inną, na przykład /sitemap_index.xml. Nie zakładaj, że konkretny adres działa tylko dlatego, że zainstalowałeś wtyczkę. Otwórz go w przeglądarce i sprawdź, czy zawiera właściwe podstrony.

Przy okazji zajrzyj pod /robots.txt. Ten plik przekazuje robotom wskazówki dotyczące pobierania zasobów. Nie traktuj go jako zabezpieczenia poufnych informacji ani sposobu na ukrywanie prywatnych dokumentów.

Dodaj stronę do Google Search Console. To narzędzie, w którym możesz potwierdzić własność witryny, przesłać mapę strony i sprawdzać informacje o indeksowaniu. Po weryfikacji domeny przejdź do sekcji map witryn i podaj właściwy adres mapy XML.

Nie oczekuj, że samo przesłanie mapy spowoduje natychmiastowe pojawienie się strony w Google. Search Console pomaga wykrywać problemy, ale nie gwarantuje indeksowania ani określonej pozycji. W moim serwisie Mebloweporady.pl, w którym opublikowałem ponad 400 poradników, uporządkowane adresy i kontrola indeksowania są istotną częścią utrzymania rozbudowanej biblioteki treści.

Kopia zapasowa powinna powstać przed większymi zmianami, nawet jeśli witryna jest jeszcze pusta. Później potrzebujesz harmonogramu, który odpowiada temu, jak często zmieniają się treści i dane użytkowników.

Skonfiguruj automatyczne kopie. Korzystam między innymi z UpdraftPlus, który pozwala wykonywać kopie plików oraz bazy danych WordPressa. W bazie znajdują się między innymi wpisy, ustawienia i dane użytkowników. W plikach są motywy, wtyczki oraz przesłane multimedia. Do odtworzenia kompletnej witryny mogą być potrzebne oba rodzaje danych.

Najważniejsze jest miejsce przechowywania kopii. Przy pracy ze sklepem LumiKids na WooCommerce zwracam uwagę na prostą zasadę: kopia znajdująca się wyłącznie na tym samym serwerze nie chroni przed utratą całego serwera. Dlatego przechowuję kopie poza nim, w osobnej lokalizacji.

Nie wystarczy też zobaczyć komunikatu o poprawnym wykonaniu kopii. Sprawdź, czy pliki rzeczywiście powstały, czy możesz je pobrać i czy da się odtworzyć stronę w środowisku testowym. W przypadku sklepu uwzględnij również zamówienia, które mogą pojawić się między wykonaniem kopii a awarią.

Zaplanuj aktualizacje WordPressa, motywu i wtyczek. Panel administracyjny pokazuje dostępne aktualizacje, ale nie każdą zmianę warto wdrażać bez sprawdzenia. Automatyczne aktualizacje mogą być pomocne, jednak przy sklepie lub stronie z własnymi integracjami wymagają przemyślanego podejścia.

Stosuję następującą kolejność:

• Sprawdzam dostępność kopii i zakres aktualizacji.

• Weryfikuję zgodność zmienianych elementów, a przy istotniejszych zmianach korzystam z wersji testowej.

• Aktualizuję komponenty i sprawdzam formularze, logowanie, edycję treści oraz funkcje charakterystyczne dla serwisu.

• W przypadku problemu analizuję komunikaty i logi błędów, zamiast instalować kolejne wtyczki na ślepo.

W sklepie Kosmoteka zmiana we własnej wtyczce spowodowała, że część kart produktów zwracała błąd 500, czyli błąd po stronie serwera. Przyczynę znalazłem w logu błędów, a poprawkę wdrożyłem tego samego dnia. Od tego czasu szczególnie pilnuję, żeby diagnostyka była dostępna, ale publiczne wyświetlanie szczegółów błędów pozostawało wyłączone.

Tryb debugowania WordPressa wykorzystuję podczas diagnozy i wyłączam po jej zakończeniu. Nie pozostawiam publicznie dostępnych plików z informacjami technicznymi, ponieważ mogłyby ujawniać szczegóły działania witryny.

Jeżeli nie chcesz samodzielnie pilnować aktualizacji, kopii i kontroli po zmianach, takie czynności mogą wchodzić w zakres opieki nad stroną WordPress. Warto jednak wiedzieć, co dokładnie obejmuje opieka, a co wymaga osobnego zlecenia.

Cache, czyli pamięć podręczna, pozwala serwerowi lub przeglądarce korzystać z wcześniej przygotowanej wersji strony. Dzięki temu niektóre elementy nie muszą być generowane od nowa przy każdej wizycie. Źle skonfigurowany cache potrafi jednak pokazywać nieaktualne treści, nawet kiedy w panelu administracyjnym wszystko wygląda poprawnie.

Dobierz rozwiązanie do hostingu. Jeżeli serwer korzysta z LiteSpeed, rozważ wtyczkę LiteSpeed Cache. Wykorzystuje ona możliwości tego serwera do przechowywania gotowych odpowiedzi. Na innym hostingu sposób buforowania może wyglądać inaczej, więc najpierw sprawdź dostępne mechanizmy i ewentualny cache po stronie dostawcy.

Nie uruchamiaj kilku niezależnych mechanizmów buforowania bez zrozumienia, jak ze sobą współpracują. Szczególnie uważaj na strony z danymi zależnymi od zalogowanego użytkownika, koszyki i procesy składania zamówień.

Po włączeniu cache porównaj wersję aktualną z buforowaną. W przejętym przeze mnie serwisie windykacyjnym wtyczka podawała użytkownikom i Google stare tytuły na 39 z 93 wpisów. Przycisk czyszczenia pamięci podręcznej nie usuwał tych wersji. Problem był o tyle podstępny, że zmiany w panelu zostały zapisane prawidłowo.

Od tamtej sytuacji po ważniejszych zmianach porównuję stronę z aktywnym cache i bez niego. Sprawdzam wynik bez zalogowania, odpowiedzi serwera i zawartość faktycznie dostarczaną przeglądarce. Samo kliknięcie „Wyczyść cache” nie jest dla mnie potwierdzeniem, że odwiedzający zobaczą nową treść.

Zadbaj też o obrazy i zbędne zasoby. Przesyłaj zdjęcia dopasowane rozmiarem do miejsca wyświetlania, korzystaj z odpowiedniej kompresji i nowoczesnych formatów, takich jak WebP. Ładowanie obrazów dopiero wtedy, gdy są potrzebne, może pomóc szczególnie na długich podstronach. Uważaj jednak na opóźnianie największego zdjęcia widocznego od razu po otwarciu strony.

Jeśli strona nadal działa wolno, nie zakładaj, że kolejna wtyczka rozwiąże problem. Przyczyną mogą być ciężkie skrypty, motyw, zapytania do bazy danych albo hosting. W takich przypadkach przyspieszenie strony WordPress zaczynam od ustalenia źródła opóźnień, a nie od przypadkowego włączania funkcji optymalizacyjnych.

Na tym etapie witryna ma już podstawowe zabezpieczenia, czytelne adresy, skonfigurowane SEO i kopie zapasowe. Przed udostępnieniem jej użytkownikom pozostają jeszcze kwestie związane z prywatnością, niepotrzebnym oprogramowaniem i końcową kontrolą działania.

Sprawdź, jakie technologie zapisują lub odczytują dane na urządzeniu odwiedzającego. Jeśli korzystasz z narzędzi analitycznych, reklamowych albo zewnętrznych materiałów osadzonych na stronie, ustal, które wymagają wcześniejszej zgody. Nie każdy plik cookie wymaga zgody, ponieważ istnieją wyjątki dla mechanizmów niezbędnych do świadczenia usługi żądanej przez użytkownika.

Sam baner z przyciskiem „Akceptuję” nie rozwiązuje problemu. Narzędzia wymagające zgody nie powinny uruchamiać się przed jej uzyskaniem. Użytkownik powinien też móc odmówić i później zmienić swoją decyzję. W przypadku Google Analytics 4 uwzględniam uzyskanie zgody przed uruchomieniem pomiaru wymagającego takiej podstawy. Jak ustawiam to technicznie i jak sprawdzam, że zgoda dociera do Google, opisuję przy usłudze Consent Mode v2 i GA4.

Przygotuj politykę prywatności odpowiadającą rzeczywistemu działaniu strony. WordPress udostępnia mechanizm pomagający utworzyć taką podstronę w Ustawienia → Prywatność, ale wygenerowaną treść trzeba dostosować. Formularz kontaktowy, analityka, newsletter i sklep internetowy mogą oznaczać różne sposoby przetwarzania danych. Jeśli prowadzisz sprzedaż, sprawdź również dokumenty związane z obsługą zamówień i prawami konsumenta.

Usuń niepotrzebne wtyczki i motywy. Nie instaluję dodatków tylko dlatego, że znalazły się na popularnej liście. Nieużywana wtyczka oznacza kolejny element wymagający aktualizacji i kontroli zgodności. Możesz usunąć demonstracyjne dodatki, takie jak Hello Dolly, oraz zbędne motywy, pozostawiając rozsądny motyw awaryjny, jeśli potrzebujesz go do diagnostyki.

Mam na koncie ponad 40 własnych wtyczek i mu-pluginów w 9 serwisach. Mu-plugin to dodatek ładowany automatycznie przez WordPressa. Część niewielkich funkcji wolę zapisać w takim rozwiązaniu zamiast instalować dużą wtyczkę oferującą wiele niepotrzebnych możliwości. Nie oznacza to, że własny kod zawsze jest lepszy. On również wymaga testowania i utrzymania.

Jeżeli dopiero wybierasz rozszerzenia, przygotowałem osobny materiał o tym, jakie wtyczki WordPress na start warto rozważyć. Każdą z nich dobieraj do konkretnej potrzeby, a nie do liczby funkcji wymienionych w opisie.

Przed publikacją sprawdź stronę z perspektywy odwiedzającego. Otwórz ją na telefonie i komputerze, wyślij testową wiadomość przez formularz, sprawdź nawigację oraz działanie zgód. Jeśli prowadzisz sklep, przejdź testowo przez koszyk i proces zamówienia w odpowiednio przygotowanym środowisku.

Zostaw też sobie prostą dokumentację: gdzie przechowywane są kopie, kto ma dostęp administratora, jakie wtyczki odpowiadają za kluczowe funkcje i co trzeba przetestować po aktualizacji. Tak przygotowany WordPress łatwiej rozwijać, a przy kolejnej zmianie wykonawcy nie trzeba odtwarzać całej konfiguracji metodą prób i błędów.