Co zrobić po instalacji WordPressa — checklist 15 czynności

**1. Zmień login admin z 'admin' na coś unikalnego.** WordPress 5.0+ wymaga to przy instalacji, ale stare instalacje często mają 'admin'. Botnety próbują brute force na tym loginie. Stwórz nowego admina z nietypowym username, usuń starego. Dla profesjonalnego setup tworzenia stron WordPress ten krok robię razem z innymi security hardening w pierwszym tygodniu wdrożenia.

**2. Włącz 2FA dla wszystkich kont admin/editor.** Wordfence Login Security (free) lub WP 2FA. Wymóg w 2026, brak 2FA = spora luka security.

**3. Zainstaluj Wordfence (lub Solid Security, MalCare).** Free tier wystarcza dla małej-średniej strony. Włącz: firewall, brute force protection, login lockdown po 5 nieudanych próbach, 2FA, malware scanner.

**4. Hardening wp-config.php**: dodaj `define('DISALLOW_FILE_EDIT', true);` (blokuje edytor pluginów/motywów z poziomu admin), `define('FORCE_SSL_ADMIN', true);`, klucze i salty z api.wordpress.org/secret-key.

**5. Ustaw security headers w .htaccess**: X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Strict-Transport-Security. Sprawdź wynik na securityheaders.com.

**6. Permalinks, KRYTYCZNE.** Settings → Permalinks → wybierz 'Post name' (`/sample-post/`). Default to `?p=123` co jest SEO-killer. Zrób to PRZED publikacją pierwszego posta, zmiana później generuje 404 jeśli URL-e już zindeksowane.

**7. Zainstaluj Yoast SEO lub Rank Math** (oba free w wersji podstawowej). Yoast bardziej popularny w PL, Rank Math więcej funkcji w free. Skonfiguruj: title separator, default meta, sitemap, schema.org Organization/Person, integracja z Google Search Console.

**8. Wygeneruj i wyślij sitemap.xml**: w Yoast: SEO → General → Features → XML sitemaps ON. URL: `twojadomena.pl/sitemap_index.xml`. Wyślij do Search Console (`https://search.google.com/search-console`). Dla pełnej strategii SEO strony usługowej zobacz pozycjonowanie strony usługowej: 7 kroków.

**9. Robots.txt, sprawdź lub dodaj.** WordPress generuje virtual robots.txt. Sprawdź `twojadomena.pl/robots.txt`. Powinien zawierać `Sitemap: https://twojadomena.pl/sitemap_index.xml`. Dodaj jeśli brak, przez plugin SEO lub ręcznie.

**10. Zainstaluj cache plugin.** Jeśli hosting ma LiteSpeed (Cyber_folks, dhosting, niektóre Hostinger), LiteSpeed Cache (free, najlepszy z LiteSpeed serverem). Inaczej WP Rocket (60$/rok, najlepszy ogólnie) lub WP Optimize (free). Pełna lista must-have wtyczek: 25 must-have wtyczek WordPress 2026.

**11. Optymalizacja obrazków.** Smush (free, do 2 MB obrazek), ShortPixel (płatne ale lepsze, 30$ za 10k obrazków), Imagify. Konwersja JPG/PNG → WebP, lossless lossy compression, lazy loading.

**12. CDN setup**: Cloudflare (free tier wystarcza dla małej strony) lub BunnyCDN ($1/mc minimum). Skraca TTFB dla użytkowników z dalej, dodatkowy security layer.

**13. Backup automatyczny.** UpdraftPlus (free, codzienny backup do Google Drive / Dropbox / S3), Duplicator, Migrate Guru. Minimum: codzienny backup całej strony (database + uploads), retention 30 dni, test restore raz na kwartał.

**14. Cookie consent (RODO).** Cookiebot (płatny, automatic scanning), Klaro (free, open-source), Real Cookie Banner (najpopularniejszy w PL, free podstawowy). Bez tego ryzyko kary do 3% obrotu rocznego.

**15. Polityka prywatności + regulamin.** Settings → Privacy → wygeneruj template Privacy Policy, dostosuj do RODO. Dla sklepu internetowego WooCommerce, regulamin sklepu zgodny z UoPK (Ustawa o Prawach Konsumenta). Generator: prywatnosc24.pl, gotowe.pl.

**Nie instaluj 30 pluginów na start.** Każdy plugin to potencjalna luka security i ciężar dla performance. Reguła: minimum potrzebne, dodawaj tylko gdy realnie potrzeba.

**Nie używaj Hello Dolly i innych default pluginów-zabawek.** Usuń od razu Akismet (jeśli nie używasz Jetpack), Hello Dolly, Twenty Twenty-One/Two/Three motywy które nie używasz.

**Nie zostawiaj wp-admin.php pod default URL** dla projektów wymagających podwyższonego security. Wordfence pozwala zmienić URL admina (np. `/sekretne-wejscie/`).

**Nie używaj 'admin' jako username, '12345' jako hasła, 'admin@admin.com' jako email.** To podstawa którą botnety atakują pierwsze.

**Nie aktualizuj pluginów / motywów / WP core 'kiedyś'.** Włącz auto-update dla minor releases, manual review dla major. Czek WP-Admin → Updates raz w tygodniu.