Strona wygląda dobrze, wykonawca mówi „gotowe”, a Ty zastanawiasz się, czy można ją już pokazać światu. To ostatni moment, żeby sprawdzić, czy pod spodem wszystko jest poukładane. Najgorsze rzeczy w nowych stronach rzadko widać na pierwszy rzut oka: brak kopii zapasowej, hasła wysłane mailem, formularz, który nie wysyła wiadomości, zapomniany baner o ciasteczkach.
Przy każdej nowej stronie na WordPressie przechodzę przez własny szablon listy kontrolnej. Ma 46 punktów. Nie musisz znać wszystkich, ale warto wiedzieć, że istnieją i że możesz o nie zapytać wykonawcę (albo samego siebie, jeśli stronę robisz samodzielnie). Poniżej pogrupowałem je w kategorie i wybrałem to, co moim zdaniem najważniejsze.
1. Fundamenty: domena, hosting, dostępy
To fundament, na którym stoi cała reszta. Sprawdzam, czy:
- domena jest podpięta do właściwego panelu i opłacona, a hosting działa,
- wszystkie hasła od pierwszego dnia trafiły do menedżera haseł, a nie do wiadomości mailowej czy pliku na pulpicie,
- powstał jeden katalog na materiały strony (logo, zdjęcia, teksty), do którego mają dostęp właściwe osoby,
- logowanie wykonawcy do serwera odbywa się kluczem, a nie samym hasłem,
- strona ma certyfikat SSL (kłódka w przeglądarce), a wszystkie adresy przekierowują na wersję szyfrowaną,
- kod motywu, czyli „skórki” strony, jest w repozytorium z historią zmian, dzięki czemu każdą poprawkę da się prześledzić i cofnąć.
2. Instalacja i wtyczki
Czysty WordPress, założona baza danych i konto pocztowe do powiadomień to początek. Potem dochodzi zestaw sprawdzonych wtyczek bazowych. Nie instaluję wszystkich, które istnieją, bo każda dodatkowa wtyczka to potencjalna luka, którą trzeba aktualizować. Strona trafia też do panelu, z którego widzę aktualizacje wielu stron naraz. Osobny punkt to poprawna konfiguracja wysyłki maili ze strony: jeśli tego nie zrobisz, wiadomości z formularza potrafią lądować w spamie albo nie dochodzić wcale.
3. Bezpieczeństwo
To najdłuższa grupa, bo najwięcej drobiazgów kryje się właśnie tutaj. Kilka przykładów:
- logowanie dwuskładnikowe (kod z aplikacji w telefonie) dla każdego, kto ma uprawnienia administratora,
- limit prób logowania, który zatrzymuje automaty zgadujące hasła,
- ochrona formularzy i komentarzy przed spamem,
- wymiana kluczy zabezpieczających, które WordPress generuje przy instalacji,
- ukrycie listy użytkowników, żeby obcy nie mogli podejrzeć nazw kont,
- wyłączenie nieużywanych „furtek” systemu, które dla zwykłej strony są zbędne, a dla atakujących bywają wygodnym wejściem,
- dodatkowe reguły serwera chroniące panel administracyjny, katalog z wgranymi plikami i katalogi systemowe,
- ustawienie opcji „zapamiętaj mnie” przy logowaniu.
Dobrze wykonana lista z tej grupy nie gwarantuje, że strona się nie zepsuje. Sprawia za to, że prosta, masowa próba włamania nie ma na czym się zaczepić.
4. Kopie zapasowe i monitoring
Dwa punkty, które właściciele firm najchętniej pomijają, dopóki coś się nie stanie:
- Kopia zapasowa zapisywana poza hostingiem i sprawdzona przez próbne odtworzenie strony. O tym, dlaczego kopia u dostawcy hostingu nie wystarcza, pisałem w tekście Czy wierzysz, że Twój hosting zawsze ma kopię zapasową.
- Monitoring dostępności z powiadomieniem, tak abyś to Ty dowiedział się o awarii pierwszy, a nie klient, który nie może wejść na stronę.
Do tej grupy zaliczam też warstwę pośredniczącą między odwiedzającym a serwerem (Cloudflare), która przyspiesza stronę i dokłada ochronę.
5. Widoczność i pomiar
Strona, której nikt nie znajdzie i której nikt nie mierzy, jest wizytówką w szufladzie. Dlatego przy starcie konfiguruję wtyczkę do podstawowego SEO, podpinam stronę do Google Search Console (żebyś widział, jak widzi ją wyszukiwarka) oraz uruchamiam statystyki odwiedzin.
6. Formularze i strony prawne
- polityka prywatności i regulamin, jeśli są potrzebne,
- baner z informacją o ciasteczkach i zgodą na ich użycie,
- formularz kontaktowy przetestowany od początku do końca: wysłanie wiadomości, dotarcie na właściwy adres, odpowiedź,
- tryb konserwacyjny albo prosta strona z wyjaśnieniem na czas prac, jeśli zmieniasz działającą już stronę.
7. Sprawy biznesowe
Ostatnia grupa nie dotyczy techniki, ale też jest na liście: projekt umowy i faktura zaliczkowa. Ustalone przed startem prac oszczędzają później niepotrzebnych nieporozumień.
Gdy lista przytłacza: minimum przed startem
Jeśli 46 punktów to dla Ciebie za dużo, upewnij się przynajmniej, że:
- wszystkie dostępy i hasła masz Ty, nie tylko wykonawca,
- istnieje kopia zapasowa poza hostingiem i ktoś sprawdził, że da się z niej odtworzyć stronę,
- administratorzy logują się z drugim składnikiem (kod z telefonu),
- ktoś dostaje powiadomienie, gdy strona przestaje działać,
- formularz działa, a strona ma politykę prywatności i informację o ciasteczkach.
Szerzej o tym, co spoczywa na właścicielu strony po jej odebraniu, piszę w tekście Odbiór strony www od wykonawcy.
Gdy wolisz, żeby ktoś to po prostu zrobił
Tę listę przechodzę przy każdej stronie, którą budujesz u mnie. Jeśli planujesz nową stronę albo chcesz sprawdzić, ile punktów spełnia obecna, zajrzyj na stronę budowy stron www. A jeśli strona już działa i chcesz, żeby ktoś pilnował kopii, aktualizacji i bezpieczeństwa na bieżąco, sprawdź opiekę nad WordPressem.