Správa WordPress webu: aktualizace, zálohy a zabezpečení za vás

Co s vaším WordPressem dělám každý měsíc

WordPress se skládá ze 3 částí, které dostávají aktualizace každá zvlášť: jádro, šablona a pluginy. Pod nimi běží PHP na hostingu. Rozbít se dá každá z těch vrstev, proto hlídám všechny 4.

Aktualizace až po záloze

Před každou aktualizací zálohuji soubory i databázi a zálohu uložím mimo váš hosting. Když hosting spadne nebo ho někdo napadne, záloha je v bezpečí jinde.

Jádro, šablonu a pluginy aktualizuji po částech. Když se po aktualizaci něco rozbije, vím, který díl to způsobil, a vrátím ho ze zálohy na předchozí verzi.

Po aktualizaci projdu úvodní stránku a stránky, přes které vám chodí poptávky, i na mobilu a podívám se, jestli WordPress nehlásí chyby. Větší skok, třeba novou hlavní verzi Elementoru, WooCommerce nebo PHP, nejdřív zkusím na testovací kopii webu, když to váš hosting umožňuje.

Verze PHP u hostingu

PHP je programovací jazyk, ve kterém WordPress běží. Jeho verzi nastavuje hosting. WordPress dnes doporučuje PHP 8.3 nebo novější. PHP 8.2 dostává bezpečnostní opravy jen do 31. 12. 2026 a starší verze už žádné.

Na hostingu se verze přepíná jedním nastavením. Starší plugin nebo šablona ale na nové verzi může spadnout. Proto nejdřív ověřím, že to vaše pluginy snesou, potom PHP přepnu a web hned projdu.

Pluginy, o které se nikdo nestará

Adresář pluginů na wordpress.org varuje u pluginu, který autor neozkoušel s posledními 3 hlavními verzemi WordPressu. Hlavní verze vycházejí 2 až 3 za rok, takže autor takový plugin s novým WordPressem nezkoušel rok a déle. Plugin, ve kterém se našla bezpečnostní chyba, může wordpress.org z adresáře úplně stáhnout.

Každý měsíc projdu, jestli se to netýká něčeho na vašem webu. Když ano, napíšu vám, čím plugin nahradit, a výměnu vám nacením předem. Vypnuté pluginy, které jen leží v administraci, smažu, když je nic na webu nepotřebuje. Jejich soubory na serveru zůstávají i ve vypnutém stavu, a s nimi i případné bezpečnostní chyby.

Zabezpečení přihlášení

Zabezpečení WordPressu začíná u přihlášení do administrace:

• dvoufázové přihlášení pro administrátory,
• limit pokusů o přihlášení, aby nešlo zkoušet hesla donekonečna,
• zrušení administrátorských účtů, které nikdo nepoužívá (bývalý programátor, testovací účet),
• XML-RPC, starší rozhraní pro vzdálený přístup k webu, přes které se dají zkoušet hesla: když ho nic na webu nepotřebuje, vypnu ho,
• HTTPS na všech stránkách, bez obrázků a skriptů načítaných přes nezabezpečené spojení.

Hlídání webu, formuláře a domény

Web každých 15 minut kontroluje automatický hlídač. Ověří, že se web načte, že ho nic neschovává před Googlem (zákaz indexace), že funguje mapa webu pro Google (sitemapa) a přesměrování. Když něco selže, upozornění přijde mně.

Kontaktní formulář jednou měsíčně vyzkouším testovací poptávkou, předem označenou jako test. Formulář umí přestat posílat e-maily potichu, třeba po aktualizaci pluginu nebo po změně pošty na hostingu, a web přitom vypadá úplně v pořádku.

Hlídám i to, kdy vám vyprší doména.

Drobné úpravy a měsíční zpráva

Změnu textu, fotky, ceníku nebo otevírací doby mi napíšete e-mailem. V Základu jsou v ceně úpravy celkem do 30 minut měsíčně, v balíčku Plus celkem až 1 hodina. Hotovo máte obvykle do 48 hodin. Podpora WordPressu ode mě funguje písemně: napíšete, já odpovím a změnu udělám.

Jednou za měsíc vám pošlu krátkou zprávu: co jsem aktualizovala (z jaké verze na jakou), stav záloh, výpadky podle hlídače, jaké úpravy jsem udělala a co doporučuji.

Když aktualizace selže, web napadnou nebo zpomalí

Aktualizace selhala

Nepovedená aktualizace WordPressu se projeví třeba takhle:

• Web ukazuje jen hlášku o plánované údržbě („Briefly unavailable for scheduled maintenance“). Aktualizace se zasekla a na serveru zůstal soubor .maintenance. Smažu ho a aktualizaci dokončím.
• Bílá stránka nebo hláška o kritické chybě. WordPress v tu chvíli pošle e-mail s odkazem do režimu obnovy na administrátorskou adresu webu. Ta někdy patří programátorovi, který web před lety předal, a e-mail pak nikdo nečte. U webů ve správě nastavím, aby chodil mně.
• Aktualizace nejde spustit. Za tím bývají práva k souborům na hostingu nebo plugin, který potřebuje novější PHP.
• Po aktualizaci si WordPress řekne o aktualizaci databáze. Potvrdím ji až ve chvíli, kdy mám čerstvou zálohu databáze.

Vadný plugin umím vypnout přes správce souborů na hostingu, i když se do administrace nedá přihlásit. Když to nestačí, vrátím web ze zálohy před aktualizací. Pak najdu příčinu a aktualizaci zopakuji, až bude bezpečná.

Web je napadený

Napadený WordPress se pozná podle cizích odkazů v textu, stránek v neznámém jazyce ve výsledcích hledání, přesměrování na podvodné weby nebo varování prohlížeče.

Úklid po napadení je samostatná práce mimo paušál (viz Co v ceně není u ceníku). Nedávno jsem do týdne vrátila online napadený e-shop s 231 produkty, postavený znovu na čistém základu. Jak taková práce probíhá, popisuji na stránce Záchrana webu.

Web je pomalý

Google měří rychlost na skutečných návštěvnících. Za dobrou hodnotu bere, když se největší prvek stránky, obvykle hlavní obrázek nebo nadpis, aspoň 3 ze 4 návštěvníků ukáže do 2,5 sekundy.

Na WordPressu kontroluji hlavně tohle:

• obrázky nahrané v plné velikosti z telefonu nebo fotoaparátu,
• obrázky níž na stránce, které se načítají hned, i když k nim návštěvník ještě nedojel,
• chybějící nebo špatně nastavenou cache,
• pluginy, které načítají své skripty na každé stránce, i když je potřeba jen na jedné.

U jednoho WordPress webu malé firmy měla úvodní stránka skoro 3 MB, hlavně kvůli velkým fotkám, a návštěvníkům na mobilu se hlavní obrázek ukázal za 3,8 sekundy. Rychlost na mobilu měřím v balíčku Plus každý měsíc. Drobnou opravu udělám v rámci hodiny úprav, větší vám nacením předem.

Elementor a WooCommerce

Elementor

Elementor a Elementor Pro jsou 2 samostatné pluginy a každý se aktualizuje zvlášť. Pro dodává hlavičky a patičky přes Theme Builder, formuláře a vyskakovací okna. Když na nich váš web stojí, kontroluji po aktualizaci hlavičku, patičku a formulář na každém typu stránky, nejen na úvodní.

Elementor a SEO: titulky a popisky pro Google obvykle řeší SEO plugin (Yoast, Rank Math), Elementor se stará o vzhled. U nadpisů v Elementoru se značka H1 až H6, podle které Google pozná strukturu stránky, nastavuje zvlášť od velikosti písma. Při převzetí webu a po každé aktualizaci Elementoru kontroluji, že každá stránka má jeden hlavní nadpis H1 a že nadpisy nejsou jen zvětšený text.

WooCommerce

V balíčku Správa e-shopu po každé aktualizaci WooCommerce, platební brány nebo pluginu dopravce (třeba Zásilkovny) projdu nákup jako zákazník: košík, pokladnu, výběr dopravy a otevření platební brány. Platbu nedokončuji a testovací objednávku po kontrole zruším.

Velká aktualizace WooCommerce si někdy řekne ještě o aktualizaci databáze obchodu. Tu potvrdím až po čerstvé záloze. WooCommerce také v přehledu stavu upozorní, když šablona obsahuje zastaralé kopie souborů obchodu. Právě kvůli nim se po aktualizaci umí rozjet stránka produktu nebo košíku.

Správa e-shopu k tomu hlídá chyby ve feedech pro srovnávače zboží, ze kterých se plní nabídka na Heurece nebo Zboží.cz.

SEO na WordPressu: co pohlídám v rámci správy

SEO dělám od roku 2012 a prošlo mi rukama přes 120 klientů. Správa webu proto hlídá i technické chyby, které by web v Googlu poškodily. Zákaz indexace a mapu webu kontroluje hlídač každých 15 minut. V balíčku Plus k tomu každý měsíc projdu Search Console, bezplatný nástroj Googlu, ve kterém je vidět, které stránky Google zná a kde narazil na chybu. Na WordPressu se přitom dívám na tyto věci:

• Sitemapa. WordPress dnes umí vlastní mapu webu pro Google (sitemapu) a SEO pluginy jako Yoast nebo Rank Math vytvářejí svou. Kontroluji, že Google má tu správnou a že v ní jsou jen stránky s obsahem.
• Prázdné stránky po instalaci. Ukázkový článek „Ahoj všichni!“, archiv autora na webu s jediným autorem, rubrika „Nezařazené“.
• 2 popisky na jedné stránce. Šablona vloží svůj obecný popisek a SEO plugin k němu přidá druhý. Google si pak může vybrat ten horší.
• Zákaz indexace. WordPress má v nastavení políčko, které vyhledávače žádá, aby web neindexovaly. Zapíná se při stavbě webu a po spuštění se na něj dá zapomenout. U jednotlivých stránek to samé umí SEO plugin.
• Rozbité stránky. Stránka, které někdo změnil adresu bez přesměrování, vrací chybu 404 a lidé z Googlu na ni narazí dál.

Co najdu při převzetí (prázdné stránky v sitemapě, 2 popisky, zákaz indexace, nastavení Yoastu nebo Rank Math), opravím v rámci prvního uvedení webu do pořádku za cenu, kterou znáte předem. Když se totéž objeví později, třeba po aktualizaci šablony, opravím to v rámci úprav v balíčku. Podrobněji o SEO na WordPressu píšu v článku SEO pro WordPress.

Kontrola v balíčku Plus hlídá, aby web Googlu technicky nic nekazil. Aby vám z Googlu chodili noví zákazníci, je potřeba další práce: analýza toho, co vaši zákazníci hledají, texty podle toho, odkazy z jiných webů. To je SEO správa od 3 900 Kč měsíčně.

Ceník správy WordPressu

• Ceny jsou konečné, nejsem plátce DPH.
• Práce nad rámec balíčku stojí 1 200 Kč za hodinu, fakturuji po 15 minutách.
• Bez úvazku, spolupráci můžete ukončit kdykoli.
• Na začátku je vstupní prohlídka webu zdarma. Když je web zanedbaný (systém několik verzí pozadu, opuštěné pluginy, žádná záloha), první uvedení do pořádku nacením zvlášť a předem.
• Máte web na jiném systému než WordPress? Správu dělám i pro další systémy, viz Správa webu.

Co v ceně není:

• úklid napadeného webu a obnova po útoku: rozsah a cenu řeknu předem, viz Záchrana webu,
• výměna opuštěného pluginu za jiný, větší oprava rychlosti a vývoj: nacením předem (nad rámec hodiny úprav v Plus),
• SEO, které má přivádět nové zákazníky: správa hlídá jen technické chyby, které by web v Googlu poškodily, víc dělá SEO správa.

Jak začneme

Prohlídka WordPressu zdarma

Pošlete mi adresu webu. Zvenku, bez přístupů, většinou zjistím verzi WordPressu, viditelné pluginy, rychlost na mobilu, co Google dostává v mapě webu a jestli web nemá zákaz indexace. Obvykle do 48 hodin vám napíšu, co jsem našla. Až mi dáte přístupy, projdu i zálohy, účty administrátorů a chyby v Search Console. Pak vám napíšu, kolik bude správa stát, u zanedbaného webu i cenu prvního uvedení do pořádku.

Co od vás potřebuji

• vlastní účet administrátora ve WordPressu, vaše heslo nepotřebuji,
• přístup k hostingu nebo FTP, kvůli zálohám a opravám ve chvíli, kdy se do administrace nedá přihlásit,
• u balíčku Plus přístup do Search Console. Když ji web nemá, založím ji.

Zbytek je na mně.

Časté otázky