Strona zrobiona i… co dalej? Dlaczego strona www bez opieki to tykająca bomba

Osoby, które zawodowo zajmują się utrzymaniem stron, widzą ten schemat bardzo często. Bartosz Ciachurski z Cyberiusza na co dzień prowadzi stałą opiekę nad serwisami opartymi na WordPressie i WooCommerce, a jej zakres opisuje na stronie https://cyberiusz.pl/administracja-stron-wordpress/: aktualizacje, kopie zapasowe, monitoring dostępności i bezpieczeństwa.

Druga część jego pracy to sytuacje, w których na profilaktykę jest już za późno: błąd krytyczny, biały ekran, błąd 500 albo sklep, który nagle przestał przyjmować zamówienia. Naprawa takich błędów i bugów to osobna usługa, opisana pod adresem https://cyberiusz.pl/naprawa-awarii-strony-sklepu/. Z doświadczenia widać jedno: większości awarii dałoby się uniknąć, gdyby ktoś wcześniej zajrzał do strony.

Co się dzieje ze stroną bez aktualizacji

Strona na WordPressie składa się z trzech warstw: samego systemu, motywu graficznego i wtyczek. Każda z nich jest regularnie aktualizowana przez twórców, a spora część tych aktualizacji łata wykryte luki bezpieczeństwa. Gdy luka zostaje opisana publicznie, informacja o niej trafia też do osób, które automatycznie skanują internet w poszukiwaniu stron z przestarzałą wersją.

To właśnie jest największe nieporozumienie. Właściciele małych firm często myślą: „kto by się włamywał do mojej strony?”. Nikt nie włamuje się do niej celowo. Włamania są masowe i zautomatyzowane, a bot nie sprawdza, czy strona należy do dużej korporacji, czy do gabinetu fizjoterapii. Sprawdza tylko, czy jest podatna.

Do tego dochodzi hosting. Serwery z czasem przechodzą na nowsze wersje PHP, a stara wtyczka lub motyw, których nikt nie aktualizował od lat, potrafi po takiej zmianie po prostu przestać działać. Właściciel dowiaduje się o tym zwykle od klienta, który dzwoni z pytaniem, dlaczego strona pokazuje biały ekran.

Jak wyglądają typowe włamania i awarie

Zainfekowana strona rzadko wygląda na zainfekowaną. Najczęściej właściciel niczego nie zauważa, a problem wychodzi na jaw po tygodniach. Oto scenariusze, które powtarzają się najczęściej.

Przekierowania do obcych stron. Użytkownik wchodzi z Google, a trafia na stronę z hazardem, fałszywą loterią lub podejrzanym sklepem. Często dzieje się to tylko na telefonach albo tylko przy wejściu z wyszukiwarki, więc właściciel, który wpisuje adres ręcznie, nic nie widzi.

Spam w wynikach wyszukiwania. Na stronie pojawiają się tysiące ukrytych podstron z treściami, które nie mają nic wspólnego z firmą. Google je indeksuje, a pozycje właściwych podstron spadają.

Ostrzeżenie w przeglądarce. Czerwony ekran z informacją, że strona jest niebezpieczna, skutecznie odstrasza praktycznie wszystkich odwiedzających.

Wysyłka spamu z serwera. Zainfekowana strona zaczyna rozsyłać maile, przez co hosting blokuje konto, a wiadomości z firmowej skrzynki lądują w spamie u klientów.

Błąd krytyczny po aktualizacji. Nie każda awaria to atak. Często wystarczy konflikt dwóch wtyczek albo aktualizacja zrobiona bez kopii zapasowej, żeby strona przestała się ładować.

Kopia zapasowa, która nie jest kopią

„Hosting robi kopie” – to zdanie pada niemal w każdej rozmowie o bezpieczeństwie strony. Problem w tym, że takie kopie często mają ograniczenia, o których właściciel dowiaduje się dopiero w chwili awarii.

Kopie trzymane na tym samym serwerze co strona znikają razem z nią, gdy serwer ulegnie awarii albo konto zostanie zablokowane. Kopie przechowywane tylko przez kilka dni nie pomogą, jeśli infekcja siedzi w plikach od miesiąca, bo wszystkie dostępne wersje są już zainfekowane. A kopia, której nikt nigdy nie próbował przywrócić, jest tylko nadzieją, że zadziała.

Dobra kopia zapasowa jest wykonywana automatycznie, przechowywana poza serwerem strony, obejmuje zarówno pliki, jak i bazę danych, i sięga co najmniej kilka tygodni wstecz. Przy sklepie internetowym warto robić ją częściej, bo każdy dzień to nowe zamówienia i klienci.

Ile kosztuje naprawa, a ile opieka

Sama faktura za usunięcie infekcji czy naprawę awarii to zwykle najmniejsza część strat. Prawdziwy koszt kryje się gdzie indziej.

• Utracona sprzedaż i zapytania – każdy dzień, w którym strona nie działa lub straszy ostrzeżeniem, to klienci, którzy trafiają do konkurencji.

• Spadek pozycji w Google – odbudowa widoczności po infekcji spamowej potrafi trwać tygodnie, nawet gdy strona jest już czysta.

• Zmarnowany budżet reklamowy – kampanie dalej się wyświetlają i dalej kosztują, a kliknięcia prowadzą na niedziałającą stronę.

• Czas właściciela – szukanie wykonawcy w pośpiechu, tłumaczenie się klientom, kontakt z hostingiem.

Na tym tle miesięczny abonament opieki wypada bardzo rozsądnie. To koszt porównywalny z abonamentem telefonicznym, a w zamian ktoś regularnie aktualizuje stronę, pilnuje kopii i reaguje, zanim drobny problem zamieni się w awarię.

Checklista: co właściciel może sprawdzić sam

Nie musisz być programistą, żeby ocenić, czy Twoja strona jest zadbana. Wystarczy kwadrans i dostęp do panelu.

• Czy w panelu WordPressa nie wiszą powiadomienia o dostępnych aktualizacjach systemu, motywu lub wtyczek?

• Czy wiesz, gdzie są przechowywane kopie zapasowe i z jakiej daty jest najstarsza?

• Czy na liście wtyczek nie ma takich, których nikt nie używa albo które od dawna nie były aktualizowane przez twórców?

• Czy lista użytkowników z uprawnieniami administratora zawiera tylko osoby, które faktycznie ich potrzebują?

• Czy wpisanie w Google „site:twojadomena.pl” nie pokazuje dziwnych podstron, których nie tworzyłeś?

• Czy formularz kontaktowy faktycznie dostarcza wiadomości? Wyślij testową.

• Czy wiesz, do kogo zadzwonić, gdy strona przestanie działać w piątek o 18:00?

Jeśli na którekolwiek pytanie odpowiedź brzmi „nie wiem”, to znak, że strona żyje własnym życiem.

Nie każdy potrzebuje abonamentu

Stała opieka to najwygodniejsze rozwiązanie, ale nie jedyne. Część firm ma stronę, która rzadko się zmienia, i potrzebuje pomocy tylko od czasu do czasu: przy aktualizacji, dodaniu podstrony, poprawce w formularzu czy wymianie zdjęć.

Dla takich osób dobrym wyjściem jest rozliczenie godzinowe, bez abonamentu i bez podpisywania długoterminowej umowy. Taką formę współpracy również oferuje Cyberiusz, a szczegóły znajdziesz na stronie https://cyberiusz.pl/wsparcie-godzinowe/. Płacisz za faktycznie przepracowany czas, a drobne zmiany nie czekają w kolejce zgłoszeń.

Najważniejsze, żeby mieć kogoś, kto zna Twoją stronę i do kogo możesz się odezwać, zanim pojawi się problem, a nie dopiero wtedy, gdy strona leży.

Strona internetowa nie jest jak ulotka, którą drukuje się raz i zapomina. Bardziej przypomina samochód: jeśli nikt nie robi przeglądów, awaria jest tylko kwestią czasu, a jej naprawa zawsze kosztuje więcej niż regularna obsługa.

Zacznij od checklisty powyżej. Jeśli kilka odpowiedzi Cię zaniepokoiło, nie czekaj, aż strona sama da znać, że coś jest nie tak. Wtedy zwykle jest już za późno na tanią i szybką poprawkę.