Opieka techniczna WordPress: co realnie dostajesz w abonamencie

Strona postawiona, faktura zapłacona, wykonawca znika. Po roku panel WordPressa pokazuje 23 zaległe aktualizacje, formularz kontaktowy od trzech tygodni nie wysyła maili, a nikt w firmie nie wie nawet, gdzie się loguje na hosting. Znam ten scenariusz na pamięć, bo co kilka tygodni odbieram dokładnie taki telefon.

Przez 13 lat pracy z WordPressem przejąłem kilkadziesiąt zaniedbanych stron i widzę jeden powtarzalny wzorzec: prawie żadna awaria nie bierze się znikąd. W tym tekście rozkładam abonament opieki technicznej na części pierwsze. Pokażę, co powinno być w środku, ile to kosztuje na polskim rynku na początku 2026 roku i po czym poznać, że ktoś sprzedaje Ci powietrze zamiast usługi.

Czym jest opieka techniczna WordPress i czym różni się od hostingu

Opieka techniczna WordPress to stała, miesięczna usługa, w ramach której specjalista aktualizuje, zabezpiecza i monitoruje Twoją stronę oraz wykonuje drobne poprawki. Hosting to tylko serwer, na którym strona leży. Firma hostingowa odpowiada za działanie maszyny, nie za to, co dzieje się wewnątrz Twojego WordPressa. To częste nieporozumienie: klient płaci 200-300 zł rocznie za hosting i jest przekonany, że "ktoś się stroną opiekuje". Nikt się nie opiekuje.

WordPress napędza około 42-43% wszystkich stron www na świecie i blisko 60% rynku CMS (dane W3Techs). Ta popularność ma dwie strony. Z jednej: ogromny ekosystem wtyczek i ludzi, którzy znają system. Z drugiej: WordPress jest najczęściej atakowanym CMS-em na świecie, bo automatyczne skrypty skanują miliony instalacji w poszukiwaniu tej jednej dziurawej wtyczki.

Do tego dochodzi tempo rozwoju. WordPress 6.9 wyszedł 2 grudnia 2025 i przyniósł m.in. nowe bloki, usprawnienia edytora i Abilities API pod integracje AI. Wersja 7.0 jest planowana na kwiecień 2026. Każde takie wydanie to zmiany w kodzie, z którymi muszą nadążyć wtyczki i motyw. Strona zostawiona sama sobie rozjeżdża się z ekosystemem w kilka miesięcy.

Opieka techniczna to w praktyce cztery filary: aktualizacje, kopie zapasowe, bezpieczeństwo i drobne poprawki. Przejdźmy przez każdy z nich, bo diabeł siedzi w szczegółach.

Aktualizacje: najważniejsza pozycja w abonamencie

W dobrym abonamencie aktualizacje obejmują trzy warstwy: rdzeń WordPressa, wszystkie wtyczki i motyw, wgrywane regularnie i zawsze z kopią bezpieczeństwa wykonaną przed operacją. Brzmi banalnie, ale liczby pokazują, dlaczego to fundament całej usługi.

Według raportu Patchstack w 2024 roku w ekosystemie WordPress wykryto 7966 nowych podatności, o 34% więcej niż rok wcześniej. W pierwszej połowie 2025 doszło kolejnych ponad 3000 luk w samych wtyczkach. Co istotne: 96% podatności dotyczyło wtyczek, 4% motywów, a w samym rdzeniu WordPressa znaleziono w tym okresie dokładnie jedną. Wniosek z mojej praktyki jest prosty: to nie WordPress jest dziurawy, dziurawe bywają wtyczki, które ktoś zainstalował i o nich zapomniał.

Najgroźniejsza statystyka? 43% tych luk można wykorzystać bez logowania. Bot nie potrzebuje Twojego hasła. Skanuje internet, znajduje stronę z podatną wersją wtyczki i wstrzykuje kod. W pełni automatycznie, zwykle w ciągu kilku dni od ujawnienia luki.

Dlaczego więc nie włączyć po prostu automatycznych aktualizacji i nie zapomnieć o temacie? Bo auto-update potrafi położyć stronę. Aktualizacja wtyczki bywa niekompatybilna z motywem albo inną wtyczką i zamiast strony klient ma biały ekran. U mnie w projektach standardem jest test większych aktualizacji na kopii roboczej strony, dopiero potem wgranie na produkcję. To różnica między "kliknąłem update" a opieką techniczną.

Backup, który naprawdę da się odtworzyć

Sensowny backup w abonamencie to kopia wykonywana minimum raz dziennie, przechowywana poza serwerem strony przez co najmniej 14-30 dni i okresowo testowo odtwarzana. Każde z tych trzech kryteriów ma znaczenie i każde bywa pomijane.

Po pierwsze: lokalizacja. Kopie z panelu hostingu leżą na tej samej infrastrukturze co strona. Polskie hostingi robią to przyzwoicie (LH.pl trzyma kopie 30 dni, cyber_Folks do 28 dni wstecz), ale gdy konto zostanie przejęte albo zaszyfrowane, kopie na tym samym koncie bywają bezużyteczne. Dlatego w moich pakietach kopia ląduje dodatkowo na zewnętrznym magazynie, niezależnym od hostingu.

Po drugie: retencja. Infekcję często wykrywa się po tygodniach, nie po godzinach. Jeśli hosting trzyma kopie 7 dni, a złośliwy kod siedzi na stronie od trzech tygodni, to każda dostępna kopia jest już zainfekowana. Retencja 30 dni plus kopie miesięczne archiwizowane dłużej dają realne pole manewru.

Po trzecie, i to jest punkt, który oddziela profesjonalistów od reszty: test odtworzenia. Backup, którego nikt nigdy nie odtworzył, to nie backup, tylko nadzieja. Kiedy ostatnio ktoś sprawdził, czy kopię Twojej strony w ogóle da się przywrócić? W ramach opieki robię to cyklicznie na środowisku testowym, bo uszkodzone archiwum odkryte w dniu awarii nie różni się niczym od braku kopii.

Bezpieczeństwo: monitoring, firewall i skanowanie

Warstwa bezpieczeństwa w abonamencie powinna zawierać firewall aplikacyjny (WAF), regularne skanowanie plików pod kątem złośliwego kodu, monitoring dostępności strony oraz podstawowe utwardzenie instalacji. To brzmi technicznie, więc przełóżmy na konkrety.

Firewall odcina typowe ataki, zanim dotrą do WordPressa: próby wstrzyknięcia kodu, masowe zgadywanie haseł, znane exploity. Skaner plików porównuje to, co leży na serwerze, z oryginalnymi wersjami i alarmuje, gdy pojawi się obcy kod. Monitoring dostępności pinguje stronę co kilka minut i wysyła powiadomienie, gdy przestanie odpowiadać. Bez tego o awarii dowiadujesz się od klienta, czyli za późno.

Utwardzenie instalacji to jednorazowe, ale ważne prace: dwuskładnikowe logowanie dla administratorów, limit prób logowania, wyłączenie edycji plików z panelu, ukrycie wersji WordPressa, poprawne uprawnienia plików. W przejmowanych stronach brakuje tego niemal zawsze.

Moim zdaniem warstwa bezpieczeństwa to ten element abonamentu, którego klient nie widzi i dlatego najtrudniej za niego płacić. Płacisz za to, że nic się nie dzieje. Problem w tym, że alternatywa jest dużo droższa, o czym za chwilę.

Drobne poprawki i wsparcie: co wchodzi, a co jest płatne osobno

Standardem rynkowym jest pula 1-3 godzin miesięcznie na drobne prace: podmiana tekstów i zdjęć, nowy baner, poprawka stylu, naprawa formularza, dodanie pracownika do zespołu na stronie. Do tego wsparcie mailowe lub telefoniczne z określonym czasem reakcji. To realna wartość dla firm, które nie mają nikogo technicznego na pokładzie.

Czego abonament zwykle nie obejmuje? Nowych funkcjonalności, projektowania podstron, integracji z systemami zewnętrznymi, migracji na nowy hosting, copywritingu i pozycjonowania. Granica bywa płynna, dlatego w umowie warto ją zapisać wprost. U mnie zasada jest prosta: jeśli zadanie mieści się w godzinach pakietu, robię je w ramach abonamentu. Większe przebudowy wyceniam osobno, tak samo jak tworzenie stron internetowych od zera.

Dopytaj też, co dzieje się z niewykorzystanymi godzinami. Część wykonawców pozwala kumulować je przez 2-3 miesiące, część kasuje co miesiąc. Obie opcje są uczciwe, jeśli są jasno zakomunikowane.

Ile kosztuje opieka techniczna WordPress w Polsce

Na polskim rynku opieka techniczna WordPress kosztuje od 200 do 1200 zł netto miesięcznie. Wyspecjalizowani freelancerzy WordPress podają widełki 200-1200 zł/mc (np. cennik EkspertWP), pakiety agencyjne to typowo 242-828 zł/mc, a najprostsza obsługa z aktualizacjami zaczyna się od około 100-160 zł/mc. Rocznie wychodzi 2400-14400 zł netto, przy czym większość firmowych stron mieści się w przedziale 300-600 zł miesięcznie.

Skąd takie rozstrzały? Z zakresu. Pakiet za 200 zł to zwykle aktualizacje raz w miesiącu i kopia raz w tygodniu. Pakiet za 1000 zł obejmuje sklep WooCommerce, codzienne kopie, monitoring 24/7, testy na środowisku roboczym i kilka godzin prac developerskich. Porównywanie samych cen bez zakresu nie ma sensu.

Czy to dużo? Zależy, do czego porównujesz. Jeśli strona przynosi zapytania ofertowe warte kilkadziesiąt tysięcy złotych rocznie, 400-500 zł miesięcznie za jej sprawność to koszt jednego obiadu firmowego. Aktualne widełki dla moich pakietów znajdziesz w cenniku.

Co realnie ryzykujesz bez opieki

Strona bez opieki nie psuje się z hukiem, tylko po cichu. Najpierw przestaje działać jedna wtyczka, potem formularz, potem strona zwalnia, aż w końcu boty znajdują przestarzałą wtyczkę i wstrzykują złośliwy kod. Wtedy zaczyna się prawdziwy rachunek.

Usunięcie infekcji z WordPressa kosztuje w Polsce średnio około 800 zł, a przy poważniejszych włamaniach z backdoorami i przebudową zabezpieczeń rachunek rośnie do 2000-8000 zł (dane z porównywarki cenauslug.pl i cenników firm naprawczych). Do tego dochodzą straty niewidoczne na fakturze: Google potrafi oznaczyć zainfekowaną stronę ostrzeżeniem w wynikach wyszukiwania, pozycje SEO lecą w dół, a klienci widzą komunikat o niebezpiecznej witrynie zamiast Twojej oferty.

> W październiku 2025 przejąłem stronę firmy szkoleniowej z Poznania, nieaktualizowaną od 14 miesięcy. Włamanie przez dziurawą wtyczkę galerii, na stronie 340 podstawionych spamowych podstron z linkami, domena oznaczona w Google. Czyszczenie, łatanie i ponowna weryfikacja zajęły mi 11 godzin pracy. Rachunek za tę jedną akcję przekroczył dwa lata abonamentu opieki, którego klient wcześniej nie chciał.

Jest jeszcze jeden koszt, o którym mało kto myśli: czas reakcji. Bez umowy o opiekę szukasz wykonawcy w panice, w piątek o 22:00, i bierzesz pierwszego, który odbierze telefon. Z umową masz zapisany czas reakcji i osobę, która zna Twoją stronę od podszewki.

Jak wybrać wykonawcę opieki: na co patrzeć przed podpisaniem umowy

Dobrego wykonawcę opieki poznasz po trzech rzeczach: raportuje wykonane prace, trzyma kopie poza serwerem strony i ma zapisany w umowie czas reakcji. Jeśli któregoś z tych elementów brakuje, płacisz za obietnicę, nie za usługę.

Czerwone flagi z mojego doświadczenia: brak miesięcznych raportów (nie wiesz, czy ktoś cokolwiek robił), "opieka" sprowadzona do włączenia automatycznych aktualizacji, backup wyłącznie w panelu hostingu, brak odpowiedzi na pytanie, co się dzieje w razie włamania. Osobna kategoria to umowy bez możliwości wyjścia: opieka powinna być wypowiadalna z miesięcznym okresem, bo dobra usługa broni się sama, nie zapisem w paragrafie.

Freelancer czy agencja? Z mojej perspektywy (sam jestem freelancerem, więc oceniaj z dystansem) liczy się nie szyld, tylko proces. Agencja da Ci zastępowalność zespołu, freelancer zwykle krótszą drogę do konkretnej osoby, która zna Twoją stronę. W obu modelach pytania z checklisty powyżej weryfikują jakość lepiej niż logo na fakturze.

Podsumowując: opieka techniczna WordPress to nie wydatek "na wszelki wypadek", tylko tańsza alternatywa dla gaszenia pożarów. Za 300-600 zł netto miesięcznie dostajesz aktualną, zabezpieczoną i monitorowaną stronę plus człowieka, który odbiera telefon, gdy coś nie działa. Jednorazowa naprawa po włamaniu potrafi zjeść roczny budżet opieki w jeden weekend. Jeśli chcesz, żebym spojrzał na Twoją stronę i powiedział, czego realnie potrzebuje (a czego nie ma sensu kupować), napisz do mnie przez formularz kontaktowy na dole tej strony. Odpowiadam zwykle tego samego dnia roboczego.