Audyt strony WordPress — checklista 30 punktów [2026]

Audyt strony WordPress to uporządkowany przegląd serwisu pod kątem bezpieczeństwa, wydajności, SEO technicznego i infrastruktury — zakończony raportem z listą problemów uszeregowaną według ryzyka i wpływu na biznes. Audyt odpowiada na pytanie „co tej stronie realnie zagraża i co ją hamuje", zanim odpowie na nie pierwsza awaria albo spadek pozycji. Ten przewodnik zawiera pełną checklistę 30 punktów, przebieg audytu krok po kroku i realne widełki cenowe.

Najważniejsze: Audyt strony WordPress kosztuje 500–2 500 zł netto i trwa od kilku godzin do kilku dni — zależnie od wielkości serwisu. Obejmuje cztery obszary: bezpieczeństwo, wydajność (Core Web Vitals), SEO techniczne i infrastrukturę (hosting, PHP, kopie zapasowe). Raport z audytu powinien zawierać priorytety, nie tylko listę zastrzeżeń — inaczej zostaje dokumentem, który nic nie zmienia. Audyt to standardowy pierwszy krok przed przejęciem strony pod opiekę.

Czym jest audyt strony WordPress

Audyt strony WordPress to kompleksowy przegląd stanu technicznego serwisu: kodu, konfiguracji, wtyczek, wydajności, bezpieczeństwa i widoczności w Google. Różni się od zwykłego „rzucenia okiem" tym, że jest metodyczny — ma zakres, kryteria oceny i raport z rekomendacjami.

Audyt odpowiada na pytania, na które właściciel strony zwykle nie zna odpowiedzi.

• Czy strona ma luki bezpieczeństwa, które mogły już zostać wykorzystane?
• Dlaczego strona ładuje się wolno i które elementy odpowiadają za opóźnienia?
• Co blokuje widoczność w Google — i czy problem leży w technice, czy w treści?
• Czy kopie zapasowe faktycznie da się odtworzyć?
• Co się stanie, gdy hosting podniesie wersję PHP albo zmieni limity?

Wynik audytu to lista ustaleń z priorytetami: od problemów krytycznych (do naprawy natychmiast), przez ważne (do zaplanowania), po kosmetykę (do rozważenia).

Kiedy zamówić audyt strony

Audyt nie jest potrzebny „na wszelki wypadek" co miesiąc — ma sens w konkretnych momentach. Oto pięć sygnałów, że czas go zamówić.

• Przejmujesz stronę — po poprzednim wykonawcy, agencji albo „wujku, co robił stronę". Audyt pokazuje, co się przejmuje, zanim podpiszesz umowę o opiekę.
• Strona zwolniła — ładowanie się wydłużyło, Core Web Vitals w GSC zrobiły się czerwone, użytkownicy narzekają.
• Spadek w Google — pozycje lecą, a nie wiesz dlaczego. Audyt techniczny oddziela problemy techniczne od treściowych.
• Podejrzenie infekcji — dziwne przekierowania, nieznane konta, spam w wynikach (usuwanie wirusów WordPress).
• Przed inwestycją w rozwój — zanim włożysz budżet w nowe funkcje, sprawdź fundamenty; rozbudowa zaniedbanej strony to budowanie na piasku.

Jest też szósty, najczęściej ignorowany sygnał: strona ma kilka lat i nikt jej nie dotykał. Przestarzałe wtyczki, stara wersja PHP i kopie zapasowe „gdzieś tam" to bomba z opóźnionym zapłonem.

Zakres audytu — cztery obszary

Dobry audyt strony WordPress obejmuje cztery obszary, które wzajemnie na siebie wpływają.

Audyt nie jest wyrokiem — jest mapą. Część ustaleń naprawia się w godzinę, część wymaga projektu. Wartość raportu polega na tym, że pokazuje kolejność: co najpierw, co potem, a co można zaakceptować świadomie.

Checklista audytu strony WordPress — 30 punktów

Poniższa checklista to praktyczny standard, który stosuję przy audytach. Możesz użyć jej samodzielnie albo porównać z zakresem, który oferuje wykonawca. Wersję do wydruku znajdziesz na stronie checklisty audytu WordPress.

Bezpieczeństwo (punkty 1–8)

1. Wersja rdzenia WordPress i historia aktualizacji — czy strona nadąża za wydaniami bezpieczeństwa.
2. Lista wtyczek i motywów: które są aktualne, które porzucone, które można usunąć.
3. Konta użytkowników: role, nieaktywne konta, konta z uprawnieniami administratora.
4. Dwuskładnikowe logowanie (2FA) dla wszystkich kont administracyjnych.
5. Ograniczenia dostępu do wp-admin i pliku wp-login.php (próby logowania, blokady).
6. Skan malware i integralności plików — porównanie z wzorcem rdzenia.
7. Konfiguracja WAF i ochrony na poziomie serwera (Cloudflare, reguły hostingu).
8. Uprawnienia plików i katalogów, wyłączona edycja plików z panelu.

Wydajność (punkty 9–16)

9. Pomiar Core Web Vitals na mobile: LCP, INP, CLS — lab i dane polowe.
10. Cache na poziomie serwera i wtyczki: trafienia, konfiguracja, wyjątki.
11. Obrazy: formaty (WebP/AVIF), kompresja, wymiary, lazy loading.
12. Obciążenie bazy: rewizje, transjenty, tabele osierocone po wtyczkach.
13. Wtyczki obciążające front: liczba skryptów, CSS, zewnętrzne zasoby.
14. Czas odpowiedzi serwera (TTFB) i wydajność I/O hostingu.
15. Zasoby third-party: czcionki, mapy, piksele, czaty — ile i jak wpływają na LCP.
16. Konfiguracja CDN i nagłówków cache dla plików statycznych.

SEO techniczne (punkty 17–24)

17. Status indeksacji w Google: które URL-e są w indeksie, a które nie i dlaczego.
18. Directive noindex i canonicale — czy kluczowe podstrony nie są wyłączone z indeksu.
19. Sitemap XML: aktualność, kompletność, zgłoszenie w Search Console.
20. Przekierowania: łańcuchy, pętle, 301 vs 302, przekierowania na błędy.
21. Błędy 404 i 5xx: liczba, źródła, wpływ na crawl budget.
22. Dane strukturalne (JSON-LD): poprawność, zgodność z treścią strony.
23. Struktura nagłówków i linkowanie wewnętrzne: H1, hierarchia, linki do kluczowych stron.
24. Wydajność mobilna i responsywność — renderowanie, tap targety, viewport.

Infrastruktura i kopie zapasowe (punkty 25–30)

25. Wersja PHP i bazy danych względem wsparcia producenta (wersje PHP i daty wsparcia).
26. Limity hostingu: pamięć PHP, procesy, I/O, miejsce na dysku — z zapasem na wzrost.
27. Kopie zapasowe: częstotliwość, retencja, miejsce przechowywania poza serwerem.
28. Test odtworzenia kopii — czy backup faktycznie wstaje na środowisku testowym.
29. Certyfikat SSL i konfiguracja HTTPS: ważność, wymuszenie, mixed content.
30. Środowisko testowe (staging) i procedura wdrożeń — czy zmiany da się sprawdzić przed produkcją.

Trzydzieści punktów brzmi dużo, ale większość sprawdzeń to kwestia godzin pracy doświadczonego wykonawcy z odpowiednimi narzędziami. Kluczowa jest interpretacja: ten sam wynik („12 wtyczek do aktualizacji") raz jest kosmetyką, raz czerwonym alarmem — zależy od kontekstu strony.

Jak przebiega audyt krok po kroku

Standardowy audyt strony WordPress ma pięć etapów.

• Zakres i dostępy — ustalenie, co audyt obejmuje, i przekazanie dostępów: panel, hosting, Google Search Console. Bez GSC audyt SEO technicznego jest połowiczny.
• Zbieranie danych — skany bezpieczeństwa, pomiary wydajności, zrzuty konfiguracji, eksport logów, analiza indeksu Google.
• Analiza — interpretacja wyników w kontekście biznesu strony: co realnie zagraża, co hamuje cele.
• Raport — dokument z ustaleniami, priorytetami i rekomendacjami; najlepiej z szacunkiem kosztów naprawy.
• Prezentacja i plan — omówienie raportu i roadmapa działań: co naprawiamy od razu, co w kolejnym kwartale.

Dobry audyt kończy się rozmową, nie PDF-em. Jeśli wykonawca wysyła plik i znika, to znak, że sprzedaje dokumenty, nie rezultaty.

Ile kosztuje audyt strony WordPress

Ceny audytu zależą od wielkości i złożoności serwisu.

Uwaga na „darmowe audyty" w ofertach sprzedażowych. Darmowy audyt to zwykle automatyczny skan kilkunastu parametrów z raportem generowanym maszynowo — bywa punktem startowym, ale nie zastąpi analizy. Płatny audyt z rekomendacjami i szacunkiem kosztów naprawy zwraca się przy pierwszej poważniejszej decyzji technicznej.

Audyt przed przejęciem strony pod opiekę

Najczęstszy scenariusz, w którym audyt ma natychmiastowy zwrot: przejęcie zaniedbanej strony. Audyt odpowiada wtedy na trzy pytania, zanim podpiszesz umowę o opiekę.

• Co przejmujesz — stan techniczny, lista problemów, ryzyka (zainfekowane pliki, brak kopii, PHP po EOL).
• Ile będzie kosztować doprowadzenie do porządku — lista prac z wyceną; często taniej wynegocjować to przed przejęciem niż „w ramach opieki".
• Czy strona w ogóle nadaje się pod opiekę — czasem uczciwa odpowiedź brzmi: najpierw naprawa i porządki, potem stała opieka.

Proces przejęcia — od inwentaryzacji dostępów po pierwszy miesiąc opieki — opisuję krok po kroku w artykule o przejęciu strony pod opiekę. Z kolei wzorzec stałej opieki z przeglądami kwartalnymi rozbieram w przewodniku o opiece nad stroną WordPress.

Co powinien zawierać raport z audytu

Raport z audytu strony WordPress ma wartość tylko wtedy, gdy da się na jego podstawie działać. Minimalna struktura dobrego raportu:

• Podsumowanie dla zarządu — jedna strona: stan ogólny, trzy największe ryzyka, rekomendowana kolejność działań.
• Ustalenia z priorytetami — każdy punkt z oceną ryzyka (krytyczne / ważne / kosmetyczne) i krótkim uzasadnieniem.
• Szacunek kosztów naprawy — widełki dla każdej pozycji, żeby dało się zaplanować budżet.
• Dowody — zrzuty ekranu, fragmenty logów, wyniki pomiarów; bez tego raport jest opinią.
• Roadmapa — plan działań na 30/90 dni z podziałem na „zrobić samemu" i „zlecić".

Raport bez priorytetów to lista zastrzeżeń, która przytłacza zamiast porządkować. Jeśli dostajesz dokument z 80 punktami bez podziału na ważne i kosmetyczne, poproś o wersję z priorytetami — to część usługi, nie dodatek.

Najczęściej zadawane pytania

Ile kosztuje audyt strony WordPress?

Audyt strony WordPress kosztuje 500–2 500 zł netto: wizytówka 500–900 zł, strona firmowa 900–1 500 zł, sklep WooCommerce 1 500–2 500 zł, rozbudowany serwis od 2 500 zł. Cena zależy od liczby podstron, wtyczek i integracji oraz od tego, czy audyt obejmuje analizę SEO i treści.

Co obejmuje audyt strony WordPress?

Audyt obejmuje cztery obszary: bezpieczeństwo (wtyczki, konta, malware, WAF), wydajność (Core Web Vitals, cache, obrazy, baza), SEO techniczne (indeksacja, canonicale, przekierowania, dane strukturalne) i infrastrukturę (hosting, wersje PHP, kopie zapasowe, SSL). Efektem jest raport z priorytetami i szacunkiem kosztów naprawy.

Czy audyt strony można zrobić samodzielnie?

Część tak — checklistę z tego artykułu przejdziesz samodzielnie, a narzędzia takie jak PageSpeed Insights czy Search Console są darmowe. Granica leży w interpretacji: odróżnienie problemu krytycznego od kosmetycznego wymaga doświadczenia z podobnymi stronami. Samodzielny audyt ma sens jako przygotowanie do rozmowy z wykonawcą.

Jak długo trwa audyt strony WordPress?

• Wizytówka i blog: 1–2 dni robocze. Strona firmowa: 2–4 dni. Sklep WooCommerce: 3–7 dni. Rozbudowany serwis: 1–2 tygodnie. Na czas wpływa też dostępność dostępów i materiałów — audyt z pełnymi dostępami do panelu, hostingu i Search Console idzie znacznie sprawniej.

Czy audyt obejmuje też SEO i treści?

Audyt techniczny obejmuje techniczne fundamenty SEO: indeksację, canonicale, przekierowania, Core Web Vitals i dane strukturalne. Analiza treści, słów kluczowych i linków to osobny zakres — audyt SEO. Przy zamawianiu doprecyzuj, który wariant potrzebujesz; część wykonawców łączy oba w jednym raporcie.

Kiedy warto powtórzyć audyt?

• Po każdej dużej zmianie: migracji, przebudowie, zmianie hostingu, dodaniu sklepu. Bez zmian wystarczy audyt co 12–18 miesięcy — świat WordPressa się zmienia (PHP, przeglądarki, wymagania Google) i strona „nietknięta" z czasem staje się stroną zaniedbaną. W ramach stałej opieki przegląd kwartalny zastępuje pełny audyt.

Źródła i narzędzia

• WordPress — hardening i bezpieczeństwo
• web.dev — Core Web Vitals
• Google Search Central — utrzymanie strony
• OWASP — bezpieczeństwo aplikacji webowych
• PHP — wspierane wersje
• WordPress.org — wtyczki

👉 Chcesz audyt swojej strony WordPress? Zobacz WordPress — wdrożenia i opieka — audyt z raportem i roadmapą, a potem stała opieka. Napisz przez formularz kontaktowy lub na kontakt@informatix.com.pl.

📖 Zobacz również: opieka nad stroną WordPress, przejęcie strony pod opiekę, bezpieczeństwo WordPress oraz checklista audytu WordPress do druku.