Jak zrobić audyt swojej strony WordPress

Audyt własnej strony WordPress to moment prawdy: sprawdzenie, co działa, co spowalnia, co naraża na ryzyko i co hamuje sprzedaż lub pozyskiwanie leadów. To nie tylko techniczna kontrola, ale także ocena jakości treści, zgodności z prawem i sposobu mierzenia wyników. Aby ułatwić nawigację po tym procesie, w tekście znajdziesz listy kontrolne, wskaźniki do monitoringu oraz praktyczne rekomendacje narzędzi. Warto od razu określić, że kluczowe obszary audytu to wydajność, bezpieczeństwo, SEO, Core Web Vitals, indeksacja, dostępność, konwersje, aktualizacje, kopie zapasowe i środowisko staging. Z takim kompasem zaczniesz działać szybko i świadomie.

Jak się przygotować do audytu: zakres, cele, narzędzia i procedury

Zanim otworzysz pierwsze narzędzie, zdefiniuj cele biznesowe: co chcesz osiągnąć – więcej zapytań, sprzedaży, subskrypcji? Określ kluczowe wskaźniki (np. współczynnik konwersji, czas do interaktywności, udział ruchu z organicznych wyników), a następnie zestaw je ze stanem obecnym. Dobry audyt obejmuje zarówno stan “tu i teraz”, jak i propozycje działań z priorytetami, kosztami oraz przewidywanym wpływem na wynik.

Przygotowanie obejmuje także uporządkowanie dostępu i bezpieczeństwa. Upewnij się, że masz pełne uprawnienia do panelu WordPress, hostingu, DNS, CDN, narzędzi analitycznych i Search Console. Jeśli to audyt dla klienta, zbierz dostępy w bezpiecznym menedżerze haseł i potwierdź, że praca będzie prowadzona najpierw na kopii roboczej (staging). Stwórz katalog dokumentacji, gdzie zapiszesz wyniki testów, listy zmian i procedury powrotu do poprzedniej wersji (roll-back).

Niezbędnik narzędzi do audytu WordPress:

Wydajność i doświadczenie użytkownika: PageSpeed Insights, Lighthouse, WebPageTest, GTmetrix, CrUX (Chrome UX Report), narzędzia przeglądarki (Performance, Coverage, Network), Query Monitor, New Relic (opcjonalnie).
SEO i content: Google Search Console, Screaming Frog SEO Spider (lub Sitebulb), Ahrefs/Semrush (opcjonalnie), Rank Math/Yoast/AIOSEO do podglądu metadanych i schematów.
Bezpieczeństwo: WPScan, Sucuri SiteCheck, Wordfence/iThemes Security (do monitoringu), logi serwera, skaner malware hostingu.
Błędy i dzienniki: włączone logowanie PHP, dziennik błędów serwera, monitor uptime (np. UptimeRobot), Sentry (dla błędów JS).
Kopie zapasowe i migracje: UpdraftPlus, Duplicator, All-in-One WP Migration; test odtwarzania backupu na stagingu.
Obrazy i media: ShortPixel/Imagify/Smush, narzędzia do AVIF/WebP, bibliotekę multimediów z porządnymi nazwami plików.
Hosting i sieć: panel serwera (wersja PHP, OPcache), Redis/Memcached, CDN (Cloudflare/KeyCDN), HTTP/3, TLS 1.3, kompresja Brotli.

Zadbaj o higienę audytu: wykonaj pełny backup (pliki + baza), zapisz znacznik czasu i wykonaj “snapshot” stanu kluczowych wskaźników (np. LCP, INP, CLS, TTFB, rozmiar strony, liczba zapytań HTTP, liczba wtyczek, ogólna liczba błędów w logach). Dzięki temu po zmianach łatwo porównasz, co naprawdę zadziałało.

Inwentaryzacja techniczna: hosting, wersje, wtyczki i środowiska

Podstawą audytu jest rzetelna inwentaryzacja. Zacznij od hostingu: sprawdź wersję PHP (zalecane aktualne stabilne wydanie wspierane przez WordPress), limit pamięci (WP_MEMORY_LIMIT i memory_limit), czas wykonywania skryptów, typ dysków (SSD/NVMe), wersję MySQL/MariaDB, a także czy masz włączone OPcache i obiektowy cache (Redis/Memcached). Sprawdź, czy ruch obsługuje HTTP/2 lub HTTP/3 (QUIC) i czy włączona jest kompresja Brotli. W przypadku serwerów LiteSpeed użyj wtyczki LiteSpeed Cache – integracja na poziomie serwera zwykle daje świetne wyniki.

W warstwie aplikacji zinwentaryzuj wersję WordPressa, motyw (i motyw potomny), listę wtyczek, w tym wtyczek typu mu-plugin (must-use). Oznacz wtyczki nieużywane i duplikujące funkcje (np. dwie wtyczki do cache, kilka do SEO). Zbadaj, czy motyw bazowy jest wspierany, aktualizowany i czy istnieje motyw potomny chroniący modyfikacje przed nadpisaniem w trakcie aktualizacji. Spisz elementy custom code (fragmenty w functions.php, wtyczki autorskie), a także integracje z zewnętrznymi systemami (CRM, płatności, mailing).

Następnie sprawdź środowiska pracy. Idealny proces to: lokalnie (dev) → staging → produkcja. Czy istnieje wydzielony staging? Czy jest zabezpieczony przed indeksacją (noindex + blokada w robots.txt, ewentualnie ochrona hasłem)? Czy wdrożenia są wykonywane przez Git/CI, czy ręcznie? Sprawdź, czy włączone są logi i czy istnieje procedura szybkiego powrotu (np. odtworzenie backupu jednym kliknięciem). Zbadaj też CRON-y WordPressa: czy pseudo-cron (wp-cron) nie jest dławiony i czy kluczowe zadania (np. wysyłka maili, synchronizacje) działają zgodnie z harmonogramem. W środowiskach z większym ruchem warto rozważyć systemowy cron zamiast wywołań przy wejściu użytkownika.

Na koniec przygotuj listę “długu technicznego”: przestarzałe wtyczki, brak motywu potomnego, brak stagingu, mieszane treści HTTP/HTTPS, brak obiektowego cache, zbyt duże obrazy, brak CDN, ręcznie wklejony ciężki kod w head (np. czaty, trackery) – to wszystko będą szybkie kandydaty do napraw w kolejnych krokach.

Wydajność i Core Web Vitals: pomiary, diagnoza i optymalizacje

Wydajność to fundament doświadczenia użytkownika i SEO. Skup się na metrykach terenowych (field data) i laboratoryjnych (lab data). Z metryk terenowych kluczowe są: LCP (Largest Contentful Paint – szybkość załadowania głównego elementu), INP (Interaction to Next Paint – responsywność interakcji; zastąpił FID), CLS (Cumulative Layout Shift – stabilność układu). Z laboratoriów zwróć uwagę na TTFB, czas do interaktywności, rozmiar transferu, liczbę requestów, obciążenie CPU oraz na waterfall ładowania.

Jak mierzyć rzetelnie:

Uruchom testy dla mobile i desktop oraz dla użytkownika wylogowanego i zalogowanego (panel, koszyk WooCommerce). Wylogowany ruch powinien trafiać w cache strony.
W PageSpeed Insights porównaj dane CrUX (rzeczywiści użytkownicy) z laboratorium. Jeśli lab jest dobry, a CrUX słaby – problem może leżeć w realnych warunkach sieci, ciężkich stronach produktowych lub przeciążonym serwerze w godzinach szczytu.
W WebPageTest i GTmetrix sprawdź waterfall: które zasoby blokują render, gdzie są opóźnienia DNS/TLS, który skrypt trzyma CPU.

Typowe kroki optymalizacji:

Cache pełnych stron: wtyczki WP Rocket, LiteSpeed Cache, W3 Total Cache. Włącz kompresję, minifikację i łączenie plików z rozwagą, generuj critical CSS, opóźniaj ładowanie JS (defer/delay), unikaj nadmiarowej kombinatoryki, bo może psuć funkcje.
Cache obiektowy: Redis/Memcached w celu przyspieszenia zapytań do bazy, szczególnie przy WooCommerce i stronach dynamicznych.
Obrazy: konwersja do WebP/AVIF, responsywne rozmiary (srcset/sizes), leniwe ładowanie (lazyload), usunięcie nieużywanych miniatur generowanych przez motywy/wtyczki.
CDN: serwowanie statycznych zasobów geograficznie bliżej użytkownika, skracanie RTT, edge cache, optymalizacja DNS i TLS.
Fonts: używaj font-display: swap, hostuj czcionki lokalnie lub przez wydajny CDN, ogranicz liczbę wariantów, ładuj preconnect/preload z umiarem.
Third-party: zredukowanie liczby zewnętrznych skryptów (piksele, czaty, mapy), opóźnianie ich do interakcji lub po zgodzie użytkownika, usuwanie nieużywanych integracji.
Baza danych: czyszczenie wersji wpisów, transients, tabel opcji, naprawa indeksów, optymalizacja zapytań (Query Monitor wskaże wolne fragmenty).
Kod: usunięcie zbędnych hooków, refaktoryzacja funkcji, ograniczenie zagnieżdżonych zapytań, separacja funkcji wymagających logowania.
Serwer: nowsza wersja PHP często daje zauważalny wzrost wydajności. Dodatkowo dopasuj workerów PHP-FPM, buffer i limity połączeń do realnego ruchu.

Pamiętaj o stabilności wizualnej: CLS rośnie przez obrazy bez wymiarów, reklamy bez zarezerwowanej przestrzeni, dynamicznie wstrzykiwane banery. Zawsze określaj szerokość i wysokość elementów medialnych oraz rezerwuj kontenery na dynamiczne moduły (np. alerty RODO, paski informacyjne).

Plan weryfikacji: po każdej zmianie wykonaj krótką pętlę testów – lab (Lighthouse), wyrywkowe testy na najcięższych stronach, kontrola konsoli błędów, sprawdzenie funkcji kluczowych (koszyk, formularze) i realnych metryk w GA4/CrUX po kilku dniach. Dokumentuj wpływ działań na LCP/INP/CLS i konwersje, a nie tylko “zielone wyniki” w narzędziu.

Bezpieczeństwo: ryzyka, standardy i twarde praktyki

Audyt bezpieczeństwa zaczyna się od aktualizacji i minimalizacji. Sprawdź, czy WordPress, motyw i wtyczki są aktualne, czy wtyczki porzucone mają alternatywy, a komponenty narażone na znane luki (CVE) są natychmiast wymieniane. Usuń wtyczki i motywy nieużywane – każdy zbędny komponent zwiększa powierzchnię ataku. Wdróż dwuetapowe logowanie (2FA) dla kont z uprawnieniami redaktorskimi i administracyjnymi. Uporządkuj role i uprawnienia – zasada najmniejszych uprawnień, ograniczenie konta “Administrator” do minimalnej liczby osób.

Utwardzanie konfiguracji:

HTTPS wszędzie: wymuś przekierowanie 301 z HTTP na HTTPS, włącz HSTS (z rozwagą i po pełnym przejściu na HTTPS), eliminuj mieszane treści.
wp-config.php: prawidłowe klucze SALT, wyłącz edytor plików w panelu, nie ujawniaj wersji WordPressa w nagłówkach, ogranicz wycieki błędów na produkcji (WP_DEBUG false, logowanie błędów na serwerze, nie na ekranie).
XML-RPC i REST: zablokuj lub ogranicz XML-RPC, przemyśl uprawnienia do REST API dla wrażliwych danych.
Nagłówki bezpieczeństwa: Content-Security-Policy (dla skryptów i ramek), X-Frame-Options/Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
Dostęp do serwera: SFTP/SSH, klucze zamiast haseł, rotacja haseł, wyłączanie nieużywanych kont, ograniczenia IP dla paneli administracyjnych, WAF (np. Cloudflare), rate limiting na logowanie, reCAPTCHA/hCaptcha tylko tam, gdzie to konieczne.
Backup i odzyskiwanie: pełne i częściowe kopie zapasowe wykonywane regularnie, test odtwarzania, przechowywanie offsite, szyfrowanie i kontrola dostępu, dokumentacja RTO/RPO.
Monitorowanie: skanowanie malware, wykrywanie zmian w plikach, alerty e-mail/Slack, monitor uptime, dzienniki zdarzeń i logowanie prób logowania.

Zwróć uwagę na łańcuch dostaw: źródła wtyczek (repozytorium WP vs. pobrania z nieznanych stron), integracje płatności, biblioteki JS z CDN-ów. Przeanalizuj, czy krytyczne komponenty (np. bramki płatności, formularze z danymi osobowymi) podlegają dodatkowej kontroli integralności i czy są aktualizowane zgodnie z harmonogramem. W środowiskach e-commerce rozważ segmentację danych, politykę haseł i bardziej surowe logowanie działań użytkowników z rolą administratora/sklepu.

SEO techniczne i jakościowe: indeksacja, struktura i treść

Dobry wynik SEO to efekt synergii technikaliów, treści i autorytetu domeny. Zacznij od Google Search Console: pokrycie indeksu, wykluczenia, błędy w mapie witryny, problemy mobilne, wyniki rozszerzone (rich results), przeszkody w indeksacji. Zweryfikuj, że witryna ma spójną wersję preferowaną (kanoniczną): HTTPS, bez “www” lub z “www”, brak duplikatów między http/https i wersjami domeny.

Checklista techniczna SEO:

robots.txt: nie blokuj zasobów krytycznych dla renderowania, blokuj staging i środowiska testowe, przemyśl wykluczenie parametrów.
Mapa witryny: aktualna, bez błędów 404/301, podzielona na sekcje (wpisy, strony, produkty) przy dużej liczbie adresów, zgłoszona w GSC.
Linkowanie kanoniczne: rel=canonical dla stron podatnych na duplikacje (kategorie, parametry filtrów, paginacja), unifikacja trailing slash i wielkości liter.
Struktury danych: schema dla artykułów, produktów, organizacji, breadcrumbs; walidacja w Rich Results Test i Schema Markup Validator.
Linki: wykryj błędne 4xx/5xx, pętle i łańcuchy przekierowań, linki wewnętrzne do noindex, osierocone podstrony (orphan pages), nieużywane tagi/kategorie generujące thin content.
Hreflang: jeśli strona wielojęzyczna, pełna macierz deklaracji, zgodność z kanonicznymi, spójne mapy witryny dla wariantów językowych.
Headings i treść: jeden H1 na stronę, logiczna hierarchia H2/H3, unikalne meta titles i descriptions, teksty odpowiadające intencji użytkownika; unikanie duplikacji między kategoriami i tagami.
Obrazy i wideo: alternatywne opisy (alt), transkrypcje materiałów wideo, miniatury o odpowiedniej wadze i wymiarach, oznaczenia licencji/źródeł.

W warstwie treści skup się na jakości i zamiarze wyszukiwania. Treści powinny rozwiązywać problemy odbiorców, zawierać wiarygodne źródła i aktualne dane, a także budować autorytet ekspercki. Zadbaj o spójne klastry tematyczne (topic clusters), linkowanie wewnętrzne wzmacniające kluczowe strony oraz o aktualizację starzejących się wpisów. Pamiętaj, że szybkość i stabilność (CWV), poprawne wdrożenie danych strukturalnych i łatwość indeksacji zwiększają szanse na wyższe pozycje i wyniki rozszerzone.

Warto przeanalizować logi serwera pod kątem zachowania botów: które katalogi są intensywnie crawlowane, gdzie tracisz budżet crawl (np. paginacja, parametry, filtry), czy nie ma pętli przekierowań dla botów. Uporządkuj faceted navigation (filtry w e-commerce), blokując indeksację kombinacji, które nie mają wartości wyszukiwawczej, i zapewnij kanonikalizację do głównej wersji kategorii.

UX, dostępność i mobile: od wrażeń do konwersji

Nawet najszybsza i najlepiej zoptymalizowana technicznie strona nie przyniesie efektów bez intuicyjnego interfejsu, czytelności i dostępności. Przejdź witrynę oczami użytkownika na smartfonie: jak szybko znajdzie kluczowe informacje? Czy formularz kontaktowy jest prosty? Czy nawigacja jest jasna i stale dostępna? Czy CTA są widoczne i wyraźne na każdym etapie podróży?

Audyt UX w pigułce:

Nawigacja: logiczna architektura informacji, breadcrumbs, wyszukiwarka wewnętrzna z podpowiedziami, etykiety linków opisujące cel.
Formularze: minimalna liczba pól, walidacja po stronie klienta i serwera, czytelne komunikaty o błędach, maski dla pól (telefon, daty), testy na urządzeniach mobilnych, obsługa autofill.
Makieta i treść: wyraźne nagłówki, odpowiednie odstępy, kontrast kolorów, duże tap-targets, brak nachalnych pop-upów zasłaniających treść.
Koszyk i checkout (WooCommerce): gościnne zakupy, prosty proces, wiele metod płatności, wizualne potwierdzenia, czytelna polityka zwrotów i dostawy.
Zaufanie: sekcja o firmie, dane kontaktowe, opinie klientów, certyfikaty, aktualny blog/aktualności.

Dostępność (WCAG 2.2): sprawdź kontrast, logiczną kolejność fokusowania klawiaturą, widoczny focus state, opisy alternatywne dla obrazów, poprawne role ARIA, etykiety dla pól formularzy, zrozumiałe komunikaty błędów i sukcesów. Zadbaj o skip links, możliwość powiększenia tekstu, brak migających elementów. WordPress często odziedzicza problemy dostępności po motywie i wtyczkach – sprawdź gotowe komponenty takie jak suwaki, lightboxy i okna modalne.

Na końcu sprawdź realny wpływ UX na konwersje: skonfiguruj w GA4 zdarzenia i cele, a następnie przeanalizuj ścieżki użytkowników, obszary porzuceń i czas na kluczowych ekranach. Pomyśl o testach A/B (np. różne warianty przycisków, nagłówków, długości formularzy), ale dopiero po rozwiązaniu problemów technicznych – wtedy wyniki testów nie będą zakłócane przez szybkość czy błędy.

Dane, analityka i zgodność prawna: mierz właściwie, przechowuj odpowiedzialnie

Bez rzetelnych danych nie ocenisz efektów audytu. Zacznij od kontroli implementacji analityki: czy GA4 jest wdrożone poprawnie (tag globalny lub przez Google Tag Manager), czy zdarzenia są nazywane spójnie, czy działa pomiar przewijania, kliknięć w CTA, wyszukiwań, odtworzeń wideo, dodania do koszyka i transakcji? Zweryfikuj, czy zdarzenia e-commerce spełniają wymagania GA4, a dane trafiają do raportów. Sprawdź powiązanie z Search Console i poprawność identyfikatorów domeny (measurement ID).

Następnie przejrzyj zgodność z RODO/GDPR: baner zgód (CMP) musi pozwalać na realny wybór, domyślnie nie ładować narzędzi śledzących bez zgody i umożliwiać zmianę preferencji. Zweryfikuj, że polityka prywatności jest aktualna i odzwierciedla realne procesy (cel przetwarzania, podmioty przetwarzające, czas retencji). Anonimizacja IP, ograniczenie retencji w analytics, minimalizacja zakresu danych w formularzach – to podstawy. Jeśli przetwarzasz dane wrażliwe lub duże wolumeny, rozważ ocenę skutków dla ochrony danych (DPIA) i audyt umów powierzenia z dostawcami.

Warte uwagi są również kwestie e-mail: dostarczalność (SPF, DKIM, DMARC), konfiguracja SMTP w WordPress (WP Mail SMTP lub integracje z usługami transakcyjnymi), weryfikacja domeny i subdomen dla różnych strumieni komunikacji. Zadbaj o system wycofania zgód (opt-out), przejrzyste klauzule, rejestrowanie czasu i źródła pozyskania zgody.

Do podejścia data-driven dodaj monitorowanie stabilności: uptime, alerty błędów 5xx/4xx, dzienniki błędów PHP i JS, wgląd w powolne zapytania do bazy. Ustal progi alarmowe (np. wzrost błędów 404 o 50% tygodniowo) i przypisz odpowiedzialność zespołowi. Dane bez procesu reagowania nie wnoszą wartości.

Plan naprawczy: priorytety, wdrożenia i utrzymanie

Po zebraniu danych ułóż backlog i nadaj priorytety według wpływu na biznes i nakładu pracy (matryca Impact/Effort). Na szczycie listy zwykle znajdą się: aktualizacje krytycznych komponentów, naprawa błędów 5xx/4xx, włączenie cache i optymalizacja obrazów, usunięcie wtyczek o niskiej jakości, zabezpieczenie logowania, uporządkowanie indeksacji. Zmiany wdrażaj etapami: najpierw na stagingu, z planem testów regresji (kluczowe funkcje: wyszukiwarka, koszyk, płatności, formularze, logowanie), a następnie oknem wdrożeniowym na produkcji poza godzinami szczytu.

Przykładowy harmonogram działań w 4-week sprint:

Tydzień 1: pełne backupy, aktualizacje core/motywów/wtyczek, włączenie cache strony i obiektowego, optymalizacja serwera (PHP, OPcache), wdrożenie CDN, naprawa krytycznych błędów bezpieczeństwa.
Tydzień 2: optymalizacja obrazów (konwersja do WebP/AVIF), redukcja i opóźnianie skryptów, porządek w wtyczkach, korekty CLS, uporządkowanie mapy witryny i canonicali, naprawa błędnych linków, wdrożenie danych strukturalnych.
Tydzień 3: dostępność (kontrast, fokus, etykiety), porządek w formularzach, wdrożenie monitoringu błędów i uptime, konfiguracja GA4/Tag Managera i zdarzeń, audyt faceted navigation, plan kontentowy.
Tydzień 4: testy A/B małych zmian UX, dopracowanie copy i CTA, wprowadzenie polityk aktualizacji i backupów, dokumentacja runbooków, szkolenie zespołu.

Utrzymanie po audycie to rytuały: tygodniowe aktualizacje, miesięczne przeglądy bezpieczeństwa i logów, kwartalne audyty wydajności i SEO, coroczne testy odtwarzania backupu. Zdefiniuj metryki sukcesu (np. LCP poniżej 2,5 s na 75. percentylu, INP w granicach “dobry”, spadek TTFB o 30%, wzrost konwersji o X%), aby jasno ocenić, czy prace przynoszą efekt. Wprowadzaj zmiany inkrementalnie i zawsze z pomiarem przed/po.

Warto przygotować “checklistę startową” do powtarzania przy każdej większej zmianie:

Backup i test odtwarzania na stagingu.
Aktualizacje i weryfikacja kompatybilności (changelog, testy regresji).
Testy wydajności (PageSpeed/Lighthouse/WebPageTest) na kluczowych szablonach (strona główna, artykuł, kategoria, produkt, koszyk, checkout).
Kontrola SEO (Screaming Frog: tytuły, opisy, kanonikalizacja, błędy 4xx/5xx, mapa witryny) i ewentualne zmiany w Search Console.
Bezpieczeństwo: skan WPScan, logi prób logowania, integralność plików, nagłówki bezpieczeństwa.
UX i dostępność: kontrast, fokus, rozmiary tap-targetów, działanie formularzy, brak przesłania treści przez pop-upy.
Analityka: walidacja zdarzeń i konwersji, poprawność zgód, testy wysyłki e-mail (SPF/DKIM/DMARC, SMTP).
Monitorowanie: alerty uptime, alerty błędów, przegląd CRON-ów i kolejek.

Audyt WordPress to proces, a nie jednorazowe wydarzenie. Zespół techniczny, marketing i właściciele biznesu powinni współdzielić odpowiedzialność: technologia zapewnia szybkość i bezpieczeństwo, marketing dba o jakość treści i zgodność z intencją użytkownika, a właściciel wyznacza cele i mierzy efekty. Łącząc te obszary, odzyskasz kontrolę nad stroną, zmniejszysz koszty utrzymania i przede wszystkim podniesiesz satysfakcję użytkowników, co przełoży się na wyniki finansowe.