Instalacja WordPressa i pierwsze ustawienia — co zrobić, zanim wejdzie treść

Instalacja WordPressa zajmuje kilka minut i w większości hostingów sprowadza się do kliknięcia jednego przycisku. To nie jest trudna część i nie o nią warto się martwić.

Kosztowne są trzy rzeczy zaraz po niej. Wersja PHP, której w panelu WordPressa nie widać w ogóle. Struktura adresów, którą dokumentacja każe ustawić raz i nigdy nie zmieniać — a domyślnie jest ustawiona najgorzej z możliwych. I jedno pole z instalacji testowej, które potrafi wyłączyć stronę z wyszukiwarki na miesiące, zanim ktokolwiek zauważy.

Wszystkie trzy rozstrzyga się w pierwszym kwadransie i wszystkie trzy da się sprawdzić w dwie minuty. Ten tekst jest o tym kwadransie.

Czego WordPress wymaga od hostingu

Wymagania są krótkie i publikuje je sam wydawca.

Według dokumentacji WordPress.org zalecany jest PHP w wersji 8.3 lub nowszej, MariaDB 10.11 lub MySQL 8.0 i HTTPS. Dokumentacja dodaje, że WordPress zadziała też na PHP 7.4 i MySQL 5.5.5 — z zastrzeżeniem, że te wersje nie są już wspierane.

Zestawienie tego z rzeczywistością jest pouczające. Według statystyk WordPress.org zalecaną wersję PHP ma 37% instalacji, a 38% działa na PHP 8.1 lub starszym, czyli bez poprawek bezpieczeństwa. Nie jest to problem WordPressa — to warstwa, którą wybiera właściciel strony przy zakupie hostingu i którą zmienia się jednym przełącznikiem w panelu dostawcy.

Praktyczny wniosek na dzień instalacji: zanim zainstalujecie cokolwiek, sprawdźcie w panelu hostingu, jaka wersja PHP obsługuje Waszą domenę, i ustawcie najwyższą dostępną. Zajmuje to minutę, a zaoszczędza migracji na nowszą wersję w środku roku, kiedy dostawca wyłączy starą. Terminy, po których wersje przestają dostawać poprawki, zbieramy w tekście o tym, kiedy strona wymaga modernizacji, a czym się kierować przy samym wyborze serwera — w tekście o hostingu.

Wersję PHP sprawdza się w trzech miejscach i warto znać wszystkie trzy, bo każde odpowiada na trochę inne pytanie:

• W panelu hostingu — sekcja bywa nazwana „wersja PHP", „ustawienia PHP" albo jest schowana w konfiguracji domeny. Widać tam wersję używaną teraz i listę dostępnych, czyli od razu wiadomo, czy jest co podnosić.
• W panelu WordPressa, w Narzędziach → Stan witryny — WordPress sam zgłasza starą wersję jako problem i podaje, czego oczekuje. To najszybszy sposób, jeśli nie macie dostępu do hostingu.
• Pytaniem do wsparcia hostingu — jedno zdanie: „jaka wersja PHP obsługuje moją domenę i do kiedy będzie dostępna". Odpowiedź powinna przyjść tego samego dnia, a jej brak sam w sobie jest informacją.

Instalator hostingu czy instalacja ręczna

Są dwie drogi i różnią się nie czasem, tylko tym, co po nich zostaje.

Instalator w panelu hostingu. Klikacie „zainstaluj WordPress", wybieracie domenę, podajecie nazwę strony i dane logowania. Po dwóch minutach strona działa. Zaleta jest realna: hosting sam tworzy bazę danych, ustawia uprawnienia plików i zwykle od razu włącza certyfikat. Wada bywa taka, że instalator dokłada własny zestaw wtyczek — czasem pożyteczny, czasem reklamowy — i warto po instalacji sprawdzić, co dostaliście w pakiecie.

Instalacja ręczna. Wgrywacie pliki, tworzycie bazę danych i przechodzicie przez formularz instalacyjny. Trwa kwadrans, wymaga dostępu do plików i bazy, a daje pełną kontrolę nad tym, co znajdzie się na serwerze. Ma sens, gdy przenosicie stronę, gdy hosting nie ma instalatora albo gdy chcecie mieć pewność, że nic nie zostało dołożone.

Ręczna instalacja to pięć kroków i warto je znać, nawet jeśli zwykle klikacie instalator — bo dokładnie te same elementy odtwarza się przy przenoszeniu strony:

1. Pobranie paczki z wordpress.org i wgranie jej do katalogu domeny na serwerze.
2. Utworzenie bazy danych i użytkownika z pełnymi uprawnieniami do niej — w panelu hostingu, zwykle jedna zakładka.
3. Uruchomienie adresu domeny w przeglądarce; WordPress sam poprosi o dane bazy.
4. Formularz instalacyjny: nazwa strony, login administratora, hasło, adres e-mail.
5. Sprawdzenie, czy strona odpowiada pod właściwym adresem — z certyfikatem i w wersji z www albo bez, tej, którą wybraliście.

Jeśli krok trzeci kończy się komunikatem o błędzie połączenia z bazą, dane z kroku drugiego nie zgadzają się z tym, co wpisaliście — to najczęstsza przyczyna nieudanej instalacji i jedyna, którą widać wprost.

Niezależnie od drogi, w formularzu instalacyjnym podajecie trzy rzeczy, których potem nie zmienia się tak łatwo, jak się wydaje:

• Nazwę użytkownika administratora. Nie „admin" i nie nazwę firmy. To pierwsza połowa danych logowania, a druga jest zgadywana maszynowo; o tym, co jeszcze zamyka tę drogę, piszemy przy zabezpieczeniach.
• Adres e-mail administratora. To skrzynka, na którą WordPress wyśle link trybu odzyskiwania, gdy wtyczka położy stronę — mechanizm rozkładamy przy błędach serwera. Jeśli wpiszecie tu adres wykonawcy, to on dostanie link, a nie Wy.
• Adres strony. Z https:// i w wersji, której zamierzacie używać — z www albo bez. Zmiana tego po publikacji treści oznacza przekierowania, a nie przełącznik.

Trzy ustawienia, które robi się przed pierwszą treścią

Kolejne pół godziny decyduje o tym, ile będzie kosztowała każda późniejsza poprawka.

Struktura adresów. Świeża instalacja ma ustawioną strukturę „Plain", czyli adresy w postaci example.pl/?p=123. Dokumentacja WordPressa opisuje ją bez ogródek: „It is not user-friendly and also not optimized for search engines". W tym samym tekście pada druga rzecz, ważniejsza: adresy „are permanent and should never be changed".

Ekran, na którym się to ustawia: Ustawienia → Bezpośrednie odnośniki. Powyżej zrzut z oficjalnej dokumentacji WordPressa, udostępnionej na licencji CC0 — pierwsza pozycja, „Prosty", to ta domyślna.

Te dwa zdania razem znaczą, że wybór struktury adresów jest decyzją jednorazową i trzeba ją podjąć przed opublikowaniem czegokolwiek. Dla strony firmowej praktyczny wybór to „Nazwa wpisu" — adres zawiera tytuł i nic więcej. Struktura z datą ma sens w serwisie informacyjnym, gdzie data jest częścią treści; przy ofercie sprawia tylko, że strona wygląda na starą. Jeśli adresy zmieniacie na działającej stronie, każdy stary adres wymaga przekierowania — rozkładamy to przy migracji strony.

Widoczność w wyszukiwarce. W ustawieniach czytania jest pole „Proś wyszukiwarki o nieindeksowanie tej witryny". Zaznacza się je na czas budowy i to jest sensowne użycie. Problem zaczyna się, gdy zostaje zaznaczone po uruchomieniu — a zostaje zaskakująco często, bo nic o sobie nie przypomina.

Ekran Ustawienia → Czytanie w dokumentacji WordPressa (licencja CC0): pole widoczności jest ostatnie na liście, pod ustawieniami strony głównej i liczby wpisów — dlatego tak łatwo je przeoczyć przy uruchomieniu.

Warto wiedzieć dokładnie, co to pole robi. Według dokumentacji od wersji 5.3 wstawia ono do kodu strony znacznik <meta name='robots' content='noindex,nofollow' />. I zaraz potem pada zdanie, które warto zapamiętać: „Neither of these options blocks access to your site — it is up to search engines to honor your request". Czyli: strona jest dostępna dla każdego, kto zna adres, a jedynie wyszukiwarki są proszone, żeby jej nie pokazywały. To prośba, nie zabezpieczenie — jeśli strona testowa ma być naprawdę niewidoczna, zamyka się ją hasłem.

Strona główna, język i strefa czasu. Domyślnie WordPress pokazuje na stronie głównej listę wpisów, co przy stronie firmowej rzadko jest tym, o co chodzi. Ustawienie statycznej strony głównej, języka i strefy czasu zajmuje minutę i — w odróżnieniu od dwóch poprzednich punktów — można je zmienić w dowolnym momencie bez konsekwencji.

Konta i role. Świeża instalacja ma jedno konto — Wasze, z pełnymi uprawnieniami. Kiedy do strony siada więcej osób, warto od razu rozdzielić role, zamiast dawać wszystkim administratora „żeby nie było problemów". WordPress ma ich pięć i różnica jest praktyczna: Administrator może wszystko, łącznie z instalowaniem wtyczek i usuwaniem kont; Redaktor zarządza treścią całej strony; Autor publikuje tylko własne wpisy; Współpracownik pisze, ale nie publikuje; Subskrybent tylko czyta.

Reguła jest ta sama co przy wtyczkach: każde konto administratora to kolejny komplet danych logowania, którym da się wejść na stronę. Wykonawca, agencja marketingowa i osoba od treści w większości przypadków nie potrzebują pełnych uprawnień, a lista kont po dwóch latach wygląda inaczej, niż ktokolwiek pamięta — dlatego jej przegląd jest osobną pozycją w zabezpieczeniach.

Strona polityki prywatności. WordPress ma wbudowane narzędzie, które tworzy jej szkic (Ustawienia → Prywatność). Szkic to jednak tylko rusztowanie — co naprawdę musi się w takim dokumencie znaleźć na polskiej stronie firmowej, rozkładamy przy obowiązku informacyjnym.

Wtyczki: 68 815 w katalogu i dlaczego to nie jest dobra wiadomość

W oficjalnym katalogu WordPressa jest dziś 68 815 wtyczek — to liczba, którą zwraca jego własne API. Brzmi jak przewaga i bywa nią, ale ma drugą stronę: 91% podatności znalezionych w ekosystemie WordPressa dotyczy wtyczek, a nie rdzenia. Rozkład i jego konsekwencje rozbieramy przy aktualizacjach.

Stąd jedyna reguła, która naprawdę się liczy przy pierwszej konfiguracji: każda wtyczka to jedna rzecz więcej do aktualizowania i jedno miejsce więcej, którym można stronę zaatakować. Strona z pięcioma wtyczkami i strona z trzydziestoma to dwa różne poziomy ryzyka i dwa różne rachunki za utrzymanie, niezależnie od tego, jak sumiennie obie są pilnowane.

Przy typowej stronie firmowej brakuje po instalacji zwykle pięciu rzeczy i warto zacząć właśnie od nich:

• Formularz kontaktowy — bo bez niego strona nie zbiera zapytań.
• Kopie zapasowe — chyba że robi je hosting w sposób, który daje się odtworzyć.
• Podstawowe ustawienia SEO — tytuły, opisy i mapa witryny; co z tego faktycznie robi różnicę, opisujemy przy pozycjonowaniu.
• Pamięć podręczna, jeśli hosting nie ma własnej — wpływa na czas odpowiedzi serwera, czyli na Core Web Vitals.
• Ochrona logowania — ograniczenie prób i drugi składnik, opisane przy zabezpieczeniach.

Każdą kandydatkę sprawdza się w katalogu w trzydzieści sekund, po trzech rzeczach, które są tam podane przy każdej pozycji: liczba aktywnych instalacji, data ostatniej aktualizacji i wersja WordPressa, z którą wtyczka była testowana. Wtyczka bez aktualizacji od dwóch lat nie jest stabilna, tylko porzucona. Dla porównania: najpopularniejsze pozycje katalogu mają po ponad dziesięć milionów aktywnych instalacji i są testowane z bieżącym wydaniem rdzenia, którym dziś jest 7.1.1.

Jeszcze jedna rzecz, o którą nikt nie pyta przy instalacji, a która wraca po roku: wyłączona wtyczka to nie jest wtyczka usunięta. Nieaktywna nadal leży na serwerze, nadal ma swój kod i nadal bywa podatna; z listy znika dopiero po usunięciu. Przy porządkach warto więc usuwać, a nie dezaktywować — z jednym wyjątkiem: wtyczki, które przechowują dane (formularze, sklep, galerie), przy usunięciu potrafią zabrać je ze sobą, więc przed skasowaniem robi się kopię.

Osobna uwaga o kreatorach stron. Wtyczka do składania układu strony metodą przeciągnij i upuść to decyzja innej wagi niż formularz kontaktowy — zmienia sposób, w jaki powstaje każda podstrona, i trudno się z niej wycofać. Rozkładamy je w tekście o kreatorach i edytorach.

Komentarze. Świeży WordPress ma je włączone dla wszystkich nowych wpisów, a na stronie firmowej rzadko są potrzebne. Zostawione bez nadzoru zbierają spam, który trzeba ręcznie usuwać, a z czasem trafia do treści strony. W ustawieniach dyskusji można je wyłączyć domyślnie albo wymagać zatwierdzenia każdego komentarza; jedno i drugie zajmuje chwilę, a oszczędza cotygodniowego sprzątania.

Gdy coś nie działa zaraz po instalacji

Trzy rzeczy psują się najczęściej w pierwszych godzinach i wszystkie trzy mają prostą przyczynę.

Biała strona albo komunikat o krytycznym błędzie. Prawie zawsze to wtyczka albo szablon, który nie współpracuje z wersją PHP. WordPress wysyła wtedy na adres administratora link do trybu odzyskiwania, który wstrzymuje winny dodatek — to ten sam adres, który wpisywaliście w formularzu instalacyjnym. Co znaczą poszczególne kody błędów i kogo przy którym wołać, rozkładamy przy błędach serwera.

Strona główna działa, a podstrony pokazują „nie znaleziono". To klasyczny objaw zmiany struktury adresów na serwerze, który nie ma włączonej obsługi przyjaznych adresów. Zwykle wystarczy ponownie zapisać ustawienia adresów w panelu, a jeśli to nie pomaga — pytanie idzie do hostingu. Co jeszcze stoi za błędem 404 i kiedy warto go zostawić, opisujemy osobno.

Nie da się wejść do panelu. Jeśli przyczyną nie jest hasło, to zwykle wtyczka bezpieczeństwa, która zablokowała Wasz adres IP po kilku nieudanych próbach. Sprawdza się to z telefonu, na danych komórkowych; jeśli stamtąd strona działa, blokada jest po Waszej stronie łącza.

Wygląd: szablon to osobna decyzja

Po instalacji WordPress ma włączony jeden z domyślnych szablonów — w panelu nazywanych motywami — i to wystarczy, żeby zacząć pracę nad treścią. W katalogu jest ich 8 694, a wybór jest trudniejszy niż wybór wtyczek, bo szablon rozstrzyga nie tylko wygląd, ale też to, co zostanie, jeśli kiedyś go zmienicie.

Na potrzeby pierwszego kwadransa wystarczy jedna zasada: nie instalujcie szablonu razem z jego treścią demonstracyjną, dopóki nie wiecie, co jest czym. Import „strony jak na podglądzie" wgrywa komplet przykładowych stron, obrazków i ustawień, które potem trzeba rozróżnić od własnych. Szablonom poświęcamy osobny tekst, bo decyzja jest zbyt duża na akapit.

Zanim strona pójdzie na świat

Siedem rzeczy do odhaczenia. Żadna nie zajmuje więcej niż kilka minut, a każda wychodzi drożej, gdy zostanie pominięta:

1. Wersja PHP ustawiona na najwyższą dostępną w panelu hostingu.
2. HTTPS działa — adres z certyfikatem, bez ostrzeżenia w przeglądarce.
3. Struktura adresów ustawiona i sprawdzona na jednej podstronie.
4. Pole „nie indeksuj" wyłączone — to ten punkt, który znika z pamięci najszybciej.
5. Kopia zapasowa wykonana i raz odtworzona, żeby wiedzieć, że działa.
6. Automatyczne aktualizacje rdzenia włączone, wtyczki według rutyny, która nie psuje strony.
7. Formularz przetestowany prawdziwą wiadomością, a nie założeniem — i monitoring, który powie Wam o awarii przed klientem; co powinien sprawdzać, opisujemy przy monitoringu.

Do tego jedno narzędzie, które WordPress ma wbudowane i którego prawie nikt nie otwiera: Narzędzia → Stan witryny. Wypisuje problemy środowiska — starą wersję PHP, brakujące rozszerzenia, wyłączone aktualizacje — czyli dokładnie to, czego nie widać po stronie.

Czego w tym tekście świadomie nie ma

• Wyboru szablonu — osobny tekst, bo to osobna decyzja z własnymi kryteriami.
• Kreatorów i edytorów układu — kreatory stron i kreator strony internetowej jako usługa to inna rozmowa niż instalacja.
• Zabezpieczania strony po uruchomieniu — jak zabezpieczyć stronę.
• Rutyny aktualizacji — aktualizacja strony internetowej.
• Kosztów — ile kosztuje strona i jej utrzymanie, rozkładamy w dziale kosztowym.

Najkrótsze podsumowanie: instalacja jest łatwa, a rachunek wystawiają ustawienia zaraz po niej. Ustawcie wersję PHP i strukturę adresów, wyłączcie pole „nie indeksuj", wpiszcie własny adres e-mail administratora — i dopiero wtedy zabierzcie się za treść. Cztery rzeczy, kwadrans, a każda z nich naprawiana później kosztuje wielokrotnie więcej.