Dlaczego nie robimy stron na WordPressie

Ciężar, który dźwiga każda strona na WordPressie

Zacznijmy uczciwie: WordPress to dobre oprogramowanie. Powstał w 2003 roku jako system do prowadzenia bloga i w tej roli sprawdza się do dziś. Według W3Techs (otwiera się w nowej karcie) działa na nim 39,7% wszystkich stron w internecie i 58,4% tych, które korzystają z jakiegokolwiek systemu do zarządzania treścią. Taka popularność nie bierze się znikąd.

Kłopot zaczyna się wtedy, gdy na systemie do blogów stawia się stronę firmy, która ma sprowadzać klientów. Każda taka strona dźwiga trzy warstwy, których klient nie widzi, a za które płaci:

• System. Przy wejściu na stronę serwer uruchamia PHP, odpytuje bazę danych i dopiero wtedy składa stronę, nawet jeśli od miesiąca nic się na niej nie zmieniło. Pamięć podręczna to łagodzi, tyle że zwykle jest kolejną wtyczką.
• Motyw. Gotowy szablon, zaprojektowany tak, żeby pasował do tysięcy firm naraz. Często ładuje style i skrypty do funkcji, których Twoja strona w ogóle nie używa.
• Wtyczki. Formularz, SEO, galeria, kopie zapasowe, ochrona przed spamem, baner cookies. Każda to kod innej firmy, z własnymi skryptami, własnym rytmem aktualizacji i własnymi błędami.

Za ten ciężar płaci się codziennie, w trzech walutach: szybkością, bezpieczeństwem i czasem na utrzymanie. Policzmy każdą z nich.

Szybkość: liczby z milionów stron, nie z folderu

Google mierzy szybkość stron u prawdziwych użytkowników trzema wskaźnikami, które nazywa Core Web Vitals (otwiera się w nowej karcie). Pierwszy sprawdza, jak szybko pojawia się główna treść (LCP), drugi, jak szybko strona reaguje na dotknięcie (INP), a trzeci, czy nic nie przeskakuje w trakcie ładowania (CLS). Strona zalicza test, kiedy wszystkie trzy mieszczą się w progach Google.

Web Almanac 2025 (otwiera się w nowej karcie), coroczny raport HTTP Archive o stanie sieci, zestawił te wyniki dla popularnych systemów stron. Na telefonach test zalicza 85% stron zbudowanych na Duda i 79% na TYPO3. WordPress jest w tym zestawieniu wśród najsłabszych: 45%. Mediana wyniku Performance w Lighthouse, teście szybkości od Google, wynosi dla stron na WordPressie 41 na 100 na telefonie i 63 na komputerze.

Dla porównania: katalog SerianGroup, który zbudowaliśmy dla dystrybutora B2B, ma w Lighthouse wynik Performance 100/100. To pełny katalog ze sklepem, wyszukiwarką i dwiema wersjami językowymi, a nie wizytówka z jednym zdjęciem.

Skąd ta różnica

Najłatwiej zobaczyć ją w JavaScripcie, czyli w kodzie, który telefon musi pobrać, przetworzyć i uruchomić, zanim strona zacznie reagować na palec. Zestawiliśmy medianę z Web Almanac z dwiema naszymi stronami, zmierzonymi 16 października 2026 roku:

Mediana WordPressa pochodzi z Web Almanac 2025 i dotyczy telefonów. Nasze strony zmierzyliśmy tak samo: to suma plików JavaScript, które pobiera strona główna, po kompresji. v1agency.pl, z symulacją płynu pod każdym ekranem, pobiera prawie osiem razy mniej kodu niż przeciętna strona na WordPressie. Nie dlatego, że robi mniej. Dlatego, że nie ładuje niczego, czego nie używa.

Sekunda, która kosztuje klientów

Szybkość to nie konkurs dla programistów. Badanie Deloitte i agencji 55 (otwiera się w nowej karcie), zlecone przez Google, objęło 37 marek i ponad 30 milionów sesji. Kiedy strona na telefonie przyspieszała o 0,1 sekundy, sklepy notowały o 8,4% więcej konwersji, a klienci wydawali o 9,2% więcej. Na stronach zbierających zapytania do formularza docierało o 21,6% więcej osób.

Agencja Portent przeanalizowała ponad 100 milionów odsłon na 20 stronach i policzyła to samo dla B2B (otwiera się w nowej karcie): strona firmowa, która ładuje się w 1 sekundę, zamienia odwiedziny w zapytania trzy razy częściej niż ta, która ładuje się 5 sekund, i pięć razy częściej niż ta, która ładuje się 10.

Klient, który nie doczekał się strony, nie wyśle zapytania. Nie będzie komu odpisać.

Bezpieczeństwo: największy cel w internecie

Popularność ma swoją cenę. Skoro na WordPressie działają prawie cztery strony na dziesięć, jedna luka w popularnej wtyczce otwiera tysiące stron naraz. Automatyczne skanery przeczesują więc internet bez przerwy w poszukiwaniu adresów takich jak /wp-login.php i znanych podatności. Nie sprawdzają, czy strona należy do korporacji, czy do warsztatu z Konina.

Skalę pokazuje raport Patchstack (otwiera się w nowej karcie) o bezpieczeństwie WordPressa w 2025 roku:

• 11 334 nowe luki w ekosystemie WordPressa w ciągu roku, o 42% więcej niż w 2024,
• 91% z nich we wtyczkach, 9% w motywach, a w samym WordPressie tylko 6, i to mało groźnych,
• 46% luk nie miało poprawki w dniu, w którym zostały ujawnione,
• od ujawnienia luki do pierwszej próby jej wykorzystania mija w medianie 5 godzin.

Zwróć uwagę na proporcje. Sam WordPress jest dobrze pilnowany. Dziury robią się w tym, co się do niego dokłada, a każda wtyczka to kolejne drzwi, o których zamku decyduje ktoś inny. Prawie połowa luk nie ma poprawki w chwili ujawnienia, więc nawet właściciel, który instaluje każdą aktualizację w dniu wydania, bywa bezbronny. Na naprawę zostaje kilka godzin, a często nie ma czego instalować.

Co da się zaatakować u nas

Nasze strony to gotowe pliki: HTML, CSS, JavaScript i obrazy. Na serwerze nie ma PHP, który można oszukać, bazy danych, którą można wykraść albo podmienić, ani panelu logowania, w którym można zgadywać hasła. Bot, który puka pod /wp-login.php, dostaje to samo co każdy, kto pomyli adres:

$ curl -I https://v1agency.pl/wp-login.php
HTTP/2 404
content-type: text/html
strict-transport-security: max-age=31536000; includeSubDomains
x-content-type-options: nosniff
x-frame-options: DENY

$ curl -I https://v1agency.pl/xmlrpc.php
HTTP/2 404

$ curl -I https://v1agency.pl/wp-admin/
HTTP/2 404

Nie da się włamać do panelu, którego nie ma.

To nie znaczy, że nie ma czego pilnować. Zostają konta domeny i hostingu, formularz kontaktowy i kod, który piszemy sami. Zgłoszenia z formularza trafiają do Ciebie e-mailem, a nie do bazy danych na serwerze strony. Serwer wysyła przeglądarce nagłówki bezpieczeństwa, które widać powyżej. W sklepach płatności obsługuje Shopify, więc dane kart nigdy nie dotykają naszego kodu. To krótka lista, którą da się upilnować, zamiast cudzego kodu, którego nikt w Twojej firmie nigdy nie czytał.

„Ale na WordPressie mam panel”

To uczciwy argument. Panel WordPressa naprawdę pozwala zmienić tekst bez programisty. Zanim jednak zrobisz z niego główne kryterium wyboru, odpowiedz sobie na dwa pytania: co dokładnie zmieniasz i jak często.

W większości firm, z którymi rozmawiamy, treść strony zmienia się dwa, trzy razy w roku: nowy cennik, zdjęcia z nowych realizacji, inne godziny w wakacje. Za te kilka zmian rocznie firma płaci przez 365 dni wolniejszą stroną, aktualizacjami i ryzykiem z poprzedniego rozdziału. To jak kupić dźwig, żeby raz na kwartał przestawić szafę.

Dlatego dzielimy zmiany na rodzaje i każdy obsługujemy narzędziem, które do niego pasuje:

Drobne poprawki, takie jak korekta tekstu, robimy w ramach opieki technicznej i nie płacisz za nie osobno. Tak mówi § 7 naszego regulaminu. Piszesz jedno zdanie w mailu, zamiast szukać właściwego pola w panelu.

Gdy treść zmienia się codziennie

Inaczej jest w sklepie, gdzie ceny i stany zmieniają się co tydzień albo co godzinę. Tu panel jest naprawdę potrzebny, więc podłączamy taki, który zbudowano do tej jednej rzeczy. W katalogu SerianGroup nazwy produktów i ceny zmienia się w panelu Shopify. Karty produktów, katalog i koszyk pytają Shopify o aktualną cenę i stan przy każdym wejściu, a co sześć godzin strona sama przebudowuje się z nowymi danymi, razem z danymi strukturalnymi dla Google i modeli AI.

Właściciel dostaje panel do sprzedawania, a nie do pilnowania wtyczek. A strona zostaje szybka, bo panel nie siedzi w niej, tylko obok.

Co budujemy zamiast tego

Każdą stronę piszemy od zera, dla jednej firmy i jej klientów. Narzędzia dobieramy do zadania, a nie zadanie do narzędzi:

• Vite składa projekt w gotowe, skompresowane pliki. Do przeglądarki trafia tylko kod, którego strona naprawdę używa.
• Czysty JavaScript, bez frameworka, tam, gdzie strona jest stroną. Tak napisaliśmy v1agency.pl, razem z płynem, który porusza się za tym tekstem.
• React tam, gdzie strona jest aplikacją: katalog z wyszukiwarką, filtrami i koszykiem, taki jak SerianGroup.
• GSAP do animacji i ruchu prowadzonego przewijaniem.
• Cloudflare jako hosting. Pliki leżą w globalnej sieci serwerów, więc strona przychodzi do klienta z najbliższego miejsca.

Do tego każda podstrona jest gotowa w HTML-u, zanim uruchomi się jakikolwiek skrypt. Google i roboty AI czytają ją w całości, o czym piszemy więcej we wpisie o GEO. Tak wygląda pełna lista paczek, na których działa nasza strona:

"dependencies": {
  "@fontsource-variable/funnel-display": "^5.3.0",
  "@fontsource-variable/funnel-sans": "^5.3.0",
  "@fontsource-variable/martian-mono": "^5.3.0",
  "gsap": "^3.15.0",
  "lenis": "^1.3.26"
}

Strona na WordPressie działa na PHP, bazie danych, rdzeniu WordPressa, motywie i każdej z wtyczek, a każda z tych części ma własny rytm aktualizacji. U nas po wdrożeniu na serwerze zostają same pliki. Klient dostaje szybszą i bezpieczniejszą stronę, a tam, gdzie naprawdę potrzebuje panelu, panel zbudowany do tej jednej rzeczy.

Komu WordPress wystarczy, i to w zupełności

Nie każda strona musi być narzędziem sprzedaży. WordPress to dobry wybór, jeśli:

• prowadzisz bloga albo serwis z wiadomościami i publikujesz codziennie, często w kilka osób, z rolami, wersjami roboczymi i harmonogramem publikacji. Do tego WordPress powstał i robi to świetnie,
• potrzebujesz prostego portfolio albo strony hobbystycznej, masz mały budżet i chcesz wszystko robić samodzielnie,
• masz w firmie kogoś, kto będzie regularnie aktualizował system, wtyczki i kopie zapasowe, i wliczasz jego czas w koszt strony.

My budujemy dla innych firm. Dla tych, w których strona ma przynosić zapytania i zamówienia, gdzie liczy się każda sekunda ładowania i każda wiadomość wysłana w piątek o 21:47. Treść zmienia się tam rzadko, a sprzedaż trwa codziennie. Takiej firmie nie jest potrzebny edytor treści. Potrzebny jest handlowiec, który nie śpi, nie zwalnia i nie wpuszcza nikogo tylnymi drzwiami.

Sprawdź swoją stronę w 10 minut

Jeśli Twoja strona stoi na WordPressie, nie musisz niczego zmieniać od jutra. Zacznij od pomiaru:

1. Zmierz szybkość. Wklej adres do PageSpeed Insights (otwiera się w nowej karcie) i otwórz wyniki dla telefonu. Najpierw patrz na Core Web Vitals, czyli dane od prawdziwych użytkowników, a dopiero potem na wynik Performance.

2. Policz wtyczki. W panelu otwórz „Wtyczki” i sprawdź, ile ich jest, które są nieaktywne i kiedy każda dostała ostatnią aktualizację. Nieużywane usuń, a nie tylko wyłączaj: pliki wyłączonej wtyczki dalej leżą na serwerze.

3. Sprawdź luki. Wpisz nazwy swoich wtyczek w bazie podatności Patchstack (otwiera się w nowej karcie). Każda znana luka bez poprawki to otwarte drzwi.

4. Zajrzyj pod /wp-login.php. Jeśli pod tym adresem widzisz formularz logowania, widzą go też boty, które próbują haseł przez całą dobę.

5. Policz zmiany. Przypomnij sobie, ile razy w ostatnim roku coś na stronie się zmieniło. To odpowiedź na pytanie, czy panel jest Ci potrzebny na co dzień.

Jeśli wszystko wychodzi zielone, zostań przy swoim WordPressie. Jeśli nie, sprawdzimy to razem w darmowym audycie: szybkość strony, widoczność w Google i w odpowiedziach AI oraz to, jak szybko odpisujesz klientom.