Jak bezpiecznie zaktualizować WordPress: poradnik krok po kroku

Wiele stron na WordPressie nie jest aktualizowanych miesiącami, bo właściciel boi się, że po kliknięciu „Aktualizuj” wszystko przestanie działać. Ten strach ma uzasadnienie, ale brak aktualizacji jest groźniejszy: nieaktualne wtyczki i motywy to jedna z najczęstszych dróg, którymi wchodzą atakujący. Według raportu Patchstack za 2025 rok 91% nowych luk w ekosystemie WordPressa dotyczyło wtyczek, 9% motywów, a w samym rdzeniu znaleziono ich tylko 6.

Pokażę Ci, jak bezpiecznie zaktualizować WordPressa w spokojnej kolejności, z kopią i planem awaryjnym. Na końcu dostajesz listę kontrolną na 15 minut, którą możesz wydrukować i trzymać przy komputerze.

Dlaczego aktualizacje psują strony

WordPress to rdzeń, motyw i zwykle kilkanaście wtyczek, pisanych przez różnych autorów. Każda aktualizacja zmienia jeden element, a pozostałe muszą się z nim dogadać. Najczęstsze przyczyny awarii:

• wtyczka niezgodna z nową wersją rdzenia lub PHP,
• motyw, który nadpisuje funkcje wtyczki (szczególnie stary, kupiony kilka lat temu),
• zmiany zrobione bezpośrednio w plikach motywu, które znikają po aktualizacji,
• zbyt wiele zmian naraz, przez co nie wiadomo, co zepsuło stronę.

Wszystkie te ryzyka da się ograniczyć przygotowaniem. Zaczynamy od kopii.

Krok 1: zrób kopię plików i bazy danych

Kopia zapasowa strony to dwie rzeczy: pliki (motyw, wtyczki, zdjęcia z biblioteki mediów) i baza danych (treści, ustawienia, zamówienia). Brak jednej z nich oznacza, że przywrócenie się nie uda.

Gdzie ją zrobić:

1. U hostingu. Wiele firm hostingowych robi kopie automatycznie. Sprawdź w panelu, z którego dnia jest ostatnia i jak ją przywrócić.
2. Wtyczką do kopii. Wiele wtyczek zapisuje kopię na zewnętrznym dysku w chmurze. To ważne, bo kopia na tym samym serwerze może zniknąć razem ze stroną.
3. Ręcznie. Pobierz pliki przez FTP, a bazę wyeksportuj w panelu hostingu.

Przed większą aktualizacją zrób świeżą kopię, nawet jeśli hosting robi codzienną. I jedna ważna zasada: kopia, z której nikt nigdy nie próbował przywrócić strony, jest tylko nadzieją. Przynajmniej raz sprawdź, czy da się z niej odtworzyć stronę.

Krok 2: przetestuj na kopii testowej

Kopia testowa (po angielsku staging) to dokładna kopia strony pod innym, ukrytym adresem. Aktualizujesz ją najpierw tam, sprawdzasz, czy wszystko działa, i dopiero potem powtarzasz zmiany na stronie głównej.

Część hostingów ma to w panelu jako gotową funkcję, choć nie zawsze we wszystkich pakietach. Zajrzyj w ofertę swojego dostawcy i poszukaj nazwy „staging”, „środowisko testowe” albo „klonowanie strony”. Jeśli Twój hosting tego nie ma, istnieją wtyczki, które tworzą kopię testową w podkatalogu.

Przy zwykłej stronie wizytówkowej możesz to pominąć, jeśli masz dobrą kopię. Przy sklepie, rezerwacjach i płatnościach kopia testowa to konieczność: błąd w kasie kosztuje realne zamówienia.

Krok 3: aktualizuj we właściwej kolejności

Kolejność ma znaczenie. Ja trzymam się takiej:

1. Wtyczki, jedna po drugiej, nie wszystkie naraz.
2. Motyw (i motyw potomny, jeśli go używasz).
3. Rdzeń WordPressa.
4. Wersja PHP na serwerze, jeśli hosting ją podnosi (o tym niżej).

Po każdej aktualizacji otwórz stronę główną, jedną podstronę i formularz kontaktowy. To zajmuje minutę, a jeśli coś pęknie, wiesz dokładnie, która zmiana jest winna. Aktualizowanie wtyczek pojedynczo to najprostsza metoda szukania usterek. Jeśli przy wtyczce zobaczysz komunikat „Aktualizacja nie zadziała z używaną wersją WordPressa”, wróć do niej po aktualizacji rdzenia.

Przed aktualizacją rdzenia przeczytaj, co zmienia nowa wersja. W panelu pod Kokpit → Aktualizacje zobaczysz, czy WordPress wymaga nowszej wersji PHP i czy któraś wtyczka jest oznaczona jako niesprawdzona z tą wersją.

Krok 4: PHP, czyli cichy winowajca

Wiele awarii bierze się nie z samego WordPressa, tylko ze zmiany wersji PHP na serwerze. Starsze wtyczki bywają niezgodne z nowszym PHP, a nowszy WordPress może wymagać nowszego PHP, niż masz. Wersję znajdziesz w panelu WordPressa w Narzędzia → Stan witryny, w zakładce „Informacja” (sekcja „Serwer”).

Według wordpress.org aktualny WordPress (w październiku 2026 roku wersja 7.1) wymaga co najmniej PHP 7.4, a zalecane jest PHP 8.3 lub nowsze. Wersje PHP dostępne u hostingu sprawdzisz w jego panelu. Więcej o tym, dlaczego stare PHP jest problemem, piszę w poradzie PHP 8.2 i koniec wsparcia: sprawdź swoją stronę. Zmieniaj PHP osobno od aktualizacji WordPressa, najlepiej na kopii testowej.

Automatyczne aktualizacje: co włączyć, a co nie

WordPress sam instaluje drobne wersje rdzenia, czyli głównie poprawki bezpieczeństwa. To dobre ustawienie domyślne i nie radzę go wyłączać. Uwaga na duże wersje: w instalacjach założonych od WordPressa 5.6 (grudzień 2020 roku) one też domyślnie instalują się same. Sprawdzisz to w Kokpit → Aktualizacje. Napis „Witryna jest automatycznie aktualizowana dla każdej nowej wersji WordPressa” oznacza, że duże wersje wchodzą automatycznie, a link pod nim przełącza aktualizacje na same wydania konserwacyjne i poprawki bezpieczeństwa. Wtyczki i motywy domyślnie wymagają Twojego kliknięcia, ale możesz włączyć dla nich aktualizacje automatyczne linkiem „Włącz automatyczne aktualizacje”, osobno przy każdej wtyczce (w Wtyczki) i przy motywie (w Wygląd → Motywy).

Moja zasada:

Jeśli ktoś ma wyłączyć aktualizacje rdzenia całkowicie, to tylko świadomie i z planem ręcznych aktualizacji co tydzień.

Co zrobić, gdy strona padnie

Nawet przy dobrym przygotowaniu zdarza się awaria. Najpierw spokojnie, bez klikania na oślep. Plan awaryjny:

1. Sprawdź pocztę administratora. Gdy wtyczka lub motyw wywoła błąd krytyczny, WordPress wysyła na administracyjny adres e-mail (z Ustawienia → Ogólne) wiadomość z linkiem do trybu odzyskiwania, o ile serwer wysyła maile. W panelu ten tryb nazywa się „trybem awaryjnym”, a link jest domyślnie ważny przez dobę. Po zalogowaniu przez niego wadliwa wtyczka jest wstrzymana tylko w Twojej sesji, więc wyłącz ją albo zaktualizuj w panelu. Do tego czasu odwiedzający nadal widzą błąd.
2. Wyłącz ostatnio aktualizowaną wtyczkę. Jeśli nie wejdziesz do panelu, połącz się przez FTP lub menedżer plików i zmień nazwę jej folderu w wp-content/plugins, na przykład dopisując -wylaczona. WordPress przestanie ją ładować.
3. Włącz podgląd błędów. W pliku wp-config.php możesz tymczasowo zapisać komunikaty do dziennika:

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Błędy znajdziesz w pliku wp-content/debug.log. Po naprawie przestaw WP_DEBUG na false i usuń plik debug.log, bo domyślnie leży w katalogu dostępnym z internetu i może zdradzać szczegóły strony.

4. Przywróć kopię. Jeśli po 30 minutach nadal nie wiesz, w czym rzecz, nie walcz dalej. Przywróć kopię z dnia sprzed aktualizacji i spróbuj ponownie na kopii testowej.
5. Zapisz, co się stało. Nazwa wtyczki i komunikat błędu przydadzą się Tobie albo osobie, która Ci pomoże.

Warto mieć w telefonie numer do wsparcia hostingu. Często potrafią przywrócić kopię w kilka minut.

Wtyczki porzucone przez autorów

Największe ryzyko to wtyczki, które nie dostały aktualizacji od lat. Nie zawsze sprawiają kłopot od razu, ale nie dostają łatek bezpieczeństwa, a z czasem przestają działać z nowym PHP.

Jak je znaleźć:

• w Kokpit → Aktualizacje zobacz, czy przy wtyczkach czekających na aktualizację nie ma dopisku „Nie sprawdzono” w zgodności z Twoją wersją WordPressa, a w Wtyczki kliknij „Zobacz szczegóły” i sprawdź, czy nie ma ostrzeżenia, że wtyczka nie została przetestowana z używaną wersją WordPressa,
• w katalogu wtyczek na wordpress.org sprawdź datę ostatniej aktualizacji,
• usuń wtyczki, których już nie używasz. Wyłączona wtyczka nadal leży na serwerze i nadal może mieć lukę.

Gdy wtyczka jest ważna, a autor zniknął, poszukaj zamiennika i wymień ją na kopii testowej. Jeśli cała strona opiera się na przestarzałym motywie i kilkunastu porzuconych dodatkach, taniej bywa zrobić modernizację strony, niż łatać ją co miesiąc.

Lista kontrolna na 15 minut przed aktualizacją

Wydrukuj i odhaczaj przed każdą większą aktualizacją:

1. Kopia pełna (pliki i baza) zrobiona dzisiaj i zapisana poza serwerem.
2. Wiem, jak ją przywrócić i do kogo zadzwonić w hostingu.
3. Sprawdzone w Kokpit → Aktualizacje, co dokładnie będzie aktualizowane.
4. Sprawdzona wersja PHP (Narzędzia → Stan witryny) i wymagania nowej wersji.
5. Dla sklepu i rezerwacji: aktualizacja najpierw na kopii testowej.
6. Wyłączone lub usunięte wtyczki, których nie używam.
7. Aktualizacja w kolejności: wtyczki → motyw → rdzeń, jedna zmiana naraz.
8. Po każdej zmianie sprawdzone: strona główna, podstrona, formularz kontaktowy, a w sklepie dodanie do koszyka.
9. Po wszystkim wykonany test zamówienia lub rezerwacji, jeśli je masz.
10. Zapisana data i lista zmian w notatce.

Termin najlepiej wybrać na wtorek albo środę rano, nie w piątek po południu. Gdy coś się zepsuje, masz cały dzień roboczy na naprawę.

Jak sprawdzić, w jakim stanie jest Twoja strona

Jeśli nie wiesz, czy Twoja strona jest już zaniedbana, zacznij od darmowego narzędzia Zbadaj stronę. W 30 sekund sprawdza szybkość, SEO, bezpieczeństwo i inne obszary, a wynik pokazuje, co wymaga poprawy w pierwszej kolejności. Nie zastąpi to przeglądu panelu WordPressa, ale pokaże od razu widoczne problemy.

Podsumowanie

Bezpieczna aktualizacja to kopia, kopia testowa tam, gdzie to ważne, właściwa kolejność i plan na wypadek awarii. Strach przed kliknięciem znika, gdy wiesz, jak cofnąć zmiany.

Jeśli nie chcesz zajmować się tym samodzielnie, przejmę aktualizacje w ramach opieki technicznej: kopie, aktualizacje i szybka reakcja od 149 zł netto miesięcznie. Możesz też napisać do mnie, a odpowiem w 24 godziny.