Stanisław Fekete
ENZacznij

Strona kancelarii w Google: demo motywu, stary WordPress i formularz z załącznikami. Co sprawdzić

Stanisław Fekete — projektant i programista · ostatnio sprawdzone

Strona kancelarii traci klientów częściej przez technikę niż przez wygląd. Zaindeksowane demo motywu, WordPress bez aktualizacji od lat, formularz, który przyjmuje pliki i nie wiadomo, czy dostarcza wiadomości, albo błąd serwera, który widzi robot Google. Każdą z tych rzeczy sprawdzisz sam w kilka minut, bez dostępu do panelu.

Koszt pomyłki jest cichy. Strona wygląda dobrze na komputerze wspólnika, a klient, który szuka kancelarii w Google, trafia na angielską podstronę z szablonu albo na ekran błędu. Nie dzwoni. Nikt w kancelarii się o tym nie dowiaduje.

Ten poradnik dotyczy techniki, nie treści. Co i w jakiej formie kancelaria może o sobie komunikować, określa samorząd: dla adwokatów Zbiór Zasad Etyki Adwokackiej i Godności Zawodu, dla radców prawnych Kodeks Etyki Radcy Prawnego (art. 31 i nast. — informowanie o wykonywaniu zawodu). Teksty na stronie sprawdzaj z tymi źródłami, nie z wykonawcą strony.

src · Naczelna Rada Adwokacka: etyka adwokacka

src · KIRP: Kodeks Etyki Radcy Prawnego i Regulamin wykonywania zawodu

Jak to rozpoznać samemu

Każdy punkt to minuta lub dwie. Wystarczy przeglądarka.

  • Wpisz w Google site: i swoją domenę. Przejrzyj wyniki. Podstrony po angielsku, przykładowe sprawy, nazwiska spoza zespołu to demo motywu, które trafiło do indeksu razem ze stroną.
  • Otwórz mapę strony. W WordPressie zwykle pod adresem /wp-sitemap.xml, w innych systemach /sitemap.xml. Sprawdź dwie rzeczy: czy są w niej adresy, których kancelaria nigdy nie tworzyła, i czy jest w niej strona główna oraz podstrony usług.
  • Poszukaj wpisu Witaj, świecie! albo Hello world!. To domyślny wpis WordPressa. Jeśli wisi na stronie, nikt po instalacji nie przejrzał tego, co system opublikował sam.
  • Sprawdź wersję WordPressa. W źródle strony (Ctrl+U) szukaj słowa generator albo ver=. Porównaj z aktualną wersją na wordpress.org. Oficjalnie wspierana jest tylko najnowsza; starsze gałęzie dostają poprawki bezpieczeństwa wyłącznie z uprzejmości zespołu i do czasu.

src · WordPress Security Team: wspierana jest tylko najnowsza wersja

  • Wpisz adres z http:// zamiast https://. Strona powinna sama przejść na https://. Jeśli przeglądarka pokazuje „Niezabezpieczona”, to samo dotyczy formularza i panelu logowania.
  • Wyślij sobie wiadomość przez formularz, z załącznikiem. Sprawdź, czy doszła, czy doszedł plik i czy nie trafiła do spamu. Formularz, który nie dostarcza poczty, nie zgłasza błędu nikomu.
  • Zajrzyj do Google Search Console, raport „Strony”. Pozycja „Błąd serwera (5xx)” oznacza, że robot Google dostaje błąd zamiast treści. Bez Search Console poproś wykonawcę o kod odpowiedzi strony głównej.
  • Spróbuj zaznaczyć myszą tekst polityki prywatności. Jeśli się nie da, to obrazek. Nie przeczyta go ani Google, ani czytnik ekranu.

Co zrobić

  1. Zrób pełną kopię plików i bazy danych. Przed każdą inną zmianą, także przed aktualizacją.
  2. Ustal, kto ma dostępy. Domena, hosting, poczta, panel WordPressa. Jeśli hasła ma tylko dawny wykonawca, to jest pierwszy problem do rozwiązania.
  3. Usuń demo motywu. Skasuj podstrony z szablonu, a ich adresy niech zwracają 410 albo przekierowanie 301 na odpowiadającą stronę kancelarii. Samo noindex zostawia te strony na serwerze, dostępne dla każdego, kto ma link. Adresy z kodem 404 lub 410 Google usuwa z indeksu.

src · Google Search Central: kody HTTP a indeksowanie

  1. Zaktualizuj rdzeń, motyw i wtyczki — najpierw na kopii. Wtyczkę, której autor nie wydał poprawki od lat, wymień, zamiast czekać. Wtyczki formularzy miewały podatności właśnie w obsłudze wgrywanych plików.

src · GitHub Advisory: podatność wtyczki formularza przy wgrywaniu plików

  1. Zdecyduj, czy formularz ma przyjmować załączniki. Jeśli nie są potrzebne, wyłącz je. Jeśli są: ogranicz typy i rozmiar plików, nie trzymaj ich w publicznym katalogu, ustal, kto ma do nich dostęp i jak długo leżą. W formularzu kancelarii trafiają opisy spraw i dokumenty klientów. Za ich zabezpieczenie odpowiada administrator danych.

src · RODO, art. 32 — bezpieczeństwo przetwarzania

  1. Wysyłaj pocztę z formularza przez serwer pocztowy domeny. Wtyczka wysyłająca wiadomości bez uwierzytelnionego serwera SMTP to częsta cicha awaria. Po zmianie powtórz test z punktu o formularzu.
  2. Gdy strona leży, postaw stronę zastępczą. Adres, telefon, e-mail i kod 503 zamiast 500. Adresy, które uporczywie zwracają błąd serwera, Google usuwa z indeksu; 503 mówi mu, że to przerwa.

src · Google Search Central: błędy 5xx a indeks

  1. Włącz monitoring dostępności. Powiadomienie na telefon albo e-mail, gdy strona przestaje odpowiadać. Awaria, o której kancelaria dowiaduje się od klienta, trwa już za długo.

Co widać na stronach kancelarii

Poniższe wzorce pochodzą ze sprawdzonych przeze mnie stron kancelarii. Opisuję je bez cech, po których dałoby się rozpoznać firmę.

Na jednej ze stron mapa witryny wystawiała do Google wyłącznie podstrony z demo motywu: angielskie opisy spraw i członków zespołu, których kancelaria nigdy nie miała. Strony głównej ani podstron usług w mapie nie było. W wynikach jednej z wyszukiwarek z całej domeny widać było kilka adresów i większość z nich pochodziła z demo. Dla wyszukiwarki to była anglojęzyczna strona o sprawach, których kancelaria nie prowadzi.

Na innej każdy adres obsługiwany przez WordPressa zwracał błąd 500, także robotowi Google. Obrazki i style ładowały się normalnie: serwer działał, padała aplikacja. Rdzeń WordPressa i wtyczki nie były aktualizowane od lat, choć ktoś wciąż edytował treść. Formularz nie działał, a zapytania przepadały bez śladu. Od kiedy — nie dało się ustalić, bo nikt strony nie monitorował.

Na jeszcze innej formularz przyjmował pliki PDF i Word, z zaznaczeniem zgody RODO. Nie było wiadomo, czy wiadomości w ogóle dochodzą: poczta szła bez uwierzytelnionego serwera. Zapytania i tak przychodziły głównie telefonicznie, a formularz dalej zbierał dokumenty.

We wszystkich trzech przypadkach problem był niewidoczny z komputera w kancelarii. Widać go było dopiero z zewnątrz: w wyszukiwarce, w kodzie odpowiedzi, w teście wysyłki.

Jeśli chcesz, żebym przeszedł tę listę na stronie Twojej kancelarii, napisz do mnie.