Jeśli potrzebujesz wersję tej listy działającą lokalnie na komputerze czy telefonie, zapamiętującą zaznaczenia, bez możliwości śledzenia napisz do mnie.

CHECKLISTA ODBIORU I WDROŻENIA STRONY WWW

1. Aspekty prawno-organizacyjne

• Regulamin serwisu (dostępny dla użytkowników)
• Polityka prywatności (RODO compliant)
• Polityka obsługi cookies (z informacją o GDPR)
• Deklaracja dostępności (jeśli wymagana)
• Polityka haseł
• Prawa autorskie i licencje (weryfikacja pochodzenia treści, grafik, skryptów)
• Gwarancje od dostawcy (SLA, czasy reakcji na błędy)
• Wymagane prawem funkcjonalności udokumentowane
• Procedura rozliczalności i odpowiedzialności za błędy
• Instrukcja obsługi dla administratorów
• Procedury instalacji i odtworzenia
• Procedura wdrażania aktualizacji i łatek bezpieczeństwa
• Procedury odwołania dostępu w razie incydentu
• Dostępność dla osób z niepełnosprawnością (WCAG 2.1)

2. Bezpieczeństwo operacyjne

• Strategia backup 3-2-1 (3 kopie, 2 różne nośniki, 1 poza lokacją)
• Archiwizacja na nośnikach WORM (jeśli wymagana)
• Regularne testy odtworzeniowe
• DRP - Disaster Recovery Plan
• Zdefiniowane osoby kontaktowe (imiona, nazwiska, telefony)
• Lista zasobów (URLs, FTP, adresy backupów)
• Zestawienie loginów i haseł (bezpieczne przechowywanie!)

3. Zgodność regulacyjna

• Certyfikaty bezpieczeństwa dostawcy (jeśli wymagane)
• Audyty bezpieczeństwa (najnowsze z ostatniego roku)
• Procedury obsługi incydentów bezpieczeństwa
• Zgodność z dyrektywami UE (NIS2 - krajowy system cyberbezpieczeństwa)
• Dokumentacja CRA (Cyber Resilience Act) - od 2026 r.
• Dowody dokumentujące bezpieczeństwo produktu (testy, badania)
• Zobowiązanie do utrzymania bezpieczeństwa przez min. 5 lat

4. Testy funkcjonalne

• Walidacja wszystkich pól formularzy
• Obsługa błędów i komunikaty dla użytkownika
• Przesyłanie danych (bezpieczeństwo, poprawność)
• Wszystkie linki wewnętrzne działają
• Linki zewnętrzne otwierają się prawidłowo
• Menu i submenu działają poprawnie
• Brudne linki i 404-ki są obsłużone
• Logowanie działa prawidłowo
• Resetowanie hasła funkcjonuje
• Uprawnienia ról są egzekwowane (admin, redaktor, użytkownik)
• Sesje wygasają prawidłowo
• Strona wygląda identycznie do specyfikacji graficznej
• Wszystkie elementy CSS ładują się prawidłowo
• Brak błędów wizualnych (overlapping, zniekształcenia)
• Przepływ użytkownika jest logiczny
• Ścieżka zakupowa (jeśli dotyczy) działa bezproblemowo
• Szybkość ładowania strony jest akceptowalna
• Komunikaty systemowe są jasne
• Powiadomienia emailowe wysyłają się prawidłowo
• Obsługa błędów w czasem rzeczywistym
• Wyszukiwarka zwraca prawidłowe wyniki
• Filtry działają poprawnie
• Ścieżka breadcrumbs jest aktualna

5. Testy niefunkcjonalne / jakościowe

• Kompatybilność z przeglądarkami (Chrome, Firefox, Safari, Edge)
• Kompatybilność z czytnikami ekranu (dostępność dla niewidomych)
• Responsywność na urządzeniach mobilnych
• Działanie na różnych systemach operacyjnych
• Meta tagi (title, description) są ustawione
• Canonical tagi są prawidłowe
• Open Graph tagi dla social media
• Sitemap.xml jest obecna i prawidłowa
• robots.txt jest skonfigurowany
• Google Search Console setup
• Dane ustrukturyzowane (schema.org) jeśli wymagane
• Wymuszenie HTTPS (przekierowanie http → https)
• Nagłówki bezpieczeństwa są wdrożone (OWASP Secure Headers Project)
• Brak ujawniania danych po stronie wersji serwera/frameworka
• Brak możliwości directory listing
• Hasła są silne (min. 12 znaków, kombinacje znaków)
• SQL Injection - podatności zablokowane
• XSS - podatności zablokowane
• CSRF protection włączony
• Kontrast kolorów min. 4.5:1 dla tekstu zwykłego, 3:1 dla dużego
• Wszystkie obrazy mają tekst alternatywny
• Nagłówki mają poprawną hierarchię
• Formularze mają labele
• Obsługa klawiatury (Tab, Enter, Escape)
• Identyfikator fokusa widoczny
• Animacje nie migają więcej niż 3 razy na sekundę
• Czas ładowania strony zgodnie z założeniami z umowy
• Optymalizacja obrazów (kompresja, format, rozmiar)
• Minimalizacja CSS/JS
• Caching włączony
• CDN skonfigurowany (jeśli wymagane)
• API integracji działają prawidłowo
• Płatności (jeśli dotyczy) działają
• Poczta elektroniczna wysyła się
• Logowania przez systemy zewnętrzne działają (Keycloak, Linked.in, Facebook,...)
• Mapy i embedded content ładują się
• Sprawdzenie ortografii i gramatyki
• Kompletne tłumaczenia (jeśli strona wielojęzyczna)
• Konsystencja terminologii

6. Kompletność i spójność

• Wszystkie moduły i komponenty są obecne
• Wszystkie teksty mają odpowiednie formatowanie
• Brak placeholderów tekstów i grafik ("Lorem ipsum", "[TODO]")
• Wszystkie potrzebne obrazy są obecne
• Ikony brandingu i logotypy mają pola ochronne
• Grafiki dofinansowania (np. UE, ministerstwa) są prawidłowe
• Wszyscy autorzy/współautorzy są uwzględnieni (jeśli wymagane)
• Całość strony zgadza się z wersją roboczą/designem
• Układ (layout) jest spójny na wszystkich stronach
• Kolory zgodne z brandingiem
• Ścieżka użytkownika (np. rejestracja → zakup) jest kompletna
• Wszystkie warianty scenariuszy działają
• Brak „martwych" gałęzi w funkcjonalności

7. Bezpieczeństwo operacyjne WordPress

• Buttony – brak krytycznych błędów
• Zalecane ulepszenia przejrzane i wdrożone
• Wtyczki są aktualne i kompatybilne
• Wyłączone wtyczki usunięte
• Nieużywane motywy usunięte
• Dane testowe (wersja developerska) usunięte
• Domyślny post "Hello World!" i komentarz do niego usunięty
• Uncategorized kategoria usunięta lub przetłumaczona
• Cache obiektu włączony
• Cache strony (page cache) skonfigurowany
• Ustawianie cache w nagłówkach HTTP
• Tylko niezbędni użytkownicy mają dostęp
• Admin, redaktor, serwisant (wykonawca) – role zdefiniowane
• Silne hasła dla wszystkich kont
• Polityka nadawania/przywracania dostępu wdrożona
• Brak domyślnego użytkownika "admin"
• Endpointy API zabezpieczone lub wyłączone

8. Konfiguracja serwera

• HTTPS wymuszony (HTTP → HTTPS 301)
• Certyfikat SSL aktualny i poprawnie zainstalowany
• Subdomeny przekierowują się poprawnie (www. vs. bez www.)
• Directory listing wyłączony (Options -Indexes w .htaccess)
• Wersje Serwera, PHP, frameworku,... nie ujawniane
• Konta księgowe, redakcyjne i techniczne oddzielone
• Dostęp admin ograniczony do sieci wewnętrznej lub zaufanych adresów IP
• Wszystkie usługi nieszyfrowane wyłączone
• Access control na poziomie serwera/hostingu (nie tylko wtyczkami)
• .htaccess skonfigurowany prawidłowo
• wp-config.php skonfigurowany prawidłowo
• wp-config.php nie jest dostępny z sieci
• Zawartość functions.php przejrzana (brak backdoorów)
• robots.txt jest obecny i prawidłowy
• sitemap.xml jest dostępny
• favicon.ico jest skonfigurowany
• .well-known/security.txt (opcjonalnie, dla security researchers)
• humans.txt (jeśli chcesz pokazać autorów, lub wskazać inne informacje)

9. Obsługa cookies

• Cookie banner widoczny przy pierwszej wizycie
• Wyraźna informacja o używanych cookies
• Łatwy dostęp do polityki cookies
• Możliwość zmiany preferencji cookies w dowolnym momencie
• Cookies niezbędne (essential) ładują się bez zgody
• Brak zapisu cookies (no essential) przed wyrażeniem zgody
• Cookies śledzące/analityczne wymagają zgody
• Flagi cookies są prawidłowe (httpOnly, sameSite, isSecure)
• Czas wygaśnięcia cookies jest rozsądny
• Brak cookies zawierających dane osobowe (RODO)

10. Integracje i zewnętrzne usługi

• Google Analytics / Matomo zainstalowany
• Google Search Console skonfigurowany
• Monitoring dostępności strony (uptime monitoring)
• Monitoring bezpieczeństwa włączony
• OAuth / SSO skonfigurowany (jeśli dotyczy)
• API klucze przechowywane bezpiecznie (zmienne środowiskowe)
• Refresh tokeny działają prawidłowo
• Skonfigurowane dostarczanie poczty (SMTP)
• Newsletter (jeśli jest) - GDPR compliant
• Znaczniki Open Graph dla social media (jeśli wymagana)
• Integracja z mapami (jeśli wymagana)

11. Dokumentacja

• Instrukcja obsługi CMS
• Przewodnik użytkownika
• FAQ i podpowiedzi
• Dokumentacja architektoniczna
• Lista zainstalowanych wtyczek i ich funkcje
• Procedury backupu i odzyskania
• Kontakty awaryjne/kryzysowe do hostingu, wykonawcy, administratora,...
• Procedury awaryjne/kryzysowe

12. Finalne sprawdzenia

• Strona otwiera się bez błędów w konsoli przeglądarki
• Brak błędów JavaScript w DevTools
• Brak 40x, 50x na stronie
• Strona wygląda dobrze na mobilu, tablecie i desktopie
• Lighthouse score > 80 (idealna > 90)
• Core Web Vitals poprawne
• Czas ładowania strony < 2 sec
• SSL report: A+ w SSL Labs
• OWASP Top 10 vulnerabilities sprawdzone
• Security headers validator sprawdzone