Key Takeaways

• Web sajt i web shop nisu završeni proizvodi. Oni zavise od CMS-a, PHP-a, baze, pluginova, tema, hostinga, sertifikata i spoljnih servisa koji se menjaju i zastarevaju.
• Bezbedno ažuriranje nije klik na dugme “Update”. Ono podrazumeva proveru kompatibilnosti, backup, staging okruženje, test ključnih funkcija i spreman rollback plan.
• Sajt može da izgleda normalno, a da ne šalje upite, gubi porudžbine, pogrešno meri kampanje, servira spam Googlebotu ili ima skriveni administratorski nalog napadača.
• Kod web shopa održavanje direktno štiti prihod. Checkout, kartično plaćanje, zalihe, kuponi, transakcioni emailovi i integracije moraju da se proveravaju, a ne da se podrazumevaju.
• Kada se incident već desi, hitna intervencija je skoro uvek skuplja od preventivnog rada. Uz to dolaze zastoj, izgubljeno poverenje, trošak oglašavanja i mogući problem sa ličnim podacima.
• Održavanje danas utiče i na AI visibility. Sadržaj koji nije dostupan botovima, nema ispravnu strukturu ili se sporo i nepouzdano učitava teže ulazi u klasičnu i AI pretragu.

Sajt koji radi danas može da ne radi sutra

Najopasnija rečenica u vezi sa web sajtom glasi: “Ne diraj ništa, sada radi.” Ona zvuči razumno sve dok ne shvatite da se i bez vašeg dodira oko sajta svakodnevno menjaju PHP, WordPress, WooCommerce, pluginovi, browseri, API servisi, pravila payment gateway sistema, bezbednosni potpisi, Google zahtevi i infrastruktura hostinga. Sajt nije štampani katalog postavljen na internet. To je mali softverski sistem koji stalno komunicira sa drugim sistemima.

Zato redovno održavanje web sajta nije estetsko doterivanje niti povremena izmena telefonskog broja u footeru. To je kontinuirana kontrola da li je sajt dostupan, bezbedan, brz, kompatibilan i poslovno funkcionalan. Kod web shopa je ulog još veći, jer tehnička greška može da zaustavi naplatu dok reklame i dalje troše budžet.

O osnovama smo već pisali u Joombooz vodiču Zašto je redovno održavanje web sajta ili web shopa važno za svako ozbiljno poslovanje. Ovde idemo korak dalje: šta se zaista plaća, šta se dešava kada održavanja nema i kako izgleda oporavak kada tehnološki dug konačno dođe na naplatu.

Šta redovno održavanje web sajta stvarno obuhvata

Ako ponuda za održavanje sadrži samo stavku ažuriranje WordPressa i pluginova, ona je nepotpuna. Ažuriranje je važan deo posla, ali samo jedan deo. Ozbiljna usluga treba da obuhvati najmanje sledeće slojeve.

Zvanična WordPress dokumentacija o backup kopijama podseća na detalj koji se u praksi često previdi: za potpun oporavak potrebni su i fajlovi i baza podataka. WordPress preporučuje redovne kopije, čuvanje više poslednjih verzija na različitim lokacijama i proveru automatskog procesa. Drugim rečima, nije dovoljno da hosting panel prikazuje zelenu ikonicu pored reči backup.

Klik na Update nije isto što i održavanje

WordPress smernice za ažuriranje preporučuju najnoviju verziju sistema i backup pre promene. To ne znači da svaku novu verziju treba bez provere pustiti direktno na produkcioni sajt u radno vreme. Profesionalni postupak obično ide ovim redom: pravi se sveža kopija, proverava se changelog, testira se kompatibilnost na staging okruženju, ažuriraju se komponente kontrolisanim redosledom, a zatim se ručno proveravaju stranice i funkcije od kojih firma zavisi.

Za običan prezentacioni sajt test uključuje makar početnu stranicu, navigaciju, forme, pretragu, prikaz na telefonu i slanje emaila. Kod WooCommerce prodavnice spisak je duži: proizvod, varijacije, korpa, kupon, obračun dostave, porez, checkout, svaki način plaćanja, potvrda porudžbine, umanjenje zalihe i eventualna veza sa knjigovodstvom ili kurirskom službom.

Automatska ažuriranja mogu biti korisna, posebno za bezbednosne zakrpe, ali nisu zamena za nadzor. Ako se plugin ažurira u tri ujutru i prekine checkout, sistem mora da registruje problem, a neko mora da zna kako da vrati prethodnu stabilnu verziju. U suprotnom ste samo automatizovali kvar.

Šta se događa kada održavanja nema

Većina problema ne počinje dramatično. Nema crnog ekrana, nema poruke hakera i nema eksplozije servera. Prvo se pojave male pukotine koje vlasnik ne vidi jer sajt otvara samo sa svog računara i već učitanog cache-a.

Forme prestanu da šalju poruke

Kontakt stranica izgleda potpuno ispravno, korisnik dobije poruku da je upit poslat, ali email nikada ne stigne prodaji. Razlog može biti promena SMTP pravila, istek API ključa, neusklađen plugin ili loša DNS autentifikacija. Firma tada ne zna da gubi potencijalne kupce. Bez testnog slanja i monitoringa nema ni alarma.

Web shop prima posete ali ne i novac

Dovoljna je greška u JavaScript-u da dugme za plaćanje ne reaguje na određenom telefonu. Dovoljna je promena u payment gateway API-ju da transakcija padne tek na poslednjem koraku. Dovoljno je da se WooCommerce, tema i dodatak za dostavu više ne slažu oko verzije PHP-a. Analytics će možda pokazivati posete i dodavanje u korpu, ali stvarni kupac odlazi kod konkurencije.

Brzina se kvari polako

Baza raste, cron poslovi se gomilaju, slike se postavljaju bez optimizacije, pluginovi dodaju nove skripte, a cache služi zastarele ili pogrešne verzije stranica. Google definiše Core Web Vitals kao metrike realnog korisničkog iskustva za učitavanje, odziv i vizuelnu stabilnost. Preporučene granice su LCP do 2,5 sekunde, INP ispod 200 milisekundi i CLS ispod 0,1, što je detaljno objašnjeno u Google vodiču za Core Web Vitals. Te brojke nisu jedini faktor rangiranja, ali predstavljaju vrlo konkretan signal da li sajt nervira korisnika.

Skriveni SEO spam jede reputaciju domena

Napadač ne mora da obori početnu stranicu. Isplativije mu je da doda hiljade stranica za lažne lekove, kazino, kripto prevare ili phishing, a da vlasniku i dalje prikazuje normalan sajt. Takvi napadi koriste cloaking, skrivene administratore, izmenjene sistemske fajlove i backdoor pristup. Zbog toga vizuelna provera nije dovoljna. Na ITNetwork.rs smo objavili poseban vodič Kako proveriti da li je WordPress sajt već kompromitovan sa simptomima koje klasičan pregled često ne otkriva.

Tracking i oglašavanje počnu da lažu

Izmena banera za kolačiće, teme ili checkouta može da prekine Google Analytics, Meta Pixel, conversion API ili Google Ads tag. Kampanja tada možda i dalje dovodi kupce, ali algoritam više ne dobija signal o kupovini. Posledica nije samo loš izveštaj. Platforma počinje da optimizuje oglase na osnovu nepotpunih podataka, pa svaki sledeći dan može biti skuplji od prethodnog.

Domen, sertifikat i licence isteknu u najgorem trenutku

Istek domena može da obori web i email. Problem sa SSL sertifikatom prikazuje bezbednosno upozorenje. Istek licence premium plugina ne mora odmah da ugasi funkciju, ali može da prekine ažuriranja baš kada se otkrije ozbiljna ranjivost. Održavanje podrazumeva kalendar ovih zavisnosti, a ne oslanjanje na poruku koja možda završi u spam folderu bivšeg zaposlenog.

Zastareo PHP je problem koji se ne rešava jednim klikom

PHP ima jasan životni ciklus. Prema zvaničnoj stranici PHP Supported Versions, svaka grana dobija dve godine aktivne podrške, zatim još dve godine samo kritičnih bezbednosnih ispravki, posle čega ulazi u end of life status. U septembru 2026. PHP 8.2 je već samo u režimu security fixes i podrška mu ističe krajem godine, dok su 8.4 i 8.5 aktivne grane. Sajt na zastareloj verziji možda radi, ali ostaje bez ispravki i vremenom blokira prelazak na novije verzije WordPressa i pluginova.

Najgori trenutak za migraciju PHP-a je dan kada hosting prinudno ukine staru verziju. Tada se otkrivaju zastarela tema, napušten plugin, custom kod pisan za stare funkcije i integracija za koju niko nema dokumentaciju. Rezultat može biti fatal error, prazan ekran, neispravan checkout ili administracija kojoj se više ne može pristupiti.

Bezbedan oporavak starog WordPress sistema zato počinje inventarom. Popisuju se verzije, aktivni i neaktivni pluginovi, custom izmene, licence, integracije, cron zadaci i kritične korisničke putanje. Zatim se pravi potpuna kopija i klon na staging serveru. PHP se podiže u kontrolisanim koracima, prate se logovi i uklanjaju ili menjaju komponente koje više nemaju podršku. Tek kada forme, checkout, emailovi, administracija i ključni sadržaj prođu testove, promena ide na produkciju.

Pokušaj da se tri godine zanemarivanja reše jednim masovnim ažuriranjem često pravi više štete nego koristi. Što je veći version gap, to je važnije imati redosled, dokumentovan rollback i osobu koja razume PHP greške, bazu i WordPress hooks, a ne samo kontrolnu tablu.

Kada neko hakuje sajt, prvi zadatak nije instaliranje još jednog security plugina

Hakovan sajt je incident response (odgovor na incident), a ne rutinsko čišćenje. Zvanični WordPress vodič My site was hacked savetuje da se prvo dokumentuje šta je primećeno, kada je problem počeo i koje su promene prethodile incidentu. To je važno jer svaki nasumičan potez može da obriše tragove, oteža pronalaženje ulaza ili prerano vrati zaraženu verziju u rad.

1. Ograničite štetu. Po potrebi privremeno isključite checkout, forme ili ceo sajt, ali sačuvajte kopiju stanja za analizu.
2. Sačuvajte dokaze i logove. Zabeležite vreme, simptome, sumnjive naloge, promene fajlova, server logove i upozorenja iz Search Console-a ili hostinga.
3. Promenite pristupe iz čistog uređaja. Rotirajte WordPress, hosting, SFTP, bazu, email, CDN, API i payment gateway kredencijale; opozovite stare sesije i ključeve.
4. Utvrđujte uzrok, ne samo posledicu. Uklanjanje jednog zaraženog fajla ne znači da su nestali backdoor, novi administrator ili ranjivi plugin kroz koji je napad ušao.
5. Vratite poznatu dobru kopiju ili ponovo instalirajte čiste komponente. Core, teme i pluginovi treba da dođu iz pouzdanih izvora, uz proveru baze i upload direktorijuma.
6. Zatvorite ulaz. Ažurirajte ili zamenite ranjivu komponentu, uklonite napuštene dodatke, popravite privilegije, uključite 2FA i pojačajte monitoring.
7. Testirajte i pratite. Proverite korisničke funkcije, logove, Search Console, Safe Browsing, neočekivane URL-ove i ponovnu pojavu izmenjenih fajlova.

Google u Security Issues izveštaju navodi da kompromitovan CMS ili third-party plugin može dovesti do code injection-a, content injection-a, phishing stranica i štetnih preusmerenja. Nakon čišćenja potrebno je ispraviti uzrok, proveriti sve prijavljene URL-ove i zatražiti security review. Upozorenje u pretrazi ili browseru može ostati vidljivo dok se taj postupak ne završi.

Detaljan operativni redosled obradili smo i u ITNetwork tekstu Plan za oporavak hakovanog WordPress sajta. Najvažnija pouka je jednostavna: vraćanje početne stranice nije isto što i bezbedan oporavak. Ako se ne ukloni uzrok, napadač se vraća kroz isti ili rezervni ulaz.

Šta ste sprečili ako imate održavanje

Dobar maintenance plan ne obećava da se incident nikada neće desiti. Takvo obećanje nije stručno. On smanjuje verovatnoću problema, povećava šansu da bude otkriven pre korisnika i skraćuje vreme potrebno za oporavak. Razlika je između kvara koji se rešava pre početka radnog dana i krize koja traje nedelju dana.

Koliko vredi održavanje i zašto to nije usluga za kafu

Izraz ‘častiću te kafom’ obično znači da vlasnik vidi samo nekoliko minuta potrebnih da se klikne dugme. Ne vidi godine iskustva koje određuju da li to dugme uopšte treba kliknuti, šta proveriti pre toga, kako prepoznati problem i kako vratiti sistem ako nešto pođe naopako. Ne plaća se broj klikova. Plaćaju se dostupnost stručnjaka, preuzeta odgovornost, alati, monitoring, dokumentacija, bezbedne kopije i sposobnost da se problem reši pre nego što postane poslovna šteta.

Vrednost održavanja ne treba meriti samo cenom mesečnog paketa. Uporedite je sa cenom jednog dana nedostupnosti, propuštenih leadova, izgubljenih porudžbina, potrošenog oglasnog budžeta, hitnog angažovanja stručnjaka, obnove SEO pozicija i komunikacije sa kupcima. Kod prodavnice koja ostvaruje promet svakog dana, trošak je relativno lako proceniti.

Praktična formula može da izgleda ovako: prosečan dnevni prihod koji nije ostvaren + oglasni budžet potrošen tokom kvara + rad zaposlenih na incidentu + hitna tehnička intervencija + naknadni gubitak konverzija i poverenja. Poslednja stavka je najteža za merenje, ali to ne znači da je jednaka nuli.

Kod prezentacionog sajta šteta je tiša. Firma možda nema direktnu online prodaju, ali gubi upite, prijave, rezervacije, konkursne kandidate ili kredibilitet pred partnerom koji je upravo proverava. Ako sajt predstavlja firmu vrednu stotine hiljada ili milione evra, logika da njegovo održavanje vredi jednu kafu nije štednja. To je odsustvo upravljanja rizikom.

Koliko često treba održavati sajt ili shop

Ne postoji jedan raspored za sve. Mali statičniji sajt sa nekoliko proverenih dodataka ne traži isti nivo nadzora kao WooCommerce sa hiljadama proizvoda, više jezika, kartičnim plaćanjem, ERP vezom i aktivnim kampanjama. Ipak, postoje razumni minimumi.

• Kontinuirano ili na nekoliko minuta: uptime, SSL, osnovne performanse i bezbednosna upozorenja.
• Dnevno: automatske kopije za aktivne shopove i portale; provera neuspelih poslova, grešaka naplate i kritičnih logova.
• Nedeljno: pregled dostupnih ažuriranja i ranjivosti, forme, ključne stranice, status backup-a i anomalije u saobraćaju.
• Mesečno: kontrolisani update ciklus, performance pregled, baza, neaktivni nalozi i pluginovi, Search Console i kratak izveštaj.
• Kvartalno: dublji security audit, restore test, pregled licenci, integracija, prava pristupa, tehničkog SEO-a i plana oporavka.

Za sajt koji se menja svakog dana ili obrađuje veći broj transakcija ovaj ritam mora biti stroži. Takođe, kritična bezbednosna zakrpa ne čeka sledeći prvi u mesecu. Prioritet se određuje prema težini ranjivosti, izloženosti komponente i tome da li postoji aktivna eksploatacija.

Kako prepoznati ozbiljnu ponudu za održavanje

Dobra ponuda ne koristi reč održavanje kao maglovitu stavku. Ona opisuje šta se prati, koliko često se radi backup, gde se kopije čuvaju, da li se testira restore, kako se odobravaju izmene, šta se smatra incidentom, koliko traje reakcija i šta nije uključeno. Za shop je važno da se navedu i testovi checkouta, plaćanja, dostave, emailova i integracija.

Pitajte ko ima administratorski pristup, da li se koristi 2FA, da li postoji staging, kako se evidentiraju izmene i ko je vlasnik licenci, domena, hostinga i analitičkih naloga. Ako agencija ne može jednostavno da objasni rollback ili da pokaže šta je radila prethodnog meseca, problem nije u tome što vi ne razumete tehniku.

Dodatne kriterijume možete pronaći u Joombooz tekstu Kako prepoznati dobru web agenciju u 2026. i sedam crvenih zastavica. Posebno obratite pažnju na vlasništvo nad nalozima i kodom, jasnu dokumentaciju, realna obećanja i izbegavanje vendor lock-in-a.

Bezbednost takođe ne sme da se svede na instaliran security plugin. WordPress hardening vodič preporučuje jake lozinke, two-factor authentication (dvofaktorsku autentifikaciju), šifrovani SFTP i restriktivne file permissions (dozvole nad fajlovima). Na ITNetwork.rs možete koristiti i bezbednosnu check-listu za WordPress kao osnovu za razgovor sa internim timom ili agencijom.

Održavanje web shopa je poslovna operacija

Kod shopa se ne održava samo WordPress. Održava se prodajni lanac. Kupac dolazi preko oglasa ili pretrage, nalazi proizvod, bira varijantu, dodaje u korpu, unosi podatke, dobija cenu dostave, plaća, prima potvrdu, stanje zalihe se menja, knjigovodstvo dobija dokument, a kurir nalog. Svaka tačka je zasebna integracija koja može da zakaže.

Zato shop zahteva synthetic transactions (simulirane transakcije) ili periodične ručne testove, kontrolu neuspelih porudžbina i emailova, praćenje webhook poziva, proveru obračuna poreza i dostave, test povraćaja novca i kontrolu logova payment gateway-a. Ako se proverava samo da li se početna stranica otvara, održava se izlog, a ne prodavnica.

Promocije i sezonske kampanje dodatno povećavaju rizik. Veliki update nije pametno raditi nekoliko sati pre Black Friday akcije, lansiranja proizvoda ili televizijskog gostovanja. Change management (upravljanje promenama) znači da se unapred definišu periodi bez rizičnih intervencija, spreman rollback i osoba koja prati sistem dok saobraćaj raste.

AI visibility je sadašnjost i zavisi od tehničkog zdravlja sajta

Vidljivost više nije samo pozicija među deset plavih linkova. Korisnici pitaju ChatGPT, Perplexity, Claude i Google AI Mode, a sistemi traže dostupne, razumljive i proverljive izvore. U Joombooz analizi AI visibility i kako da vaš brend preporučuju AI sistemi ova promena je obrađena kao sadašnji kanal otkrivanja brenda, a ne kao daleka prognoza.

Google u dokumentu AI features and your website navodi da za AI Overviews i AI Mode ne postoje posebni tehnički trikovi: stranica mora da bude indeksirana, dostupna za crawl i podobna za prikaz u klasičnoj pretrazi. I dalje važe korisni sadržaj, dobra page experience, ispravni interni linkovi, tekstualno dostupne informacije i structured data koji odgovara onome što korisnik zaista vidi.

Tu se održavanje direktno spaja sa GEO i AEO. Ako robots.txt slučajno blokira važnu sekciju, canonical pokazuje na pogrešan URL, schema više ne odgovara naslovu i autoru, sitemap ne sadrži nove stranice ili server povremeno vraća 5xx greške, problem nije samo tehnički. Brend postaje manje dostupan sistemima koji biraju izvore za odgovore.

Na ITNetwork.rs smo detaljno objasnili kako strukturirati podatke da bi AI pretraživači lakše razumeli i citirali sadržaj i šta u SEO strategiji zaista vredi u 2026. godini. Redovno održavanje web sajta mora zato da prati i sadržajni sloj: autorstvo, datume izmene, entitete, interne veze, schema kod, dostupnost botovima i doslednost podataka o firmi.

Šta će se promeniti u narednim godinama

Održavanje će postati automatizovanije, ali ne i nepotrebno. AI alati već mogu da grupišu logove, prepoznaju odstupanja, predlažu uzrok greške i testiraju korisničke putanje. Uskoro će standardni maintenance paket uključivati više automatskih provera checkouta, poređenje screenshotova posle update-a, detekciju neočekivanih promena koda i upozorenja kada sadržaj više nije dosledan structured data oznakama.

Istovremeno raste supply-chain risk (rizik lanca snabdevanja). Sajt može biti uredno podešen, a da problem dođe kroz kompromitovan update, napušteni plugin, eksternu skriptu, tag manager ili nalog saradnika. OWASP Top 10 je i u izdanju za 2025. zadržao u fokusu sistemske rizike web aplikacija, a OWASP Top 10 ostaje dobar početni okvir za razgovor između vlasnika, developera i bezbednosnog tima.

Zbog toga će vrednost održavanja sve manje biti u ručnom kliktanju, a sve više u proceni rizika, automatizovanom nadzoru, brzoj verifikaciji, dokumentovanom odgovoru i sposobnosti da se razlikuje bezazlena greška od početka incidenta.

Zaključak

Ako sajt nema poslovnu vrednost, verovatno mu zaista ne treba ozbiljno održavanje. Ali tada treba postaviti drugo pitanje: zašto ga firma uopšte ima? Čim sajt dovodi upite, predstavlja brend, podržava prodaju, prikuplja podatke ili troši budžet za oglašavanje, njegovo tehničko stanje postaje poslovna tema.

Redovno održavanje web sajta ne kupuje savršenstvo i ne garantuje da nikada neće biti problema. Ono kupuje manju verovatnoću incidenta, ranije otkrivanje, kraći zastoj i jasnu odgovornost. To je razlika između kontrolisane tehničke intervencije i paničnog poziva osobi koja je sajt poslednji put videla pre tri godine.

Za ozbiljan poslovni sajt ili shop, redovno održavanje web sajta vredi onoliko koliko vredi kontinuitet prodaje, komunikacije i poverenja. Nekada je to manje od jednog izgubljenog upita. Nekada manje od jednog sata nedostupnog checkouta. U oba slučaja, kafa nije realna jedinica mere. Za dublji pogled na odnos preventive i napada pročitajte i Joombooz analizu Redovno održavanje i security audit.

FAQ

Da li je održavanje potrebno ako se sadržaj na sajtu retko menja?

Da. Čak i bez novih tekstova menjaju se WordPress, PHP, pluginovi, browseri, hosting i spoljni servisi. Statičan sadržaj ne znači statičan softverski sistem.

Da li su automatska ažuriranja dovoljna?

Nisu. Korisna su za deo bezbednosnih zakrpa, ali ne proveravaju da li posle update-a rade forma, checkout, plaćanje, emailovi i integracije. Potrebni su monitoring, test i rollback plan.

Koliko često treba praviti backup?

Zavisi od učestalosti promena. Aktivni shop može zahtevati dnevne ili češće kopije baze, dok mali sajt može imati ređi ritam. Bitno je čuvati fajlove i bazu na odvojenoj lokaciji i testirati restore.

Šta ako su WordPress, PHP i pluginovi godinama zastareli?

Ne radite sve direktno na produkciji. Napravite inventar i potpunu kopiju, klonirajte sajt na staging, ažurirajte u kontrolisanim koracima, pratite logove i testirajte ključne funkcije pre puštanja.

Može li security plugin da zaštiti sajt bez održavanja?

Ne. Security plugin je samo jedan sloj. Ne može da zameni zakrpe, bezbedan hosting, 2FA, dobre privilegije, odvojene backup kopije, praćenje logova i stručan odgovor na incident.

Šta prvo uraditi kada je sajt hakovan?

Ograničite štetu, dokumentujte stanje i sačuvajte logove. Zatim iz čistog uređaja rotirajte pristupe, pronađite uzrok, očistite ili vratite proverenu kopiju, zatvorite ranjivost i pojačajte nadzor.

Koliko košta redovno održavanje web sajta?

Cena zavisi od složenosti, broja integracija, učestalosti promena, zahtevanog vremena reakcije i poslovnog rizika. Održavanje malog sajta i WooCommerce prodavnice sa plaćanjem i ERP vezom nisu ista usluga.

Da li održavanje utiče na SEO i AI visibility?

Da. Dostupnost, brzina, crawl, indeksacija, interni linkovi i structured data utiču na to da li sistemi mogu da pronađu i razumeju sadržaj. Održavanje ne garantuje citiranje, ali uklanja tehničke prepreke.

Kako da znam da agencija zaista održava sajt?

Tražite jasan obim, raspored provera, backup politiku, izveštaj o promenama, evidenciju incidenata, definisano vreme reakcije i dokaz da se ključne funkcije testiraju.