תחזוקת אתר וורדפרס: מה לעשות כל שבוע, כל חודש וכל שנה

תחזוקת אתר וורדפרס היא סדר קבוע של פעולות קטנות: כל שבוע מוודאים שהאתר עובד ושהגיבוי רץ, כל חודש מעדכנים בזהירות ובודקים מהירות ושגיאות, כל רבעון מתרגלים שחזור ובודקים את גרסת השרת, וכל שנה מחדשים דומיין ומעדכנים מסמכים. מי שעושה את זה בקביעות כמעט לא פוגש תקלות גדולות, ומי שלא עושה את זה פוגש אותן בדיוק כשהכי לא נוח.

למה אתר וורדפרס צריך תחזוקה קבועה?

אתר וורדפרס הוא לא קובץ שיושב על שרת. הוא תוכנה חיה שמורכבת מהליבה של וורדפרס, מתבנית, מעשרות תוספים ומגרסת PHP בשרת, וכל אחד מהחלקים האלה מתעדכן בקצב משלו. כשחלק אחד מתעדכן ואחר לא, נוצרים פערים: פרצות אבטחה, אי־התאמות ותקלות שמופיעות פתאום.

המספרים ממחישים את זה. לפי הדוח השנתי של חברת האבטחה Patchstack, במהלך 2025 נחשפו בעולם הוורדפרס 11,334 חולשות חדשות, 91 אחוז מהן בתוספים ו־9 אחוז בתבניות, ורק שש בליבה של וורדפרס עצמה. לפי אותו דוח, 46 אחוז מהחולשות לא קיבלו תיקון עד שפורסמו, ואת החולשות המותקפות ביותר החלו לנצל בתוך שעות. הנתונים נכונים לאוקטובר 2026.

המשמעות לבעל אתר פשוטה: הסיכון הגדול לא נמצא בוורדפרס, אלא בתוספים שהתקנתם ובקצב שבו אתם מעדכנים אותם. תחזוקה קבועה היא הדרך לצמצם את הסיכון הזה. זה גם בדיוק מה שאנחנו עושים בשבילכם במסגרת ליווי חודשי עם שעות פיתוח ותחזוקה, אבל את רוב הלוח הזה אפשר לבצע גם לבד.

כל שבוע: לוודא שהאתר חי ושהגיבוי רץ

הבדיקה השבועית לוקחת דקות ספורות, והמטרה שלה היא לתפוס בעיות לפני שלקוח תופס אותן.

• לוודא שהגיבוי האוטומטי האחרון הצליח, ושהוא נשמר במקום שאינו אותו שרת.
• לפתוח בטלפון את דף הבית, עמוד שירות מרכזי ועמוד צור קשר, ולוודא שהם נטענים תקין.
• לשלוח פנייה אחת דרך הטופס או כפתור הוואטסאפ, ולוודא שהיא מגיעה.
• בחנות: לעבור על עגלה וקופה עד שלב התשלום, ולבדוק שהזמנות נכנסות ושהמיילים יוצאים.
• להתקין עדכוני אבטחה דחופים לתוספים, במיוחד כשהעדכון מסומן כתיקון אבטחה.
• לבדוק שאין התראות מכלי הניטור או מחברת האחסון.

כל חודש: עדכונים מסודרים, מהירות ושגיאות

הבדיקה החודשית היא המקום לעדכונים שאינם דחופים ולמבט קצת יותר רחב על הבריאות של האתר.

1. גיבוי ידני לפני הכול. גם אם יש גיבוי יומי, לוקחים אחד טרי רגע לפני שמעדכנים.
2. עדכון תוספים, תבנית וליבה. אחד אחד, ולא הכול בלחיצה אחת. אחרי כל עדכון משמעותי עוברים על העמודים המרכזיים. אם משהו נשבר, יודעים בדיוק מה גרם לזה.
3. ניקוי תוספים. תוסף לא פעיל הוא עדיין קוד על השרת. מה שלא בשימוש, מוחקים. תוסף שלא עודכן על ידי המפתח שלו הרבה זמן, מחפשים לו תחליף.
4. בדיקת מהירות. מריצים את העמודים המרכזיים בכלי PageSpeed Insights של גוגל ומשווים לחודש הקודם. ירידה פתאומית מצביעה בדרך כלל על תוסף חדש, תמונה כבדה או בעיה בשרת.
5. גוגל סרץ׳ קונסול. עוברים על שגיאות סריקה, עמודים שיצאו מהאינדקס והתראות אבטחה. אם האתר נפרץ, זה לפעמים המקום הראשון שבו זה מופיע.
6. משתמשים. מוחקים משתמשים של ספקים ועובדים שכבר לא צריכים גישה, ומוודאים שלכל מנהל יש סיסמה חזקה ואימות דו־שלבי.

כל רבעון: לתרגל שחזור ולבדוק את השרת

פעם ברבעון עושים את הבדיקות שרוב בעלי האתרים דוחים, ושמבדילות בין אתר שמתאושש מתקלה בשעה לאתר שמתאושש ממנה בשבוע.

תרגול שחזור מגיבוי

לוקחים גיבוי ומשחזרים אותו לסביבת ניסוי, לא לאתר החי. בודקים שהעמודים נטענים, שהתמונות במקום, שבחנות ההזמנות וההגדרות שלמות. תרגול כזה חושף בעיות שאי אפשר לגלות אחרת: גיבוי שלא כולל את מסד הנתונים, קבצים חסרים, או תהליך שחזור שאף אחד לא יודע לבצע.

גרסת PHP

PHP היא שפת התכנות שוורדפרס רצה עליה בשרת, ולכל גרסה שלה יש תאריך שבו היא מפסיקה לקבל עדכוני אבטחה. לפי טבלת הגרסאות הרשמית של PHP, גרסה 8.2 מפסיקה לקבל תיקוני אבטחה ב־31 בדצמבר 2026, נכון לאוקטובר 2026. אתר שרץ על גרסה ישנה יותר כבר נמצא על תוכנה שלא מתוקנת. בדקו בלוח הבקרה של האחסון, או בכלי "בריאות האתר" בממשק הניהול של וורדפרס, על איזו גרסה האתר רץ.

מעבר גרסת PHP הוא בדיוק סוג השינוי שעושים קודם בסביבת ניסוי. תוספים ישנים ותבניות שלא עודכנו נשברים לעיתים קרובות דווקא בשלב הזה.

סקירת הרשאות ונגישות

פעם ברבעון כדאי גם לעבור על מי יכול לגשת לממשק הניהול, לחשבון האחסון, לדומיין ולגוגל אנליטיקס, ולוודא שהגישה עדיין נכונה. זו גם הזדמנות לבדוק שהתוכן החדש שנוסף לאתר עומד בדרישות הנגישות: טקסט חלופי לתמונות, כותרות בסדר נכון וקישורים ברורים.

כל שנה: דומיין, תעודות, חוזים ומסמכים

הבדיקה השנתית עוסקת בדברים שקל לשכוח כי הם קורים רק פעם בשנה, ושכשהם נופלים, הם מפילים את כל האתר.

• דומיין: לוודא שהחידוש האוטומטי פעיל, שאמצעי התשלום בתוקף, ושהדומיין רשום על שם העסק, עם מייל שמישהו בעסק קורא.
• תעודת אבטחה: לוודא שהחידוש אוטומטי ושאין תעודה שמחודשת ידנית.
• אחסון: לבדוק מתי החבילה מתחדשת, מה כלול בה, והאם היא עדיין מתאימה לנפח ולמהירות שהאתר צריך.
• רישיונות: לבדוק אילו תוספים ותבניות בתשלום מתחדשים, ולבטל את מה שכבר לא בשימוש.
• מסמכים משפטיים: לעבור על מדיניות הפרטיות, תנאי השימוש והצהרת הנגישות, ולוודא שהם משקפים את מה שהאתר עושה בפועל, כולל טפסים, כלי מעקב ועוגיות.
• מפת גישה: לעדכן מסמך אחד שבו כתוב איפה הדומיין, האחסון, הגיבויים והמיילים, ומי מחזיק את הגישה לכל אחד מהם.

לגבי תעודות האבטחה, כדאי לדעת שהן מתקצרות. ארגון התקינה של רשויות התעודות, CA/Browser Forum, קבע שתוקף מקסימלי של תעודה ציבורית ירד לכ־200 יום החל ממרץ 2026, לכ־100 יום ממרץ 2027, ול־47 יום ממרץ 2029, כך לפי הסיכום של DigiCert, נכון לאוקטובר 2026. במצב כזה, תעודה שמחודשת ידנית היא תקלה שמחכה לקרות. ודאו שהתעודה שלכם מתחדשת לבד דרך חברת האחסון.

לוח התחזוקה המלא, בטבלה אחת

תדירות	מה עושים	כמה זמן זה לוקח בערך
כל שבוע	בדיקת גיבוי, בדיקת עמודים מרכזיים בטלפון, פנייה ניסיונית, עדכוני אבטחה דחופים	דקות ספורות
כל חודש	גיבוי ידני, עדכונים אחד אחד, ניקוי תוספים, בדיקת מהירות, סרץ׳ קונסול, משתמשים	שעה עד שעתיים, לפי גודל האתר
כל רבעון	תרגול שחזור, בדיקת גרסת PHP, סקירת הרשאות, בדיקת נגישות לתוכן חדש	חצי יום
כל שנה	דומיין, תעודת אבטחה, אחסון, רישיונות, מסמכים משפטיים, מפת גישה	חצי יום

הזמנים בטבלה הם הערכה שלנו לאתר תדמית רגיל. חנות עם הרבה תוספים, שפות או חיבורים למערכות חיצוניות דורשת יותר.

מה לא מעדכנים בלי בדיקה בסביבת ניסוי?

רוב העדכונים עוברים בשלום. חלק קטן מהם אחראי לרוב התקלות. אלה העדכונים שאנחנו אף פעם לא מתקינים ישר על האתר החי:

• גרסה ראשית של וורדפרס. וורדפרס מתקינה כברירת מחדל עדכוני אבטחה קטנים של הליבה בעצמה, אבל קפיצה לגרסה ראשית חדשה דורשת בדיקה.
• ווקומרס ותוספי תשלום. כל שינוי בקופה, בשער התשלום או בחשבוניות נבדק בהזמנת ניסיון מלאה לפני שעולה לאוויר.
• בוני עמודים ותבנית האתר. עדכון כזה יכול לשנות פריסה בעשרות עמודים בבת אחת.
• גרסת PHP. כמו שהסברנו למעלה, זה השלב שבו תוספים ישנים נשברים.
• תוספים שמחוברים למערכות חיצוניות. CRM, דיוור, מלאי או משלוחים. שינוי בהם יכול לשבור תהליך שלא רואים על המסך.

שלושה כללים שחוסכים הרבה כאב: מעדכנים בתחילת השבוע ולא בחמישי בערב, קוראים את רשימת השינויים של העדכון לפני שמתקינים, ומוודאים שיש גיבוי טרי שאפשר לחזור אליו בתוך דקות.

עדכונים אוטומטיים לתוספים: כן או לא?

מאז גרסה 5.5 אפשר להפעיל עדכון אוטומטי לכל תוסף בנפרד, ישירות ממסך התוספים. זה כלי טוב, אבל לא לכל תוסף. אנחנו ממליצים על חלוקה פשוטה: עדכון אוטומטי לתוספים קטנים ופשוטים, כמו תוספי אבטחה, הפניות או מפות אתר, ועדכון ידני ומבוקר לכל מה שנוגע בכסף, בעיצוב או בחיבורים.

עדכון אוטומטי בלי ניטור הוא הימור. אם מפעילים אותו, צריך גם מערכת שבודקת שהאתר באוויר ומתריעה מיד כשהוא נופל, וגיבוי יומי שאפשר לחזור אליו.

לבד או למסור? איך מחליטים

אין תשובה אחת. עסק עם אתר תדמית פשוט, מעט תוספים ומישהו בצוות שמרגיש בנוח בממשק הניהול יכול לבצע את רוב הלוח לבד. עסק שהאתר שלו מכניס כסף ישירות, או שאין לו זמן או ידע, ירוויח ממי שעושה את זה בשבילו.

כדאי לעשות לבד אם	כדאי למסור אם
האתר הוא אתר תדמית עם מעט תוספים	יש חנות, הזמנות, סליקה או אזור אישי
יש מישהו בעסק שיתפנה לזה בקביעות	התחזוקה נדחית שוב ושוב כי תמיד יש משהו דחוף יותר
יש סביבת ניסוי וגיבוי שאתם יודעים לשחזר ממנו	אף אחד בעסק לא ניסה אף פעם לשחזר מגיבוי
השבתה של כמה שעות לא תפגע בעסק	כל שעה שהאתר למטה עולה לכם בפניות או בהזמנות

אם תחליטו למסור, שאלו את הספק שלוש שאלות: איפה נשמרים הגיבויים ומתי בדקו לאחרונה שחזור, איך הוא בודק עדכונים לפני שהם עולים לאתר החי, ומה זמן התגובה כשהאתר נופל. התשובות יגידו לכם יותר מכל רשימת שירותים. בצד של השרת, חלק מהמשימות בלוח, כמו גיבוי יומי, חידוש תעודות וניטור, יכולות להיות חלק מאחסון מנוהל שמישהו אחראי עליו. כדי להבין מה לבדוק בחבילת אחסון, קראו את המדריך לבחירת אחסון.

ואם משהו כבר קרה, והאתר לא עולה או מתנהג מוזר, עברו ישר למה עושים בשעה הראשונה אחרי פריצה או נפילה.