תחזוקת אתר וורדפרס — למה 90% מהאתרים בישראל לא מתוחזקים נכון, ומה זה אומר עליכם

אני רוצה להתחיל במשפט שאני אומר לכל לקוח חדש: האתר שלכם כנראה לא מתוחזק. לא כי אתם רשלנים, אלא כי אף אחד לא אמר לכם שזה תפקיד של מישהו.

אחרי מעל עשר שנים של פיתוח ותחזוקה של אתרי וורדפרס, ואחרי מאות אתרים שעברו דרכי, ההערכה שלי היא שתשעה מכל עשרה אתרי וורדפרס של עסקים בישראל לא מתוחזקים נכון. חלקם לא מתוחזקים בכלל. האתר נבנה, נמסר, עובד, ומאותו יום אף אחד לא נוגע בו. עד שמשהו קורה.

המדריך הזה מסביר מה תחזוקה בכלל כוללת, למה רוב האתרים לא מקבלים אותה, מה בדיוק התפקיד של מי שמתחזק, ואיך לבדוק בעצמכם, תוך 30 שניות, אם האתר שלכם באמת מתוחזק.

מה זה בכלל "תחזוקת אתר"

תחזוקה היא לא "שינויים באתר". להחליף תמונה, להוסיף דף או לעדכן מחיר זה עריכת תוכן. תחזוקה היא כל מה שמחזיק את האתר תקין, מהיר ובטוח לאורך זמן, גם כשאף אחד לא משנה בו כלום.

יש לה חמש שכבות:

1. עדכונים. ליבת וורדפרס, התוספים, התבנית, וגרסת ה-PHP בשרת. כל אחד מהם מקבל עדכונים, חלקם לתיקון פרצות אבטחה, וכל עדכון שלא הותקן הוא חור שנשאר פתוח.
2. גיבויים. של הקבצים ושל מסד הנתונים, אוטומטיים, שנשמרים מחוץ לשרת, ושמישהו בדק פעם אחת שאפשר לשחזר מהם.
3. אבטחה. סריקה לקבצים זדוניים, מעקב אחרי ניסיונות התחברות, בדיקת משתמשים, ותגובה כשמתפרסמת פרצה בתוסף שמותקן באתר.
4. ביצועים. זמן טעינה, גודל תמונות, מטמון, ניקוי מסד הנתונים מגרסאות ישנות של דפים. אתר שלא מתוחזק נהיה איטי בהדרגה, ואיטיות עולה בדירוג ובלקוחות.
5. תקינות. הטפסים שולחים? המיילים מגיעים? הקישורים עובדים? האתר נראה נכון בנייד? דברים נשברים בשקט, בדרך כלל אחרי עדכון של משהו אחר, ומי שמגלה הוא הלקוח שלא הצליח להשאיר פרטים.

אתר שמקבל את חמש השכבות האלה פעם בחודש מחזיק שנים. אתר שלא מקבל אותן מתחיל להתפרק אחרי שנה.

למה רוב האתרים בישראל לא מתוחזקים

זה לא מקרה, ויש לזה סיבות ברורות. כמעט כל אתר שהגיע אליי לא מתוחזק נפל באחת מהן.

"האתר עובד"

זאת הסיבה הגדולה. בעל העסק נכנס לאתר, הוא נטען, הטופס נראה בסדר, אז מה הבעיה. אבל "עובד" לא אומר "מעודכן", ולא אומר "מאובטח". אתר יכול להיות פרוץ ולהמשיך לעבוד בדיוק אותו דבר, כי התוקף רוצה שהוא ימשיך לעבוד. ואתר שלא עודכן שנתיים עובד מצוין עד היום שבו תוסף אחד מתגלה כפגיע, ואז הוא כבר לא שלכם.

האתר נבנה ונמסר, ואף אחד לא דיבר על "אחרי"

רוב האתרים בישראל נבנים על ידי פרילנסר או סטודיו קטן, בפרויקט חד-פעמי. הפרויקט נגמר, הכסף שולם, הקבצים נמסרו. בשיחת המסירה דיברו על עיצוב ועל תוכן. על מי יעדכן את התוספים בעוד חצי שנה לא דיברו, כי זה לא היה חלק מהפרויקט. ובצדק מבחינת הבונה: הוא נשכר לבנות. הבעיה היא שאף אחד לא נשכר לתחזק.

"יש לי אחסון, זה כולל"

לא. חברת האחסון אחראית על השרת: שהמכונה תעבוד, שהרשת תעבוד, שיהיה גיבוי של השרת כולו למקרה שהדיסק נשרף. היא לא מעדכנת את התוספים שלכם, לא בודקת שהטופס עובד, ולא מחליפה תוסף נטוש. גם "אחסון מנוהל לוורדפרס" בדרך כלל מכסה עדכוני ליבה ומטמון, לא יותר. הפער בין מה שבעל העסק חושב שהוא מקבל למה שהוא באמת מקבל הוא עצום, ואני פוגש אותו כמעט בכל שיחה.

הפחד לשבור

מי שניסה פעם ללחוץ "עדכן הכול" וקיבל מסך לבן, לא ילחץ שוב. והפחד מוצדק: עדכון בלי גיבוי ובלי לדעת מה לעשות כשמשהו נשבר הוא הימור. אבל התוצאה היא אתר שקפוא על גרסאות מלפני שלוש שנים, ושם הסיכון גדול הרבה יותר. הפתרון לפחד הוא תהליך, לא הימנעות.

"עדכונים אוטומטיים" כתחליף לאדם

וורדפרס יודעת לעדכן את עצמה, ואפשר להפעיל עדכון אוטומטי לתוספים. זה עדיף על כלום, באמת. אבל עדכון אוטומטי לא בודק שהטופס עדיין עובד אחרי העדכון, לא משדרג PHP, לא מעדכן תבנית או תוסף בתשלום שהרישיון שלהם פג, לא מוחק תוספים מיותרים, ולא מחליף תוסף נטוש. הוא מתקין גרסאות. תחזוקה היא אחריות על התוצאה.

זה תפקיד של אף אחד

בסוף, הסיבה האמיתית היא שבעסק קטן אין "אחראי אתר". יש בעל עסק שעסוק בעסק, ואולי מזכירה שיודעת לשנות טקסט. אף אחד לא מקבל פעם בחודש תזכורת "לבדוק את האתר". ומה שהוא תפקיד של אף אחד, לא נעשה.

מה התפקיד של מי שמתחזק את האתר

כשאני לוקח אתר לתחזוקה, זה מה שאני אחראי עליו, וזה מה שאתם צריכים לדרוש מכל מי שמתחזק את האתר שלכם:

• גיבוי לפני כל שינוי, וגיבוי אוטומטי יומי לענן, מחוץ לשרת. ושחזור ניסיון פעם בכמה חודשים, כדי לוודא שהגיבוי באמת עובד.
• עדכון של הכול, פעם בחודש לפחות: ליבה, תוספים, תבנית. ועדכון מיידי כשמתפרסמת פרצה מנוצלת בתוסף שמותקן באתר. זה דורש לעקוב אחרי הודעות אבטחה, לא רק לפתוח לוח בקרה.
• בדיקה אחרי עדכון: דף הבית, דפי המוצר או השירות המרכזיים, הטפסים, תהליך הרכישה אם יש חנות. בנייד ובמחשב.
• ניקוי: הסרת תוספים ותבניות שלא בשימוש, החלפת תוספים נטושים, מחיקת משתמשים מיותרים.
• שדרוג PHP כשהענף מתקרב לסוף החיים שלו, אחרי בדיקת תאימות.
• אבטחה: תוסף אבטחה או חומת אש, הגבלת ניסיונות התחברות, אימות דו-שלבי, סריקה חודשית, וטיפול בממצאים.
• ביצועים: בדיקת זמן טעינה פעם בחודש, דחיסת תמונות, ניקוי מסד הנתונים.
• דוח: מה נעשה, מה הגרסאות עכשיו, מה תוצאת הסריקה, מה מומלץ לחודש הבא. בכתב, כל חודש.
• זמינות כשמשהו נשבר, עם זמן תגובה מוגדר.

שימו לב מה לא ברשימה: עיצוב, תוכן, קידום. אלה שירותים אחרים. תחזוקה היא השכבה שמתחת לכולם, ובלעדיה כל השאר יושב על חול.

מה קורה כשלא מתחזקים: ציר הזמן

כדי שזה יהיה מוחשי, הנה מה שאני רואה באתרים שמגיעים אליי אחרי תקופה בלי תחזוקה.

אחרי חצי שנה. עשרה עד עשרים עדכוני תוספים ממתינים. אחד או שניים מהם תיקוני אבטחה. האתר קצת יותר איטי. כלום לא נראה שונה מבחוץ.

אחרי שנה. ארבעים עדכונים ממתינים. תוסף אחד או שניים כבר נטושים. גרסת ה-PHP של השרר מתקרבת לסוף החיים או עברה אותו. יש סיכוי טוב שרובוט כבר ביקר ומצא פרצה, גם אם עוד לא ניצל אותה. הטופס אולי הפסיק לשלוח מיילים אחרי שהאחסון שינה משהו, ואף אחד לא יודע כמה פניות אבדו.

אחרי שנתיים. עדכון הפך למסוכן: קפיצה של גרסאות רבות בבת אחת בתבנית ובתוספים שוברת דברים, ותיקון דורש מתכנת. האתר איטי. יש סיכוי ממשי שהוא פרוץ בשקט: ספאם SEO בדפים נסתרים, או הפניות מהנייד לאתרים אחרים. גוגל התחילה להוריד אותו.

אחרי שלוש שנים. בדרך כלל השאלה כבר לא "לתחזק" אלא "לבנות מחדש". וזה העוול הגדול: אתר שעלה 15 אלף שקלים נזרק אחרי שלוש שנים, כי לא הושקעו בו 200 שקלים בחודש.

במאמר על אבטחת אתר וורדפרס כתבתי בפירוט מה פריצה עושה לעסק ואיך פורצים בפועל. הקיצור: כמעט תמיד דרך משהו שלא עודכן.

איך לבדוק בעצמכם, ב-30 שניות, אם האתר מתוחזק

בניתי סורק אבטחה לאתרי וורדפרס בדיוק בשביל השאלה הזאת. הוא חינמי, לא דורש הרשמה, ומראה מבחוץ את מה שמתחזק טוב היה מראה לכם בדוח:

• איזו גרסת וורדפרס מותקנת, ומהי הגרסה האחרונה.
• איזו גרסת PHP השרת מפרסם, והאם היא עדיין מקבלת תיקוני אבטחה.
• אילו תוספים אפשר לזהות מבחוץ, באיזו גרסה, מול הגרסה האחרונה, ומתי כל אחד עודכן לאחרונה בספרייה. תוספים נטושים מסומנים.
• אילו פרצות ידועות נוגעות בדיוק לגרסאות שאצלכם, ממאגרי Wordfence ו-WPScan.
• בדיקות הקשחה בסיסיות.

הכלל פשוט: אם הסורק מראה תוספים לא מעודכנים, PHP שהגיע לסוף חייו או פרצה ידועה, האתר לא מתוחזק. לא משנה מה כתוב בחשבונית.

ואם אתם משלמים למישהו על תחזוקה, הריצו את הסריקה ושלחו לו את התוצאה. מתחזק טוב ישמח: זה אומר שמישהו בודק. מתחזק שמתגונן אומר לכם משהו אחר.

שלוש שאלות נוספות שכדאי לשאול את מי שמתחזק:

1. "איפה נשמר הגיבוי האחרון, ומתי שוחזר בפעם האחרונה לבדיקה?"
2. "מה גרסת ה-PHP של האתר, ומתי הענף הזה מפסיק לקבל תיקונים?"
3. "אפשר לקבל את דוח התחזוקה של החודש שעבר?"

מי שעונה על שלושתן בלי להתבלבל מתחזק לכם את האתר. מי שלא, לא.

מה לדרוש בהסכם תחזוקה

אם החלטתם לשלם למישהו, אל תסתפקו ב"תחזוקה חודשית" בשורה אחת בהצעת המחיר. אלה הסעיפים שצריכים להופיע בכתב:

• תדירות: עדכונים ובדיקה לפחות פעם בחודש, ועדכון אבטחה דחוף תוך יום עסקים מפרסום פרצה מנוצלת בתוסף שמותקן באתר.
• גיבוי: יומי, אוטומטי, נשמר מחוץ לשרת, עם שחזור ניסיון אחת לרבעון. ומי הבעלים של הגיבויים: אתם. אם היחסים נגמרים, הגיבויים נשארים אצלכם.
• בדיקה אחרי עדכון: רשימה מוסכמת של דפים וטפסים שנבדקים אחרי כל עדכון.
• דוח חודשי: בכתב, עם מספרי גרסאות, תוצאת סריקה, זמן טעינה ומה מומלץ להמשך.
• זמן תגובה: כמה שעות עד שמישהו מגיב כשהאתר נפל, וכמה עד שהוא מטפל.
• מה לא כלול: שינויי עיצוב ותוכן, פיתוח חדש, ניקוי אחרי פריצה שקרתה לפני תחילת ההסכם. עדיף שזה יהיה ברור מראש.
• גישה: למי יש סיסמאות למה, ואיך הן נמסרות אם ההסכם נגמר.

הסכם כזה מגן על שני הצדדים. מתחזק רציני ישמח לחתום עליו, כי הוא ממילא עושה את זה.

שלושה סימנים שהאתר שלכם לא מתוחזק, גם בלי סורק

1. אף אחד לא שלח לכם דוח אף פעם. אם אתם משלמים על תחזוקה ולא קיבלתם מסמך שאומר מה עודכן, סביר שכלום לא עודכן.
2. אתם לא יודעים איפה הגיבוי. אם התשובה היא "יש לאחסון", אין לכם גיבוי של האתר, יש לאחסון גיבוי של השרת, וזה לא אותו דבר כשצריך לשחזר דף אחד מאתמול.
3. לוח הבקרה מציג מספר אדום ליד "עדכונים". היכנסו לאתר שלכם ותסתכלו בתפריט הצד. אם המספר דו-ספרתי, זה כל מה שצריך לדעת.

עדכון נכון, צעד אחרי צעד

למי שרוצה לעשות את זה לבד, או להבין מה אמור לקרות, זה התהליך:

1. גיבוי מלא של קבצים ומסד נתונים, לפני שנוגעים בכלום. UpdraftPlus או כלי הגיבוי של האחסון. ודאו שהגיבוי הסתיים ונשמר במקום חיצוני.
2. קראו מה מתעדכן. בלוח הבקרה, ליד כל תוסף, יש קישור ל"פרטי הגרסה". עדכון גדול (מ-3.x ל-4.x) דורש יותר זהירות מעדכון קטן.
3. עדכנו בסדר הזה: תוספים קודם, אחר כך התבנית, ובסוף ליבת וורדפרס. אחד-אחד באתרים מורכבים, או הכול יחד באתר תדמית פשוט.
4. בדקו. דף הבית, הדפים המרכזיים, הטפסים (שלחו טופס אמיתי וראו שהמייל הגיע), החנות אם יש. בנייד ובמחשב. בדיקה מהירה בחלון גלישה בסתר, כדי לא לראות גרסה מהמטמון.
5. נקו. מחקו תוספים לא פעילים ותבניות מיותרות. ביטלו תוספים שלא ברור למה הם שם (אחרי גיבוי, תמיד אפשר להחזיר).
6. PHP. אם הסורק מראה ענף שהגיע לסוף חייו, שדרגו בפאנל האחסון לענף נתמך. בדקו שוב את האתר אחרי השדרוג.
7. סרקו שוב ב-/wp-scan. אם אתם מחוברים, ההיסטוריה נשמרת ותוכלו לראות בחודש הבא אם הציון נשמר.
8. רשמו מה עשיתם ומתי. זה הדוח. גם אם אתם כותבים אותו לעצמכם.

שעה בחודש. זה כל מה שזה דורש באתר רגיל.

כמה זה עולה, ומה כדאי לדרוש

בשוק הישראלי, נכון ל-2026, תחזוקה חודשית לאתר תדמית נעה בדרך כלל בין 150 ל-400 שקלים, ולחנות או אתר מורכב יותר בין 400 ל-1,000 ומעלה. המספרים משתנים לפי גודל האתר, כמות התוספים וזמן התגובה שאתם צריכים.

מה שחשוב יותר מהמחיר הוא מה מקבלים. תחזוקה אמיתית כוללת גיבוי מחוץ לשרת, אדם שמעדכן ובודק, סריקת אבטחה, ודוח חודשי. תחזוקה ב-50 שקלים בחודש היא כמעט תמיד עדכון אוטומטי עם שם אחר, ובמקרה כזה עדיף להפעיל את העדכון האוטומטי בעצמכם בחינם ולדעת שאין אדם מאחורי זה.

והחישוב מול החלופה: ניקוי אחרי פריצה עולה בדרך כלל בין 1,500 ל-5,000 שקלים, לא כולל הנזק לדירוג, לפניות שאבדו ולמוניטין. בנייה מחדש של אתר שהוזנח עולה כמו אתר חדש. שנתיים של תחזוקה עולות פחות מאחד מהם.

סיכום

אתר וורדפרס הוא לא מוצר שקונים פעם אחת. הוא מערכת חיה שרצה על קוד של עשרות אנשים, בשרת שמשתנה, מול תוקפים שמחפשים בדיוק את מה שלא עודכן. בלי מישהו שאחראי עליה, היא מתפרקת, לאט ובשקט, ואז פתאום.

רוב האתרים בישראל לא מתוחזקים כי זה תפקיד של אף אחד. תעשו אותו לתפקיד של מישהו: שלכם, של מי שבנה את האתר, או שלי.

ההתחלה היא אותה התחלה בכל מקרה: סרקו את האתר, ראו מה המצב, ותחליטו. ואם אתם רוצים שמישהו עם מעל עשר שנים בוורדפרס פשוט ייקח את זה מכם, דברו איתי.