Blog · 7 listopada 2026 · 9 min czytania

Kopia zapasowa strony: co naprawdę masz, a czego nie – i jak to sprawdzić w 15 minut

Pytanie „czy macie kopię zapasową strony?” prawie zawsze dostaje odpowiedź „tak”. Problem w tym, że to „tak” znaczy zwykle jedno z trzech: „hosting chyba robi kopie”, „wykonawca ma pliki na dysku” albo „mam gdzieś stary ZIP z 2023”. Żadna z tych rzeczy nie jest kopią zapasową w sensie, który ratuje firmę po włamaniu, nieudanej aktualizacji albo omyłkowym usunięciu połowy produktów. Poniżej: co kopia musi zawierać, co faktycznie obiecują hostingi (z cytatami), ile kopii i gdzie je trzymać, oraz test w 15 minut, który pokazuje, czy po awarii masz do czego wrócić.

Trzy rzeczy, które właściciele mylą z kopią zapasową

  1. „Hosting robi kopie.” Robi – dla siebie. Kopie systemowe hostingu istnieją po to, żeby hosting przetrwał awarię własnego dysku, a nie po to, żeby Ty cofnął stronę do stanu sprzed wtorkowej aktualizacji. Jeden z największych polskich hostingów pisze to wprost: kopie systemowe „wykonywane są na wypadek awarii nośników danych i nie zastępują kopii bezpieczeństwa użytkownika”, a przechowywane są „przez co najmniej 48h”. Jeśli włamanie zauważysz w czwartek, a stało się w poniedziałek, kopia hostingu zawiera już zhakowaną stronę.
  2. „Wykonawca ma pliki.” Wykonawca ma pliki motywu z dnia wdrożenia. Nie ma: bazy danych z Twoimi wpisami, zamówieniami i klientami, zdjęć wgranych przez Ciebie przez dwa lata, ustawień wtyczek, treści podstron, które sam poprawiałeś. Strona z 2024 odtworzona z plików wykonawcy to pusta strona z Twoim logo.
  3. „Mam ZIP na dysku.” Kopia bez daty, bez bazy danych i bez sprawdzenia, czy się rozpakowuje, to nie kopia – to nadzieja. Dokumentacja WordPressa zaleca, by kopie automatyczne „co jakiś czas zabezpieczyć kopią ręczną, aby mieć gwarancję, że proces działa”. Innymi słowy: kopia, której nikt nigdy nie otworzył, ma nieznaną wartość.

Co musi zawierać kopia strony

Dokumentacja WordPressa ujmuje to w jednym zdaniu: są „dwie części kopii zapasowej witryny WordPress: baza danych i pliki. Potrzebujesz obu, aby w pełni przywrócić typową witrynę”. To samo dotyczy każdego CMS-a i sklepu (Joomla, PrestaShop, WooCommerce, Shoper na własnym serwerze).

  • Baza danych – treści, produkty, zamówienia, użytkownicy, ustawienia wtyczek, menu. To jest ta część, której wykonawca zwykle nie ma i której nie da się odtworzyć ręcznie.
  • Pliki – motyw, wtyczki, katalog z wgranymi zdjęciami i dokumentami (w WordPressie wp-content/uploads), plik konfiguracyjny z danymi dostępu do bazy (wp-config.php) oraz .htaccess lub inna konfiguracja serwera z przekierowaniami. Dokumentacja osobno podkreśla katalog wp-content i wp-config.php, a o plikach rdzenia WordPressa mówi, że „zwykle nie ma potrzeby ich kopiować, bo można je zastąpić świeżym pobraniem”.
  • To, czego w kopii „strony” zwykle nie ma, a co też trzeba mieć gdzie indziej: skrzynki e-mail (kopia strony ich nie obejmuje), ustawienia DNS domeny (zrzut ekranu panelu wystarczy), lista kont i dostępów (hosting, domena, CMS, Google Search Console, konta reklamowe), klucze API i dane integracji (płatności, kurier, faktury).

Co faktycznie obiecują hostingi

Sprawdziliśmy publiczne strony pomocy i oferty czterech popularnych w Polsce hostingów (stan na 7 listopada 2026; cytaty w oryginale). Wniosek wspólny: kopia hostingu to zabezpieczenie hostingu, przydatne jako ostatnia deska ratunku, a nie zamiast własnej.

HostingCo deklaruje publicznieCo to znaczy dla Ciebie
nazwa.pl„Raz na dobę systemowe kopie bezpieczeństwa wszystkich danych”; „utrzymywane są przez co najmniej 48h”; „nie zastępują kopii bezpieczeństwa użytkownika”. Dane z nich „mogą jednak zostać udostępnione na warunkach przedstawionych w ramach Usług IT”. Dłuższa retencja i samodzielne przywracanie – w osobnej, płatnej usłudze kopii zapasowej.Masz najwyżej dwa dni na zauważenie problemu, a odzyskanie danych to osobna usługa, nie przycisk w panelu. Własna kopia jest konieczna.
LH.pl„Backup na serwerach LH.pl wykonywany jest codziennie i przechowywany przez 30 dni na zewnętrznym serwerze backupowym”; „kopia uwzględnia wszystkie pliki strony, a także bazę danych”. Przywracanie samodzielne: pobranie przez FTP i import. Ostrzeżenie: jeśli „infekcja na stronie występuje dłużej niż miesiąc, to przywracanie kopii zapasowej z ostatnich 30 dni nie przyniesie oczekiwanych rezultatów”.Najdłuższe okno z czterech i jasna deklaracja zawartości. Przywrócenie wymaga umiejętności (FTP, import bazy) albo wykonawcy. Włamanie sprzed ponad miesiąca jest poza zasięgiem.
cyber_FolksPomoc opisuje udostępnienie kopii z panelu i pobranie jej przez SSH (wget). Okresu przechowywania ani warunków odpowiedzialności nie znaleźliśmy na publicznych stronach pomocy.Zapytaj supportu o retencję na piśmie, zanim jej będziesz potrzebować. Pobranie kopii wymaga terminala – dla większości właścicieli to zadanie dla wykonawcy.
home.plNie znaleźliśmy publicznej polityki kopii systemowych; baza wiedzy opisuje płatną usługę dodatkową (kopie w chmurze Acronis).Załóż, że bez dodatkowej usługi kopii „dla Ciebie” nie ma. Potwierdź to jednym mailem do supportu.

Zasady mogą się zmienić i różnią się między pakietami – przed podjęciem decyzji sprawdź własną umowę i regulamin. Ale schemat jest ten sam u wszystkich: krótkie okno, przywracanie wymaga wiedzy lub kosztuje, odpowiedzialność za dane jest po Twojej stronie.

Zasada 3-2-1 po ludzku

Amerykańska agencja CISA (wcześniej US-CERT) opisuje regułę 3-2-1 tak: „3 – trzymaj 3 kopie każdego ważnego pliku: 1 podstawową i 2 zapasowe. 2 – trzymaj pliki na 2 różnych rodzajach nośników. 1 – przechowuj 1 kopię poza siedzibą”. Dla strony firmowej w 2026 wygląda to tak:

  • 3 kopie: strona na serwerze (podstawowa) + kopia automatyczna z wtyczki lub panelu hostingu + kopia poza hostingiem.
  • 2 nośniki: serwer hostingu to jeden. Drugi to dysk w chmurze (Google Drive, Dropbox, OneDrive) albo zewnętrzny dysk w firmie. Dokumentacja WordPressa radzi dokładnie taki układ: „jedna na serwerze hostingu, jedna w chmurze, jedna pobrana na własny komputer”.
  • 1 poza siedzibą: poza hostingiem. Kopia na tym samym koncie hostingowym ginie razem ze stroną, gdy konto zostanie przejęte, zablokowane za zaległą fakturę albo gdy hosting ma awarię.

Jak często? WordPress: „dla mniejszych witryn z niewielką liczbą wpisów kopie powinny być robione raz w tygodniu”, „dla witryn o dużej aktywności – codziennie”, a bazę danych „zawsze przed aktualizacją”. Prostsza reguła dla sklepu: tak często, jak często wpływają zamówienia, których nie chcesz stracić. Trzymaj „co najmniej 3–5 ostatnich kopii” – jedna może być uszkodzona, a włamanie zauważone po tygodniu wymaga kopii starszej niż tydzień.

Test w 15 minut: czy masz do czego wrócić

  1. Znajdź ostatnią kopię (3 min). Zaloguj się do panelu hostingu i poszukaj zakładki „Kopie zapasowe”/„Backup”. Jeśli masz wtyczkę do kopii w WordPressie (UpdraftPlus, BackWPup, Duplicator, Jetpack VaultPress), otwórz jej listę kopii. Zapisz datę ostatniej. Jeśli nie ma żadnej z dzisiaj lub wczoraj – test skończony, wynik znasz.
  2. Sprawdź, co jest w środku (5 min). Pobierz najnowszą kopię i rozpakuj. Szukaj dwóch rzeczy: pliku bazy danych (.sql lub .sql.gz) i katalogu z wgranymi plikami (wp-content/uploads lub odpowiednika). Brak pliku .sql = kopia bez treści i zamówień. Otwórz plik .sql w edytorze i poszukaj tytułu wczorajszego wpisu lub numeru ostatniego zamówienia – jeśli go nie ma, kopia jest stara albo niepełna.
  3. Sprawdź, gdzie leży (2 min). Jeśli jedyne miejsce to ten sam serwer, co strona – przenieś najnowszą kopię na dysk w chmurze teraz, ręcznie. Potem ustaw w wtyczce lub panelu automatyczne wysyłanie kopii poza hosting.
  4. Zapytaj o przywracanie (5 min). Napisz do hostingu lub wykonawcy jedno pytanie: „Gdybym dziś o 9:00 zgłosił, że strona jest zniszczona, do której godziny i za ile będzie przywrócona ze stanu z wczoraj?”. Odpowiedź z godziną i kwotą jest OK. Odpowiedź „to zależy” oznacza, że nikt tego nigdy nie zrobił.

Pełny test przywrócenia (odtworzenie kopii na adresie testowym i kliknięcie po stronie) to zadanie dla wykonawcy, 1–2 godziny, raz na kwartał lub po większej zmianie. Dopiero po nim wiadomo, że kopia działa, a nie tylko istnieje.

Sytuacja → co Cię ratuje → czego nie uratuje

Co się stałoCo ratujeCzego nie uratuje
Aktualizacja wtyczki zepsuła stronęWczorajsza kopia plików i bazy; w WordPressie często wystarczy wyłączyć wtyczkę przez FTPKopia z zeszłego miesiąca – stracisz treści i zamówienia z 30 dni
Włamanie zauważone po tygodniuKopia starsza niż włamanie (co najmniej 2 tygodnie wstecz) + aktualizacje + zmiana haseł; Google radzi „zastąpić zainfekowane pliki ostatnią dobrą kopią”Kopia hostingu z 48-godzinnym oknem – zawiera już zhakowaną stronę
Ktoś usunął produkty lub podstronyKopia bazy sprzed usunięcia; wykonawca może przywrócić same rekordyKopia samych plików (motyw, wtyczki) – treść jest w bazie
Konto hostingowe zablokowane lub przejęteKopia poza hostingiem (chmura/dysk) + dostęp do domeny, żeby wskazać nowy serwerKopie trzymane na tym samym koncie hostingu
Wykonawca zniknąłWłasna kopia + lista dostępów (hosting, domena, CMS) w Twoich rękach„On ma wszystko na laptopie”
Skrzynki e-mail zniknęłyOsobna kopia poczty (klient pocztowy z lokalną kopią lub archiwum)Kopia strony – nie zawiera poczty

Pytania do hostingu i wykonawcy (do wklejenia)

  • Jak często robicie kopie mojej strony i jak długo je trzymacie? Czy obejmują bazę danych?
  • Czy mogę sam przywrócić kopię z panelu, czy to zgłoszenie do supportu? Ile kosztuje i ile trwa?
  • Gdzie fizycznie leżą kopie – na tym samym serwerze co strona czy poza nim?
  • Kiedy ostatnio ktoś przywracał moją stronę z kopii i czy to zadziałało?
  • (Do wykonawcy) Czy przed każdą aktualizacją robicie kopię i gdzie ją zapisujecie? Czy dostanę do niej dostęp?

Co sprawdzamy w Webskanie

Kopii zapasowej nie widać z zewnątrz – nie sprawdzimy, czy ją masz. Patrzymy na to, co widać od strony klienta i Google, i na to, co się zmienia. W audycie pogłębionym wykrywamy nagłówki zdradzające wersje oprogramowania serwera (ułatwiają dobór ataku, po którym kopia stanie się potrzebna) oraz publicznie dostępne pliki, których nie powinno być pod adresem strony: zrzuty bazy, archiwa kopii, pliki konfiguracyjne i repozytorium .git – kopia zapasowa leżąca w katalogu strony to wyciek danych, nie zabezpieczenie. Webskan Monitor codziennie sprawdza stronę, zapisuje zrzut strony głównej i porównuje go z wczorajszym: gdy strona zacznie zwracać błędy, wyświetlać pustą treść, przekierowywać gdzie indziej albo wyglądać znacząco inaczej, dostajesz e-mail tego samego dnia – a to właśnie dzień, w którym kopia sprzed awarii jeszcze istnieje.

Szybki obraz za darmo

Darmowy szybki skan Webskan sprawdza stronę tak, jak widzi ją telefon klienta: certyfikat i przekierowanie na https, podstawowe nagłówki bezpieczeństwa, wydajność i SEO. Bez e-maila, bez rejestracji, wynik w ok. 30 sekund.

Chcesz, żeby ktoś codziennie porównywał stronę z wczorajszą i pisał, gdy coś się zmieni? Webskan Monitor (49 zł/mies.); 30 dni Monitora w cenie audytu pogłębionego (249 zł).

Źródła i narzędzia