Blog · 12 listopada 2026 · 7 min czytania

Przeskanowaliśmy 255 małych sklepów internetowych: co się psuje najczęściej

W dwa dni (10–11 listopada 2026) zmierzyliśmy strony główne 255 małych polskich sklepów internetowych tym samym narzędziem, z tego samego komputera i w tych samych warunkach. Wynik jest laboratoryjny, ale porównanie między sklepami jest uczciwe – i mało pocieszające: mediana szybkości na telefonie to 58/100, główna treść pojawia się po 8 sekundach, a co jedenasty sklep ma w internecie plik, którego nie powinien tam mieć.

Metoda w trzech zdaniach

Każdy sklep dostał ten sam pomiar strony głównej: Lighthouse w prawdziwej przeglądarce Chrome z symulacją telefonu i łącza 4G (tak liczy też Google PageSpeed Insights w trybie „laboratoryjnym”), plus kilkanaście sprawdzeń nagłówków HTTP, przekierowań, certyfikatu, HTML i publicznie dostępnych plików. Do zestawienia weszły tylko sklepy, dla których Lighthouse zdołał wystawić pełną ocenę – 255 z około 290 zmierzonych. Próba to małe sklepy z kilkudziesięciu nisz (zoo, kawa i herbata, kosmetyki, ogród, zabawki, sport, zdrowa żywność, rękodzieło, części i narzędzia) na WooCommerce, PrestaShop, Shopify i własnych silnikach; nie jest to próba reprezentatywna dla całego polskiego e-commerce, tylko obraz tego, jak wygląda typowy mały sklep.

Wynik laboratoryjny oznacza, że u prawdziwych klientów (szybszy telefon, Wi-Fi, pamięć podręczna) bywa lepiej, a na słabym telefonie w terenie – gorzej. Kolejność sklepów od najszybszego do najwolniejszego się od tego nie zmienia.

Szybkość: mediana 58/100, główna treść po 8 sekundach

Google uznaje LCP do 2,5 s za dobre, a powyżej 4 s za słabe. Trzy czwarte sklepów z próby jest w tej drugiej grupie – klient na telefonie przez kilka sekund patrzy na pustą stronę albo na sam pasek z logo. W naszym doświadczeniu najgorsze wyniki rzadko wynikają z samej platformy; częściej z liczby wtyczek, sliderów ze zdjęciami w pełnej rozdzielczości i skryptów marketingowych ładowanych na starcie (więcej w tekście Dlaczego strona jest wolna na telefonie).

Bezpieczeństwo: nagłówki prawie u nikogo, pliki, których nie powinno być widać, u co jedenastego

Nagłówki bezpieczeństwa to kilka linijek konfiguracji serwera, które ograniczają skutki błędów na stronie (wstrzyknięty skrypt, osadzenie sklepu w cudzej ramce, wyciek adresu strony w odnośnikach). Ich brak sam w sobie nie jest włamaniem, ale 98 % to liczba, która pokazuje, że prawie nikt tego nie konfiguruje – opisujemy je w tekście Nagłówki bezpieczeństwa HTTP.

Poważniejsza jest ostatnia pozycja. U 24 sklepów (9 %) w chwili skanu pod publicznym adresem leżał plik, który powinien być niewidoczny:

• 12× phpinfo (/phpinfo.php lub /info.php) – pełna konfiguracja serwera: wersja PHP, ścieżki na dysku, moduły, czasem zmienne środowiskowe;
• 10× log błędów PHP (/wp-content/debug.log, /error_log) – komunikaty z pełnymi ścieżkami plików i nazwami wtyczek; dwa z nich miały po około 190 MB i rosły od lat;
• 2× plik .DS_Store zostawiony przez macOS – lista plików i katalogów, także tych „ukrytych”;
• 2× katalog .git – możliwość pobrania całego kodu strony z historią zmian;
• 1× panel Adminer do bazy danych, wystawiony na świat z formularzem logowania.

Każdy z tych plików sprawdziliśmy ręcznie, zanim trafił do statystyki. Nazw sklepów nie publikujemy – to podatności, nie ciekawostki. Do właścicieli, dla których znaleźliśmy ogólny adres firmowy, wysłaliśmy po jednej wiadomości z opisem pliku i instrukcją, jak go zamknąć.

Podstawy SEO: nagłówek H1 i opis brakują częściej, niż można by sądzić

Żadna z tych pozycji sama nie decyduje o pozycji w Google, ale razem mówią, czy ktokolwiek zaglądał do strony od strony technicznej po jej wdrożeniu. Sklep bez tytułu strony głównej albo bez meta viewport to zwykle sklep, który od wdrożenia nikt nie otworzył w narzędziach dla programistów.

Dostępność: dwie trzecie poniżej 90/100

169 sklepów (66 %) ma ocenę dostępności Lighthouse poniżej 90. To automatyczny pomiar (kontrast, etykiety pól, nazwy linków i przycisków, kolejność nagłówków), który wyłapuje tylko część barier – ale od czerwca 2025 r. część sklepów internetowych podlega ustawie o dostępności (EAA), więc warto wiedzieć, od czego się zaczyna; piszemy o tym w tekście Dostępność strony a prawo.

Trzy rzeczy do sprawdzenia dziś we własnym sklepie

1. Szybkość na telefonie. Wpisz adres sklepu w PageSpeed Insights i spójrz na LCP w zakładce „Telefon”. Poniżej 2,5 s – dobrze; powyżej 4 s – klienci czekają na pustą stronę. Jak czytać resztę raportu: Jak czytać raport PageSpeed.
2. Przekierowanie i HSTS. Wpisz w przeglądarce adres z http:// – powinien natychmiast zmienić się na https://. Czy serwer wysyła HSTS, sprawdzisz w darmowym skanie poniżej albo w narzędziach dla programistów (zakładka Sieć → nagłówek Strict-Transport-Security).
3. Pliki, których nie powinno być. Wejdź w trybie prywatnym na twojsklep.pl/phpinfo.php, /info.php, /wp-content/debug.log, /.git/HEAD i /.env. Każdy z tych adresów powinien zwrócić błąd 403 lub 404. Jeśli zobaczysz treść – usuń plik (albo poproś o to opiekuna strony) i zablokuj go w konfiguracji serwera.

Zastrzeżenia

• Pomiar z 10–11 listopada 2026, z jednego komputera w Polsce, po jednym przebiegu Lighthouse na sklep. Pojedynczy wynik potrafi różnić się o kilka punktów między przebiegami; mediany i udziały procentowe są na to odporne, pojedyncze rekordy mniej.
• Do statystyki weszły tylko sklepy z pełną oceną Lighthouse (255 z ok. 290). Sklepy, które zablokowały pomiar albo nie załadowały się w 90 s, pominięto – gdyby je doliczyć, wyniki szybkości byłyby gorsze, nie lepsze.
• „Brak kompletu nagłówków bezpieczeństwa” oznacza brak co najmniej jednego z pięciu wymienionych; sklep z czterema z pięciu liczy się tak samo jak sklep bez żadnego.
• Pliki publicznie dostępne liczono według stanu z chwili skanu; każdy z 24 przypadków zweryfikowano ręcznie (kod HTTP 200 i treść pasująca do rodzaju pliku).