WordPressin ylläpitosopimus: Mitä palveluun pitäisi oikeasti kuulua?

WordPressin ylläpitosopimus kuulostaa yksinkertaiselta palvelulta: joku pitää sivuston päivitettynä ja huolehtii, että kaikki toimii.

Todellisuudessa hyvä ylläpitosopimus on paljon enemmän kuin ”päivitämme WordPressin kerran kuukaudessa”.

Sivuston ylläpitoon kuuluu parhaimmillaan jatkuva tietoturvan seuranta, varmuuskopiointi, päivitysten hallinta, ongelmien ennakointi ja tarvittaessa myös nopea reagointi, jos jotain rikkoutuu.

Siksi ylläpitosopimusta ostettaessa kannattaa kysyä ennen kaikkea:

Mitä palveluntarjoaja oikeasti tekee, ja mitä tapahtuu, jos sivusto rikkoutuu?

Pelkkä päivitys ei ole ylläpitoa

Yksi yleisimmistä ylläpitosopimusten ongelmista on liian suppea sisältö.

Palvelu voi luvata:

WordPress, teema ja lisäosat päivitetään kerran kuukaudessa.

Se on hyödyllistä, mutta ei yksinään vielä muodosta kattavaa ylläpitopalvelua.

Jos päivitys rikkoo sivuston, seuraavat kysymykset ovat paljon tärkeämpiä:

• Onko varmuuskopio olemassa?
• Kuka palauttaa sivuston?
• Kuinka nopeasti ongelmaan reagoidaan?
• Testataanko päivitykset?
• Seurataanko sivuston toimintaa?
• Kuuluuko korjaustyö kuukausihintaan?

Näihin kysymyksiin hyvän sopimuksen pitäisi antaa selkeä vastaus.

1. WordPressin päivitykset

Ylläpitosopimuksen perustason pitäisi sisältää WordPressin ydinohjelmiston päivitysten hallinta.

Palveluun kannattaa määritellä:

• WordPressin päivitykset
• tietoturvapäivitykset
• pienet versiopäivitykset
• suuremmat versionvaihdokset
• päivitysten seuranta

Erityisesti tietoturvapäivitysten kohdalla kuukausittainen aikataulu ei välttämättä riitä.

Jos kriittinen haavoittuvuus korjataan tänään, päivitystä ei pitäisi tarkoituksella odottaa seuraavaan kuukausihuoltoon.

2. Lisäosien päivitykset

Lisäosat muodostavat suuren osan WordPress-sivuston ylläpidosta.

Sopimuksessa kannattaa määritellä, kuuluvatko hintaan:

• kaikkien lisäosien päivitykset
• tietoturvapäivitykset
• maksullisten lisäosien lisenssit
• lisäosien yhteensopivuuden tarkistus
• ongelmallisten päivitysten selvittäminen

Erityisesti kannattaa kysyä:

Päivitetäänkö lisäosat vain vai myös korjataanko päivityksen aiheuttamat ongelmat?

Näillä on suuri ero.

3. Teeman ylläpito

Myös teeman päivitykset pitäisi määritellä sopimuksessa.

Tarkista esimerkiksi:

• kuuluuko parent-teeman päivitys
• kuuluuko Child Themen ylläpito
• kuuluuko custom-koodin korjaaminen
• testataanko ulkoasu päivityksen jälkeen

Jos teema on voimakkaasti räätälöity, pelkkä päivityksen asentaminen ei välttämättä riitä.

4. Varmuuskopiointi

Hyvä ylläpitosopimus sisältää toimivan varmuuskopioinnin.

Selvitä:

• kuinka usein varmuuskopio otetaan
• mitä varmuuskopio sisältää
• missä sitä säilytetään
• kuinka pitkään kopioita säilytetään
• ovatko kopiot tuotantopalvelimesta erillisessä paikassa
• testataanko palautusta

Esimerkiksi:

WordPress
   ↓
Varmuuskopio
   ↓
Erillinen tallennus
   ↓
Palautustesti

Pelkkä ”varmuuskopiointi sisältyy” ei vielä kerro juuri mitään.

5. Palautuspalvelu

Varmuuskopio on hyödyllinen vasta, kun siitä voidaan palauttaa toimiva sivusto.

Sopimuksessa pitäisi olla selvää:

Sisältyykö varmuuskopiosta palauttaminen hintaan?

Jos sivusto hakkeroidaan tai päivitys rikkoo sen, palautuksen pitäisi olla selkeä prosessi.

6. Tietoturvavalvonta

Ylläpitosopimuksessa kannattaa olla myös tietoturvan seuranta.

Palveluun voi kuulua esimerkiksi:

• malware-skannaus
• muuttuneiden tiedostojen seuranta
• kirjautumisyritysten seuranta
• WAF
• haitallisen liikenteen torjunta
• haavoittuvuuksien seuranta
• tietoturvahälytykset

Tietoturvapalvelu ja WordPressin päivitykset täydentävät toisiaan.

7. Haavoittuvuuksien seuranta

Hyvä ylläpito ei odota, että WordPress itse ilmoittaa ongelmasta.

Palveluntarjoajan pitäisi seurata käytössä olevien komponenttien tunnettuja haavoittuvuuksia.

Esimerkiksi:

Lisäosa X
↓
Uusi kriittinen haavoittuvuus
↓
Ylläpito saa hälytyksen
↓
Päivitys / korvaava ratkaisu
↓
Riski pienenee

Tämä on erityisen tärkeää silloin, kun lisäosaa ei voida päivittää välittömästi yhteensopivuusongelman vuoksi.

8. Sivuston toiminnan valvonta

Hyvä ylläpitosopimus ei pelkästään muokkaa sivustoa, vaan myös tarkkailee sitä.

Esimerkiksi:

• HTTP-tila
• 500-virheet
• SSL
• palvelun saavutettavuus
• tärkeät URL-osoitteet
• tietokantayhteys

Jos sivusto kaatuu kello 03.00, ylläpidon pitäisi pystyä havaitsemaan ongelma ilman, että asiakas huomaa sen ensimmäisenä.

9. SSL-sertifikaatin seuranta

HTTPS:n pitäisi olla itsestäänselvyys.

Ylläpidossa voidaan seurata:

• sertifikaatin voimassaoloa
• automaattista uusimista
• HTTPS-ohjauksia
• mixed content -ongelmia

Sertifikaatin vanheneminen voi tehdä muuten toimivasta sivustosta hetkessä epäluotettavan näköisen.

10. Palvelimen ylläpito

Jos sama palveluntarjoaja vastaa myös hostingista, kannattaa sopimuksessa määritellä, kuuluuko hintaan:

• PHP:n päivitykset
• tietokannan ylläpito
• palvelimen tietoturvapäivitykset
• levytilan seuranta
• resurssien seuranta
• palvelinlokien tarkistus

WordPress ei toimi tyhjiössä. Myös palvelinympäristö vaikuttaa suoraan sivuston toimintaan.

11. PHP-version hallinta

PHP:n vanhentunut versio voi aiheuttaa sekä tietoturva- että yhteensopivuusongelmia.

Ylläpitoon kannattaa sisällyttää:

• käytössä olevan PHP-version seuranta
• tuettuun versioon siirtyminen
• yhteensopivuuden testaaminen
• päivityksen jälkeinen tarkistus

PHP-päivitys kannattaa käsitellä muutoksena, ei vain yhtenä asetuksen vaihtona.

12. Suorituskyvyn seuranta

Kaikki ylläpitosopimukset eivät sisällä suorituskyvyn optimointia.

Jos se on tärkeää, sopimuksessa kannattaa määritellä esimerkiksi:

• Core Web Vitals
• sivujen latausajat
• tietokannan tila
• välimuisti
• CDN
• kuvien optimointi
• PHP-resurssit

On hyvä erottaa:

seuranta ja optimointi.

Se, että palveluntarjoaja huomaa sivuston hidastuneen, ei vielä tarkoita, että hidastumisen korjaaminen kuuluu hintaan.

13. Päivitysten testaaminen

Tämä on yksi tärkeimmistä kysymyksistä.

Kysy:

Testataanko päivitykset staging-ympäristössä ennen tuotantoa?

Jos vastaus on kyllä, seuraava kysymys on:

Mitä testataan?

Hyvä prosessi voi olla:

Backup
↓
Staging
↓
Päivitykset
↓
Testit
↓
Production
↓
Health check

Kaikki pienet sivustot eivät tarvitse täydellistä staging-ympäristöä jokaiseen päivitykseen, mutta kriittisissä projekteissa se on erittäin hyödyllinen.

14. Päivityksen jälkeinen tarkistus

Päivityksen jälkeen pitäisi tarkistaa ainakin tärkeimmät toiminnot.

Esimerkiksi:

• etusivu
• kirjautuminen
• lomakkeet
• hakutoiminto
• tärkeimmät sivut
• mobiilinäkymä

WooCommerce-sivustolla lisäksi:

• tuotesivu
• ostoskori
• checkout
• maksaminen
• tilaus
• sähköpostit

15. WooCommerce vaatii oman ylläpitotasonsa

Verkkokaupan ylläpitosopimusta ei kannata hinnoitella samalla tavalla kuin tavallista yrityssivustoa.

WooCommerce sisältää enemmän liiketoimintakriittisiä toimintoja.

Ylläpitoon voi kuulua:

• WooCommercen päivitykset
• maksutapojen testaus
• checkoutin seuranta
• tilausten toiminnan tarkistus
• sähköpostien seuranta
• toimitusintegraatiot
• verotusasetukset
• varastonhallinta

Jos jokin näistä ei kuulu sopimukseen, se kannattaa sanoa suoraan.

16. Lokien seuranta

Hyvä ylläpito tarkistaa tarvittaessa:

• WordPressin lokit
• PHP-lokit
• palvelimen error logit
• WAF-lokit
• WooCommerce-lokit
• cron-virheet

Lokien tarkistaminen auttaa havaitsemaan ongelmia ennen kuin ne näkyvät kävijälle.

17. Cron-tehtävien valvonta

WordPressissä toimii paljon taustatehtäviä.

Niitä voidaan käyttää esimerkiksi:

• sähköposteihin
• tilauksiin
• välimuistiin
• integraatioihin
• julkaisuajastuksiin

Jos cron-tehtävät epäonnistuvat, sivusto voi näyttää päällisin puolin toimivalta vaikka taustalla olisi ongelma.

18. Käyttäjähallinta

Ylläpitosopimukseen voi kuulua myös käyttäjätilien tarkistus.

Esimerkiksi:

• ylläpitäjien tarkistus
• vanhojen käyttäjien poistaminen
• roolien tarkistus
• epäilyttävien tunnusten tutkiminen

Tämä on erityisen tärkeää usean käyttäjän WordPress-sivustoilla.

19. Audit- ja Activity Log

Jos sivustolla on useita ylläpitäjiä, muutosten seuranta kannattaa ottaa huomioon.

Lokista voidaan nähdä esimerkiksi:

22.8. 10:15
User A
Updated plugin

22.8. 10:22
User B
Changed page

22.8. 10:31
User A
Created administrator

Tämä helpottaa sekä tietoturvaa että vianmääritystä.

20. Päivityshistoria

Hyvä ylläpitäjä pystyy vastaamaan kysymykseen:

Mitä sivustolla muuttui ennen kuin ongelma alkoi?

Sopimuksessa kannattaa määritellä, säilytetäänkö:

• päivityslokit
• muutosten historia
• varmuuskopiot
• ylläpitotoimenpiteet
• tietoturvatapahtumat

21. Vianmääritys kuuluu sopimukseen – tai sen ulkopuolelle

Tämä kohta kannattaa lukea erityisen tarkasti.

Jos sivusto rikkoutuu päivityksen jälkeen, kuuluuko:

ongelman selvittäminen ylläpitomaksuun?

Entä:

korjaaminen?

Esimerkiksi:

Lisäosan päivitys aiheutti PHP-fatal errorin.

Jos palveluntarjoaja vain asentaa päivityksen mutta laskuttaa ongelman korjaamisesta erikseen, kyseessä on aivan erilainen palvelu kuin kokonaisvaltainen ylläpito.

22. Mitä tarkoittaa ”tekninen tuki”?

”Tekninen tuki sisältyy” kuulostaa hyvältä, mutta on liian epämääräinen.

Sopimuksessa pitäisi määritellä:

• mitä tuki kattaa
• miten tukipyyntö tehdään
• vastausaika
• palveluaika
• kiireellisten ongelmien käsittely
• kuuluuko työ kuukausihintaan

Esimerkiksi:

Kriittisiin tuotantovirheisiin reagoidaan neljän tunnin sisällä palveluaikana.

on huomattavasti selkeämpi kuin:

Tarjoamme nopeaa teknistä tukea.

23. SLA eli palvelutasosopimus

Yrityskriittisessä WordPressissä kannattaa harkita SLA:ta.

Sopimuksessa voidaan määritellä esimerkiksi:

Tarkat ajat riippuvat palveluntarjoajasta ja palvelutasosta.

24. Mitä ylläpitosopimukseen ei välttämättä kuulu?

Tämä kannattaa kirjata yhtä selkeästi kuin mukaan kuuluvat asiat.

Usein erikseen laskutettavia töitä voivat olla:

• uusien ominaisuuksien kehitys
• kokonaan uuden sivun rakentaminen
• ulkoasun uudistaminen
• suuret integraatiot
• verkkokaupan kehitys
• sisällöntuotanto
• SEO-työ
• migraatiot
• laajat tietokantakorjaukset

Hyvä sopimus ei yritä piilottaa näitä kohtia.

25. Kuukausittainen ylläpitoraportti

Hyvä ylläpitopalvelu voi lähettää asiakkaalle raportin.

Raportissa voidaan näyttää esimerkiksi:

WordPress: päivitetty
Lisäosat: 14 päivitystä
Tietoturvaskannaus: OK
Varmuuskopiot: OK
SSL: OK
Uptime: 99,98 %
Kriittiset virheet: 0

Tällöin asiakas tietää, mitä ylläpitomaksulla oikeasti tehdään.

26. Ylläpitosopimus ei saa olla pelkkä ”päivityspaketti”

Jos palvelun sisältö on:

Päivitämme WordPressin ja lisäosat kerran kuukaudessa.

se voi olla täysin validi palvelu.

Sitä ei kuitenkaan kannata markkinoida kokonaisvaltaisena ylläpitona, jos siihen ei kuulu:

• valvonta
• varmuuskopiointi
• palautus
• tietoturva
• vianmääritys

Palvelun nimi ja sisältö kannattaa pitää linjassa.

27. Kolme järkevää ylläpitotasoa

Palvelun voi esimerkiksi jakaa kolmeen tasoon.

Perus

• WordPress-päivitykset
• lisäosapäivitykset
• teemojen päivitykset
• kuukausittainen tarkistus
• varmuuskopiointi

Tietoturva

• kaikki Perus-tason palvelut
• tietoturvaskannaus
• WAF
• haavoittuvuusseuranta
• kirjautumisten seuranta
• palautuspalvelu

Premium

• kaikki Tietoturva-tason palvelut
• staging
• päivitysten testaus
• suorituskyvyn seuranta
• uptime-monitorointi
• priorisoitu tuki
• SLA
• kuukausiraportointi

Näin asiakkaan on helpompi ymmärtää, mistä hän maksaa.

28. Mitä asiakkaan kannattaa kysyä ennen sopimuksen allekirjoittamista?

Hyvä kysymyslista on esimerkiksi:

Päivitykset

• Mitä päivitetään?
• Kuinka usein?
• Ovatko tietoturvapäivitykset automaattisia?

Varmuuskopiot

• Kuinka usein?
• Missä säilytetään?
• Kuinka pitkään?
• Testataanko palautusta?

Tietoturva

• Sisältyykö malware-skannaus?
• Onko WAF?
• Seurataanko haavoittuvuuksia?

Ongelmat

• Kuka korjaa rikkoutuneen sivuston?
• Kuuluuko päivityksen aiheuttaman ongelman korjaaminen hintaan?

Tuki

• Millainen vasteaika on?
• Onko päivystystä?
• Miten kriittiset ongelmat käsitellään?

Raportointi

• Saako asiakas kuukausiraportin?
• Näkyvätkö tehdyt muutokset?

29. Omistajuus kannattaa määritellä

Ylläpitosopimuksessa kannattaa määritellä myös:

• kuka omistaa WordPress-sivuston
• kuka omistaa verkkotunnuksen
• kuka hallitsee hostingia
• kuka omistaa lisenssit
• kuka hallitsee CDN:ää
• kuka omistaa varmuuskopiot

Asiakkaan ei pitäisi olla tilanteessa, jossa sivustolle ei pääse ilman ylläpitoyritystä.

30. Poistumistilanne

Hyvä ylläpitosopimus toimii myös silloin, kun yhteistyö päättyy.

Sopimuksessa kannattaa määritellä:

• miten sivusto luovutetaan
• miten tunnukset siirretään
• miten varmuuskopiot luovutetaan
• mitä tapahtuu lisensseille
• mitä dokumentaatiota toimitetaan

Tämä kertoo paljon palvelun ammattimaisuudesta.

Ylläpitosopimuksen tarkistuslista

☐ WordPress-päivitykset
☐ Lisäosapäivitykset
☐ Teemapäivitykset
☐ Tietoturvapäivitykset
☐ Varmuuskopiot
☐ Palautuspalvelu
☐ Malware-skannaus
☐ WAF
☐ Haavoittuvuuksien seuranta
☐ Uptime-valvonta
☐ SSL-valvonta
☐ PHP-version seuranta
☐ Palvelimen seuranta
☐ Lokien tarkistus
☐ Cron-tehtävien seuranta
☐ Päivitysten jälkeinen testaus
☐ Vianmääritys
☐ Tekninen tuki
☐ SLA / vasteajat
☐ Kuukausiraportointi
☐ Käyttäjähallinta
☐ Muutosten lokitus
☐ WooCommerce-tarkistukset tarvittaessa

Lopuksi: mitä ylläpidosta oikeasti kannattaa maksaa?

Hyvä WordPressin ylläpitosopimus ei ole sellainen, jossa luvataan mahdollisimman paljon epämääräisiä palveluita.

Sen pitäisi olla selkeä sopimus siitä, kuka huolehtii sivustosta, mitä seurataan, mitä päivitetään, miten ongelmiin reagoidaan ja mitä tapahtuu, jos jokin menee rikki.

Erityisen tärkeää on erottaa toisistaan kolme asiaa:

Ylläpito: pidetään järjestelmä kunnossa.

Valvonta: huomataan ongelmat.

Kehitys: rakennetaan uusia ominaisuuksia.

Näiden sekoittaminen tekee ylläpitosopimuksesta helposti epäselvän.

Paras sopimus on lopulta hyvin yksinkertainen ymmärtää: asiakas tietää, mitä kuukausihintaan kuuluu, palveluntarjoaja tietää vastuunsa ja molemmat tietävät, mitä tapahtuu poikkeustilanteessa.