Jak zrobić backup WordPressa – wtyczki i dobre praktyki

Backup robiony „kiedyś tam” nie ratuje strony. Ratuje ją kopia, która jest kompletna, świeża, możliwa do pobrania i trzymana poza serwerem. Najgorszy scenariusz wygląda zwykle banalnie: aktualizacja wtyczki wysypuje stronę, hosting czyści konto po infekcji albo ktoś przypadkiem usuwa katalog z mediami. Wtedy okazuje się, że na serwerze były trzy pliki ZIP, ale wszystkie w tym samym miejscu co uszkodzona strona.

Dobry backup WordPress nie musi być drogi ani skomplikowany. Dla małej strony firmowej często wystarczy darmowa wtyczka, automatyczny harmonogram i kopia wysyłana na Google Drive albo Dropbox. Problem zaczyna się wtedy, gdy użytkownik myli eksport wpisów z pełną kopią strony albo zostawia archiwa backupu w katalogu wp-content i uznaje temat za zamknięty. To nie jest zamknięty temat. To dopiero pół zabezpieczenia.

Pliki i baza danych: z czego tak naprawdę składa się pełna kopia zapasowa WordPressa

Pełna kopia zapasowa WordPressa ma dwa filary: pliki strony i bazę danych. WordPress w swojej dokumentacji administracyjnej rozdziela te elementy wprost: backup plików nie jest backupem bazy, a backup bazy nie obejmuje motywów, wtyczek, uploadów ani konfiguracji serwera.

Baza danych przechowuje treść i ustawienia. To tam siedzą wpisy, strony, komentarze, konta użytkowników, ustawienia WordPressa, konfiguracje wielu wtyczek, a w sklepie WooCommerce także zamówienia, statusy płatności i dane klientów. Eksport bazy ma zwykle postać pliku .sql, czasem spakowanego jako .gz lub .bz2. WordPress podkreśla, że backup bazy obejmuje m.in. wpisy, strony, komentarze i ustawienia, ale nie obejmuje plików strony.

Pliki WordPressa to druga połowa układanki. W praktyce największe znaczenie mają:

• wp-content/uploads – zdjęcia, PDF-y, grafiki, pliki dodane przez bibliotekę mediów;
• wp-content/themes – aktywny motyw i motywy potomne;
• wp-content/plugins – zainstalowane wtyczki;
• wp-config.php – plik z danymi połączenia z bazą i ważnymi ustawieniami;
• niestandardowe katalogi, jeśli strona ma własne integracje, pliki do pobrania, cache statyczny albo katalogi tworzone przez wtyczki.

Najczęstszy błąd: ktoś pobiera tylko bazę danych z phpMyAdmina i mówi, że ma backup WordPressa. Nie ma. Ma treść bez obrazów, motywu, wtyczek i konfiguracji. Drugi błąd działa odwrotnie: ktoś kopiuje pliki przez FTP, ale zapomina o bazie. Po odtworzeniu takiego zestawu dostaje WordPressa bez aktualnej treści.

Pełny backup powinien pozwolić odtworzyć stronę jako całość, czyli:

• pliki WordPressa,
• bazę danych,
• plik konfiguracyjny,
• media,
• motywy i wtyczki,
• informację o wersji PHP, WordPressa i najważniejszych wtyczek.

Nie każdy backup musi być identycznie szeroki. Przed aktualizacją jednej wtyczki wystarczy szybka kopia bazy i plików wtyczek, ale przed migracją hostingu albo większą przebudową strony robi się pełny pakiet. Przy sklepie internetowym baza danych ma wyższy priorytet niż przy statycznej stronie wizytówce, bo nowe zamówienia mogą pojawiać się co kilka minut. Pliki motywu zmieniają się rzadko; baza sklepu zmienia się stale.

W praktyce dobrze działa prosta zasada: baza danych częściej, pliki rzadziej. Dla bloga publikującego raz w tygodniu codzienny backup bazy i tygodniowy backup plików jest zwykle wystarczający. Dla WooCommerce minimum to codzienny backup plików i częstszy backup bazy; przy aktywnej sprzedaży nawet co kilka godzin. Nie daje to gwarancji braku straty danych, ale ogranicza okno, z którego można coś utracić.

Przed pierwszą konfiguracją sprawdź rozmiar strony. Nie zgaduj. W panelu hostingu, przez menedżer plików albo SFTP zobacz wagę wp-content/uploads, a w phpMyAdminie rozmiar bazy. Potem policz miejsce tak:

rozmiar jednej kopii × liczba przechowywanych kopii × 1,2 zapasu

Jeśli pełna kopia waży 1,8 GB, a chcesz trzymać 4 ostatnie wersje, potrzebujesz co najmniej 8,6 GB miejsca. Darmowe 2 GB w Dropboxie wtedy odpadają od razu. Darmowe 15 GB na koncie Google może wystarczyć, ale tylko wtedy, gdy to samo konto nie jest już zapchane Gmailem i Zdjęciami Google. Google podaje, że bezpłatne konto ma do 15 GB współdzielonego miejsca, a pakiet Google One Basic 100 GB kosztuje w Polsce 8,99 zł miesięcznie.

Przegląd wtyczek do backupu – które narzędzie wybrać do darmowej automatyzacji

Do automatycznego backupu WordPressa w darmowej wersji najrozsądniej zacząć od narzędzia, które umie robić harmonogram i wysyłać kopię poza serwer bez dopłaty. Tu wybór nie jest symetryczny, bo popularne wtyczki mają różne priorytety.

UpdraftPlus to najbezpieczniejszy wybór na start dla większości małych i średnich stron. Darmowa wersja obsługuje harmonogram, ręczne kopie i wysyłkę m.in. do Google Drive, Dropbox, Amazon S3, FTP oraz na e-mail. WordPress.org opisuje ją jako wtyczkę z możliwością backupu do wybranej lokalizacji oraz z obsługą Dropboxa, Google Drive, S3, FTP i innych miejsc docelowych.

Dlaczego w praktyce często wygrywa? Bo rozdziela harmonogram plików i bazy danych. Można ustawić bazę codziennie, pliki raz w tygodniu i trzymać np. 4 ostatnie kopie. To jest dokładnie ten poziom kontroli, którego potrzebuje właściciel strony firmowej bez administratora na etacie. Wtyczka ma też płatną wersję Premium; na 18 czerwca 2026 r. plan Personal dla Polski jest pokazany na stronie producenta jako 86,10 USD rocznie z VAT i obejmuje do 2 stron. Premium dodaje m.in. backup przed aktualizacjami, kopie przyrostowe i przechowywanie w wielu lokalizacjach.

Moja decyzja graniczna: jeżeli strona nie zarabia bezpośrednio i ma kilka podstron, darmowy UpdraftPlus wystarczy. Jeżeli to sklep, portal z kontami użytkowników albo strona klienta, na której przestój oznacza realny koszt, płatne funkcje typu backup przed aktualizacją i kopie przyrostowe zaczynają mieć sens.

Duplicator jest świetny, ale nie do tego samego zadania. Darmowa wersja dobrze sprawdza się jako narzędzie do ręcznego wykonania paczki strony przed migracją, zmianą hostingu albo większą przebudową. Tworzy archiwum strony i plik instalatora; dokumentacja Duplicatora opisuje, że backup Pro zawiera pliki WordPressa i bazę danych oraz generuje plik installer.php.

Do darmowej automatyzacji nie wybierałbym Duplicatora jako pierwszego narzędzia. Sam opis wtyczki na WordPress.org zaznacza, że Duplicator Lite jest wersją darmową, a harmonogramy, integracje z chmurą i multisite są elementami Duplicator Pro. Płatny Duplicator Pro w cenniku producenta pokazuje plan Basic jako „normally $79”, z funkcjami takimi jak scheduled backups, restore points, szyfrowanie plików i jedna lokalizacja chmurowa; producent zaznacza też, że ceny są w USD, a promocyjne ceny odnawiają się po pełnej stawce.

Decyzja jest prosta: Duplicator Lite do ręcznej paczki przed dużą zmianą, UpdraftPlus albo inne narzędzie z harmonogramem do stałej ochrony. Mieszanie tych ról kończy się zwykle tym, że użytkownik ma jedną starą paczkę migracyjną i żadnego aktualnego backupu.

BackWPup to solidna alternatywa, jeśli ktoś chce darmowy harmonogram i zewnętrzne miejsca przechowywania. WordPress.org podaje, że darmowa wersja BackWPup obejmuje pełny backup, harmonogram, obsługę zewnętrznych usług takich jak Dropbox, S3 i FTP oraz przywracanie. To dobra opcja dla osób, które wolą bardziej techniczny układ ustawień i nie boją się konfiguracji zadań backupu.

WPvivid ma mocny zestaw funkcji w darmowej wersji: backup całej strony, samych plików albo samej bazy, harmonogram co 12 godzin, codziennie, tygodniowo, co dwa tygodnie albo miesięcznie, a także wysyłkę do Google Drive, Dropbox, OneDrive, Amazon S3, DigitalOcean Spaces, FTP i SFTP. Ma też ważny niuans techniczny: dokumentacja WPvivid podaje, że harmonogram opiera się na WordPress cron, więc na stronach z bardzo małym ruchem zadanie może wystartować z opóźnieniem.

Przy WPvivid dodałbym jedno twarde ostrzeżenie: backup plugin też jest powierzchnią ataku. W 2026 r. NVD opisało podatność CVE-2026-1357 w WPvivid Backup & Migration w wersjach do 0.9.123, pozwalającą na nieuwierzytelnione przesyłanie plików i potencjalne wykonanie kodu; Wordfence wskazał wersję 0.9.124 jako załataną. To nie znaczy, że narzędzia nie wolno używać. To znaczy, że wtyczki do backupu WordPress muszą być aktualizowane równie pilnie jak wtyczki bezpieczeństwa.

Najkrótszy wybór narzędzia wygląda tak:

• wybierz UpdraftPlus, jeśli chcesz najprościej ustawić automatyczny backup WordPress do Google Drive lub Dropbox;
• wybierz BackWPup, jeśli chcesz darmowego harmonogramu i bardziej technicznej kontroli nad zadaniami;
• wybierz WPvivid, jeśli zależy Ci na darmowym harmonogramie, chmurze i stagingu, ale pilnuj aktualizacji;
• wybierz Duplicator Lite, jeśli robisz ręczną paczkę przed migracją, a nie stały backup;
• wybierz płatną wersję, gdy strona zarabia, ma zamówienia, konta użytkowników, wiele zmian dziennie albo musi mieć backup przed każdą aktualizacją.

Konfiguracja na start w UpdraftPlus wygląda rozsądnie tak:

1. Zainstaluj wtyczkę z repozytorium WordPressa.
2. Wejdź w ustawienia UpdraftPlus.
3. Ustaw osobno harmonogram plików i bazy danych.
4. Wybierz zdalne miejsce przechowywania: Google Drive, Dropbox, S3 albo FTP.
5. Zaloguj konto chmurowe i zatwierdź dostęp.
6. Ustaw liczbę przechowywanych kopii, np. 4.
7. Zapisz ustawienia.
8. Uruchom ręcznie pierwszy backup.
9. Sprawdź, czy pliki kopii faktycznie pojawiły się w chmurze.
10. Pobierz jedną kopię lokalnie i sprawdź, czy archiwum nie jest puste.

Ostatni punkt brzmi banalnie, ale na nim wychodzą błędy: brak autoryzacji Google Drive, przerwany proces ZIP, limit miejsca na hostingu, zbyt krótki max_execution_time, blokada po stronie firewalla albo backup katalogu backupów, który powoduje puchnięcie kolejnych archiwów.

Gdzie bezpiecznie przechowywać kopie zapasowe i jak ustawić harmonogram ich tworzenia

Backup trzymany tylko na tym samym hostingu to wygodna kopia robocza, nie plan bezpieczeństwa. Jeśli hosting usunie konto, dysk padnie, malware zaszyfruje katalogi albo administrator skasuje pliki, kopia leżąca obok strony może zniknąć razem z nią. CISA zaleca zasadę 3-2-1: 3 kopie ważnych plików, 2 różne typy nośników i 1 kopia poza lokalizacją główną.

Dla WordPressa można to przełożyć prosto:

• 1. kopia – działająca strona na serwerze;
• 2. kopia – lokalna kopia backupu pobrana na komputer albo dysk zewnętrzny;
• 3. kopia – backup poza serwerem, np. Google Drive, Dropbox, S3, Backblaze B2, FTP/SFTP na innym hostingu;
• 1 kopia poza serwerem – obowiązkowo, nie opcjonalnie.

Przy ransomware dochodzi jeszcze jeden problem: kopia stale podłączona i dostępna z tego samego konta może zostać usunięta albo zaszyfrowana. CISA w poradniku ransomware zaleca utrzymywanie offline’owych, szyfrowanych backupów oraz regularne testowanie ich dostępności i integralności, bo wiele odmian ransomware próbuje znaleźć, usunąć lub zaszyfrować dostępne kopie.

Dla zwykłej strony firmowej najlepszy kompromis to Google Drive. Ma 15 GB darmowego miejsca współdzielonego z Gmailem i Zdjęciami Google, a płatny pakiet 100 GB kosztuje w Polsce 8,99 zł miesięcznie. Dropbox też działa, ale darmowy plan Basic daje tylko 2 GB, więc szybko robi się za ciasno; płatny Dropbox Plus ma 2 TB i na stronie Dropboxa widnieje za 9,99 euro miesięcznie.

Nie wybieraj miejsca przechowywania po nazwie usługi. Wybierz je po ryzyku:

• Google Drive – dobry start dla małych stron, łatwa integracja, sensowny darmowy limit;
• Dropbox – wygodny, ale darmowe 2 GB często nie wystarczą nawet na kilka kopii większej strony;
• Amazon S3 / kompatybilne S3 – dobre dla większych serwisów i agencji, ale wymaga lepszej konfiguracji uprawnień;
• FTP/SFTP na innym serwerze – działa, lecz wymaga pilnowania haseł i izolacji od głównego hostingu;
• lokalny dysk zewnętrzny – dobry jako dodatkowa kopia, słaby jako jedyne zabezpieczenie.

Harmonogram ustawiaj według tego, jak często zmienia się strona, nie według własnego spokoju ducha. Strona wizytówka aktualizowana raz w miesiącu nie potrzebuje backupu co godzinę. Sklep internetowy nie powinien czekać tydzień na kolejną kopię bazy.

Praktyczny schemat:

• strona wizytówka: baza raz dziennie lub co tydzień, pliki raz w tygodniu, 3–4 kopie;
• blog z regularnymi publikacjami: baza codziennie, pliki raz w tygodniu, 4–8 kopii;
• serwis z formularzami leadów: baza codziennie, przed zmianami ręczny backup, 7–14 kopii;
• WooCommerce: baza co kilka godzin lub częściej, pliki codziennie albo co kilka dni, osobny backup przed aktualizacjami;
• strona po dużych zmianach contentowych: ręczny backup przed i po wdrożeniu.

Najważniejsza decyzja: nie ustawiaj jednego harmonogramu dla wszystkiego tylko dlatego, że wtyczka ma taką opcję. Baza danych bywa mała i zmienna. Pliki bywają duże i zmieniają się rzadziej. Kopiowanie wszystkiego co godzinę na tanim hostingu współdzielonym potrafi spowolnić stronę, dobić limit CPU albo zakończyć backup błędem.

Ustaw też retencję, czyli liczbę przechowywanych kopii. Brak retencji kończy się zapełnieniem dysku. Zbyt agresywna retencja kończy się tym, że masz tylko jedną kopię — akurat po infekcji. Dla małej strony trzymałbym minimum 4 ostatnie kopie. Dla sklepu: kilka szybkich kopii bazy z ostatnich godzin lub dni plus starsze kopie dzienne. Jeżeli backup zawiera dane klientów, włącz szyfrowanie tam, gdzie narzędzie to oferuje, i zabezpiecz konto chmurowe MFA.

Ręczny backup rób zawsze przed:

• aktualizacją WordPressa, motywu lub ważnej wtyczki;
• zmianą wersji PHP;
• instalacją wtyczki ingerującej w bazę danych;
• czyszczeniem bazy;
• migracją hostingu;
• większą zmianą w WooCommerce;
• importem produktów, wpisów lub użytkowników.

I jeszcze jedno: sprawdzaj logi. Backup zakończony komunikatem „completed with warnings” nie jest pełnym sukcesem. Jeżeli w logu widać pominięte katalogi, timeout, brak miejsca, błąd ZIP albo zerwane połączenie z Google Drive, nie odkładaj tego. Stary, niepełny backup daje fałszywe poczucie bezpieczeństwa — a to jest gorsze niż brak backupu, bo przez dłuższy czas nie szukasz problemu.

FAQ: najczęstsze pytania o backup WordPressa

Czy sam backup bazy danych wystarczy?
Nie. Baza danych przechowuje treść i ustawienia, ale nie zawiera motywów, wtyczek, uploadów ani pliku wp-config.php. Pełny backup WordPress powinien obejmować bazę i pliki.

Czy backup hostingu wystarczy?
Nie jako jedyne zabezpieczenie. Backup hostingu jest wygodny, ale nadal zależy od tego samego dostawcy, panelu i konta. Trzymaj własną kopię poza serwerem, najlepiej zgodnie z zasadą 3-2-1.

Jaka wtyczka będzie najlepsza na start?
Dla większości małych stron: UpdraftPlus. Darmowa wersja pozwala ustawić harmonogram i wysyłać kopie m.in. do Google Drive, Dropbox, S3 i FTP.

Czy Duplicator nadaje się do automatycznego backupu?
W wersji Lite traktuj go raczej jako narzędzie do ręcznej paczki i migracji. Harmonogramy i integracje chmurowe są elementami Duplicator Pro.

Jak często robić backup WordPressa?
Tak często, jak często zmieniają się dane. Blog może mieć codzienną bazę i tygodniowe pliki. Sklep powinien kopiować bazę częściej, bo zamówienia i dane klientów zmieniają się w ciągu dnia.

Gdzie trzymać kopie zapasowe?
Minimum jedna kopia musi być poza serwerem strony. Google Drive jest dobrym startem, bo darmowe konto ma do 15 GB miejsca współdzielonego z Gmailem i Zdjęciami Google, a płatny plan 100 GB w Polsce kosztuje 8,99 zł miesięcznie.

Ile kopii przechowywać?
Dla małej strony zacznij od 4 ostatnich kopii. Dla sklepu trzymaj więcej wersji bazy danych, bo jedna kopia wykonana po błędzie może nadpisać ostatnią dobrą wersję.

Czy trzeba testować backup?
Tak. Nie musisz od razu opisywać całego procesu przywracania, ale musisz sprawdzić, czy kopia istnieje, ma sensowny rozmiar, da się pobrać i nie kończy się błędami w logu. CISA zaleca regularne testowanie procedur backupu i integralności kopii.

Od czego zacząć dzisiaj?
Zainstaluj UpdraftPlus, ustaw bazę codziennie, pliki raz w tygodniu, wybierz Google Drive jako zewnętrzne miejsce przechowywania, zachowaj 4 kopie i uruchom pierwszy ręczny backup. Potem sprawdź w chmurze, czy pliki faktycznie tam są.