Proč jsou šablonové weby na WordPressu pastí pro rostoucí firmy

01WordPress sám o sobě špatný není

WordPress je poctivě udržovaný open source a jeho jádro je bezpečnější, než se říká. Podle zprávy Patchstack za rok 2025 se v samotném jádru našlo jen 6 zranitelností, všechny s nízkou prioritou. Adresář wordpress.org nabízí téměř 70 000 bezplatných pluginů a na většinu běžných potřeb existuje hotové řešení.

Na firemní vizitku, osobní blog nebo web s pár stránkami, který se mění jednou za půl roku, je WordPress často rozumná volba. Pokud ho navíc spravuje někdo, kdo pravidelně aktualizuje, hlídá zálohy a nepřidává plugin na každou drobnost, může fungovat roky bez potíží.

Past nevytvořil WordPress. Vzniká teprve kombinací hotové šablony, desítek doplňků od různých autorů a firmy, která roste rychleji než její web. Právě na tu kombinaci se podíváme.

02Past 1: pluginy, které nikdo nehlídá

Každý plugin je cizí kód od jiného autora s jiným tempem oprav. Firma, která má na webu dvacet pluginů, tak ve skutečnosti závisí na dvaceti různých dodavatelích, se kterými nemá žádnou smlouvu.

Čísla od firmy Patchstack, která se na bezpečnost WordPressu specializuje a ochranu webů sama prodává, jsou za rok 2025 výmluvná. V ekosystému přibylo 11 334 nových zranitelností, o 42 % víc než rok předtím. Z nich 91 % bylo v pluginech, 9 % v šablonách a v samotném jádru jen 6. A 46 % děr nemělo v den zveřejnění žádnou opravu, takže nebylo co aktualizovat.

Druhým problémem je rychlost útočníků. Zhruba polovinu závažných děr podle Patchstacku zneužili do 24 hodin a u nejvíc napadaných uběhlo od zveřejnění k prvnímu útoku ve váženém mediánu jen 5 hodin. Kdo kontroluje aktualizace jednou týdně, přichází pozdě. Spoléhat na hosting taky nestačí: v rozsáhlém testu Patchstacku zastavila ochrana populárních hostingů jen 26 % útoků.

Pozor i na prémiové šablony a pluginy z tržišť, jako je Envato (ThemeForest). Podle stejné zprávy měly placené komponenty třikrát víc aktivně zneužívaných zranitelností než bezplatné. Patchstack to vysvětluje tím, že se k jejich kódu bezpečnostní výzkumníci dostanou hůř, a placený kód proto méně lidí kontroluje. Placená šablona tedy ještě neznamená bezpečnější šablonu.

Jak to vypadá v praxi, ukázala v srpnu 2024 chyba v pluginu LiteSpeed Cache. Kritická zranitelnost CVE-2024-28000 umožňovala útočníkovi bez přihlášení získat práva správce a plugin byl v té době na více než 5 milionech webů. Jak se proti podobným útokům přes cizí kód bránit, rozebíráme v článku o útocích přes npm a únicích API klíčů.

03Past 2: údržba, která nikdy nekončí

Web na WordPressu se nedá postavit a nechat být. Jádro, šablona, pluginy i PHP, na kterém celý web běží, mají vlastní životní cyklus a všechno musí jít dohromady. Oficiální statistiky wordpress.org, které počítají weby stahující aktualizace z wordpress.org, ukazují, jak to v praxi dopadá.

Více než třetina těchto webů (37,6 %) běží na verzi PHP, která už nedostává bezpečnostní opravy. Pětina je dokonce stále na PHP 7. Téměř čtvrtina webů je na PHP 8.2, jehož podpora skončí 31. prosince 2026. Nejnovější řadu WordPressu 7.1 používá jen 58,7 % z nich.

Tolik webů zamrzne na starých verzích z prostého důvodu: aktualizace PHP nebo jádra může rozbít starší šablonu či plugin, jehož autor už kód neudržuje. Majitel webu pak volí mezi zranitelným webem a rozbitým webem. Obojí stojí peníze.

Aktuální příklad: 22. září 2026 vyšel WordPress 7.1.2 s opravou kritické chyby v jádru (CVE-2026-87902). Útočník ji mohl zneužít bez přihlášení a za určitých podmínek na serveru a v aktivní šabloně mohla vést až ke vzdálenému spuštění kódu. Weby se zapnutými automatickými aktualizacemi dostaly opravu samy. Ty s vypnutými musel někdo aktualizovat ručně a zkontrolovat, že se nic nerozbilo.

Údržbu komplikuje i zákon o přístupnosti. Od 28. června 2025 je účinný zákon č. 424/2023 Sb. o požadavcích na přístupnost, který se týká mimo jiné e-shopů a dalších služeb elektronického obchodování pro spotřebitele (mikropodniky jsou vyňaty). Upravit přístupnost v cizí šabloně, jejíž úpravy může každá aktualizace přepsat, je výrazně těžší než u webu, jehož kód máte pod kontrolou.

04Past 3: předplatné za pluginy, které roste s webem

Šablona se zaplatí jednou, ale funkce, které firma časem potřebuje, se u oblíbených pluginů platí každý rok. Sečetli jsme sedm oblíbených prémiových pluginů podle aktuálních ceníků výrobců. U každého jsme vzali nejlevnější tarif, jen u WPML verzi Multilingual CMS (nejlevnější Multilingual Blog stojí 39 EUR).

Dohromady je to zhruba 11 700 Kč ročně jen za licence, bez hostingu a bez člověka, který web udržuje. A to jde o jeden web v nejlevnějších použitelných tarifech. Každý další web nebo vyšší tarif cenu posune výš.

Když licenci neobnovíte, plugin obvykle dál funguje, ale přestane dostávat aktualizace a u některých, třeba u WP Rocket, přijdete i o část funkcí. WPML to na svém ceníku říká otevřeně: bez aktualizací je web v ohrožení. Kdo na obnově ušetří, vrací se k bezpečnostnímu riziku z první pasti.

05Past 4: rychlost, kterou těžko doženete

Google měří rychlost, odezvu a stabilitu webů u skutečných návštěvníků pomocí metrik Core Web Vitals. HTTP Archive z těchto dat každý měsíc počítá, kolik webů na jednotlivých platformách v testu obstojí. Za srpen 2026 vychází WordPress hůř než průměr celého webu, ve světě i v Česku.

Na mobilu projde testem 48,7 % webů na WordPressu, zatímco průměr všech webů je 53 %. V Česku je to 59,8 % proti 67,3 %. Web Almanac 2025 řadí WordPress mezi nejhůře hodnocené systémy. Příčinou bývá méně samotný WordPress a víc to, co se na něj naloží: vizuální editory, slidery, desítky skriptů z pluginů a šablony, které umí všechno pro všechny. Uzavřené stavebnice jako Wix si výkon do velké míry hlídají samy, zato vás svazují ještě víc, protože web z nich jinam jednoduše nepřenesete.

Na rychlosti záleží i v penězích. Studie Deloitte pro Google z roku 2020 zjistila, že zrychlení mobilního webu o 0,1 sekundy šlo ruku v ruce s nárůstem konverzí v maloobchodě o 8,4 %. Vodafone v A/B testu zrychlil načtení hlavního obsahu (LCP) o 31 % a tržby z testované stránky vzrostly o 8 %.

Vlastní kód ale sám o sobě rychlost nezaručí. I web na míru se dá postavit pomalu. Rozdíl je v tom, že u vlastního webu máte pod kontrolou každý řádek a nemusí se načítat nic zbytečného. U šablony s pluginy často optimalizujete něco, co jste sami nenapsali a nemůžete z webu vyhodit.

06Past 5: web roste pomaleji než firma

Nejdražší past není vidět v žádném ceníku. Je to chvíle, kdy firma potřebuje něco, co šablona neumí. Třeba napojení poptávek na CRM nebo účetnictví, klientskou zónu, kalkulačku ceny nebo rezervace termínů. Hotový plugin to umí napůl, dva pluginy se navzájem perou a úprava na míru v cizí šabloně je křehká, protože ji další aktualizace může přepsat.

Druhým háčkem je závislost na vizuálním editoru stránek (page builderu). Stránky v něm poskládané se ukládají v jeho vlastním formátu. Když ho chcete vyměnit nebo vypnout, rozvržení a styly stránek se rozpadnou a web se v podstatě staví znovu. Firma si tak neplánovaně koupí druhý web.

A třetí je administrace. WordPress je univerzální, takže nabízí stovky voleb, které vaše firma nepotřebuje, a přitom chybí přesně ty, které byste potřebovali. Zaměstnanci se v ní ztrácejí a malá úprava pak čeká na externistu. Pokud máte data mimo web v tabulkách, přečtěte si i 9 signálů, že firma přerostla Excel.

07Přerostla vaše firma šablonu? Rychlý test

Projděte si šest otázek níže. Jedna nebo dvě odpovědi ano jsou běžné. Tři a víc naznačují, že vás web začíná brzdit a vyplatí se spočítat, kolik vás ročně stojí.

1. Bojíte se kliknout na Aktualizovat, aby se web nerozbil? Odkládáte opravy a web zůstává zranitelný.
2. Platíte každý rok několik licencí pluginů? Náklady rostou, i když web stojí na místě.
3. Chybí vám funkce, kterou žádný plugin pořádně neumí? Obcházíte systém a platíte za kompromisy.
4. Přepisujete poptávky z webu ručně do CRM nebo tabulky? Ztrácíte čas a poptávky se ztrácejí.
5. Neprojde web testem Core Web Vitals na mobilu? Zákazníci čekají a část z nich odejde.
6. Nevíte, kdo web naposledy aktualizoval a kde jsou zálohy? Při výpadku nebo útoku nemáte plán.

08Šablona na WordPressu, nebo web na míru?

Žádná varianta není správná pro každého. Srovnání níže ukazuje, kde má která navrch.

Jestli se web na míru vyplatí, rozhoduje hlavně to, kolik vám web vydělává. Pokud z něj chodí poptávky nebo objednávky, jediný výpadek, napadení nebo měsíc pomalého webu vás může stát víc než celá úspora za šablonu. Kolik stojí web na míru, najdete v našem ceníku nebo si cenu spočítáte v kalkulačce webu na míru.

Co přesně vám web na míru přinese a jak vzniká krok za krokem, od zadání po smlouvu, rozebíráme v článku Web na míru od prvního pixelu: výhody a postup krok za krokem.

09Jak přejít z WordPressu a neztratit pozice v Googlu

Největší obava při přechodu bývá, že web spadne ve vyhledávání. Nemusí, pokud se přechod udělá pečlivě. I náš web listify.cool dřív běžel na WordPressu a staré adresy článků dnes přesměrováváme na nové. Postup vypadá takhle:

1. Soupis všech adres. Ze sitemapy a Google Search Console sepíšeme každou stránku, která má návštěvnost nebo odkazy.
2. Převod obsahu. Texty, obrázky, články i data z formulářů přeneseme do nového webu, nic se nepíše znovu ručně.
3. Přesměrování 301. Každá stará adresa dostane trvalé přesměrování na odpovídající novou stránku.
4. Zachování SEO. Titulky, popisky, nadpisy a strukturovaná data převezmeme a vylepšíme, nic nemažeme.
5. Kontrola po spuštění. Sledujeme Search Console, chyby 404 a rychlost, dokud Google nové adresy nezaindexuje a návštěvnost se neustálí.

Jak celá spolupráce probíhá krok za krokem, popisujeme na stránce Jak to probíhá. Pokud nový web řešíte i kvůli bezpečnosti, projděte si náš checklist bezpečnosti webové aplikace před spuštěním.

10Časté otázky

11Závěr: se šablonou se dobře začíná, hůř roste

Šablona na WordPressu je dobrý způsob, jak rychle a levně začít. Problém nastane, když na ní firma dál staví, i když ji dávno přerostla. Pak platí za licence, za opravy po aktualizacích, za pomalost a za funkce, které se do šablony těžko vejdou.

Pokud jste v rychlém testu odpověděli ano třikrát nebo vícekrát, spočítejte si, kolik vás současný web stojí za rok, a porovnejte to s webem, který patří vám. Rádi vám s tím pomůžeme. Podívejte se, jak stavíme weby na míru.

12Zdroje

• W3Techs: Usage statistics of WordPress a podíl v doméně .cz, stav 27. 9. 2026
• Patchstack: State of WordPress Security in 2026, data za rok 2025
• Patchstack: kritická zranitelnost v pluginu LiteSpeed Cache, 21. 8. 2024
• WordPress.org: statistiky verzí PHP a podporované verze PHP na php.net
• WordPress 7.1.2 Release, 22. 9. 2026
• HTTP Archive: Core Web Vitals Technology Report, data za srpen 2026, a Web Almanac 2025, kapitola CMS
• Deloitte: Milliseconds Make Millions, 2020, a web.dev: případová studie Vodafone
• Ceníky výrobců: Yoast, WPML, UpdraftPlus, Elementor, Gravity Forms, WP Rocket, ACF, stav 27. 9. 2026
• Zákon č. 424/2023 Sb., o požadavcích na přístupnost některých výrobků a služeb