Klijent ti je poslao jednu lozinku i jednu rečenicu: evo ti sajt, samo neka radi. Sajt je pravio neko drugi, pre četiri godine, i taj neko se više ne javlja na telefon. Od trenutka kad se prvi put uloguješ, svaki problem na tom sajtu postaje tvoj problem, bez obzira ko ga je napravio.
Zato prvog dana ne popravljaš ništa. Prvog dana snimaš zatečeno stanje, praviš popis i procenjuješ šta može da pukne. Popravke idu sutra, redom koji si ti odredio, a ne redom kojim se sajt sam počne raspadati.
Zašto prvog dana ništa ne diraš
Najčešća greška kod preuzimanja tuđeg sajta je entuzijazam. Uloguješ se, vidiš 34 dodatka koji traže ažuriranje, klikneš “ažuriraj sve” i za pet minuta imaš belu stranu. Sad je pitanje da li si ti to slomio ili je bilo polomljeno i pre tebe. Ti to ne znaš, klijent to sigurno ne zna, i on će misliti ono što je logično: radilo je dok ti nisi došao.
Prvi dan ima jedan jedini cilj. Da posle njega znaš tačno šta si preuzeo, gde su mine i koliko posla te stvarno čeka. Sve ostalo je posledica te procene.
Zamrzni zatečeno stanje pre prvog logina
Prva radnja je pun bekap, i fajlova i baze. Ne oslanjaj se na to što hosting ima svoj automatski bekap. Skini kopiju kod sebe, na svoj disk ili svoj storage.
Preko SSH-a je to par komandi:
wp db export bekap-preuzimanje.sqltar -czf sajt-preuzimanje.tar.gz public_html
Onda uradi ono što većina preskoči: proveri da bekap stvarno može da se vrati. Podigni ga na staging ili lokalno i otvori sajt. Bekap koji nikad nisi vratio nije bekap, to je fajl u koji se nadaš.
Ako klijent ostaje na starom hostingu, pitaj koliko dana unazad idu serverske kopije i gde se čuvaju. Kopija koja stoji na istom disku kao i sajt te neće spasti od bilo čega ozbiljnijeg od tvoje sopstvene greške.
Pokupi pristupe, ne samo lozinku za wp-admin
Lozinka za administratorski nalog je najmanji deo priče. Evo šta ti stvarno treba, i to na papiru, ne u glavi:
- domen: kod kog je registra i na čije ime glasi
- DNS: gde se stvarno uređuju zapisi, često nije kod registra nego na Cloudflare nalogu
- hosting: pristup panelu, ne samo FTP nalog za jedan folder
- SSH ili barem FTP, plus pristup bazi
- WordPress nalog sa punom administratorskom ulogom
- Google Analytics i Search Console
- poslovni mejlovi na domenu, jer oni često žive na istom nalogu kao i sajt
- licence za premium temu i dodatke
- nalozi za naplatu, ako sajt nešto prodaje
Kod .rs domena provera je brza. Na WHOIS pretrazi RNIDS-a vidiš koji je ovlašćeni registar tog domena, a podaci o domenu se menjaju isključivo preko njega, uz identifikaciju vlasnika. Ako domen glasi na ime bivšeg izvođača umesto na klijenta, to ti je najveći rizik u celoj priči i rešava se pre svakog tehničkog posla. Sajt možeš da preseliš za jedno popodne. Domen koji je tuđi ne možeš nikako.
Kad se prethodni izvođač ne javlja, ne trošiš nedelje na jurenje. Klijent je vlasnik i on traži pristup, ti samo napišeš tačno šta se traži i od koga. Hosting i registar rade sa vlasnikom, ne sa tobom.
Licence su posebna zamka. Ako Elementor Pro, tema ili neki plaćeni dodatak stoje na nalogu bivšeg izvođača, sajt će raditi, ali neće dobijati ažuriranja. Za par meseci ti imaš nezakrpljen plaćeni kod na produkciji i niko ne zna šta je u njemu. Ovde ti pomaže hosting koji premium dodatke drži uz paket, jer onda ne moraš da tražiš tuđi račun za svaku licencu. Pogledaj kako to izgleda na hostingu za frilensere.
Napravi inventar, deo po deo
Sad kreće popis. Ovo ti nije gubljenje vremena, ovo je jedini način da kasnije znaš da li je nešto tvoja izmena ili zatečeno stanje.
Verzije i temelji
Verzija WordPressa, verzija PHP-a, koja je tema aktivna i da li je to child tema. Ako nema child teme, a u parent temi ima izmena, prvo ažuriranje teme briše sve što je prethodni izvođač radio. To zapisuješ kao rizik, ne kao zadatak za danas.
Dodaci i njihovo poreklo
Prebroj dodatke i pogledaj odakle je koji došao. Nešto je iz zvaničnog direktorijuma, nešto je kupljeno, a nešto je stiglo kao zip fajl sa nepoznatog mesta. Ta treća grupa te najviše zanima.
Najbrža provera koju imaš su kontrolne sume:
wp core verify-checksumswp plugin verify-checksums --all
Ove dve komande upoređuju fajlove na serveru sa zvaničnim izdanjima na WordPress.org. Sve što ispadne izmenjeno je ili nečija ručna popravka u kodu ili nešto što tu ne treba da bude. Na nasleđenom sajtu ovo je prvo mesto gde nađeš iznenađenje.
Zašto je ovo bitno govore brojevi iz Patchstack izveštaja objavljenog u februaru 2026. U toku 2025. u WordPress ekosistemu je nađeno 11.334 novih ranjivosti, 42 odsto više nego godinu ranije. Devedeset jedan odsto njih je bilo u dodacima, a u samom jezgru WordPressa svega šest, i to sitnica. Rizik ti dolazi iz onoga što je neko dodao, ne iz WordPressa.
Šta radi u pozadini
Pogledaj zakazane poslove sa wp cron event list. Tu obično nađeš ostatke dodataka koji su davno obrisani, kao i pravi razlog zašto se nešto dešava svakog utorka u tri ujutru.
Pogledaj i folder mu-plugins. To su dodaci koje ne možeš da isključiš iz admina i retko ko se seti da ih proveri. Isto važi za functions.php, gde često stoji tuđi kod bez ijednog komentara.
Forme i integracije
Popuni svaku formu na sajtu i vidi gde stiže. Klasika kod preuzimanja je da prijave idu na mejl koji više ne postoji, i to niko ne primeti mesecima. Uz to proveri sve što sajt zove spolja: platni procesor, kurirsku službu, sistem za mejlove, piksele i alate za merenje.
Proveri ko sve još ima ključeve
Ovo je tačka gde se preuzimanje sajta razlikuje od običnog održavanja. Kod sajta koji si sam pravio pitanje je ima li viška naloga. Kod nasleđenog sajta pitanje je ko je od tih ljudi otišao i pod kojim okolnostima.
Izlistaj administratore sa wp user list --role=administrator. Prođi kroz njih jedan po jedan i za svakog imaj odgovor ko je to. Nalozi bez imena, nalozi sa mejlom na domenu bivše agencije i nalozi napravljeni pre tri godine u tri ujutru ne ostaju tu bez razloga.
Proveri i application passwords po nalozima. To su lozinke za aplikacije koje rade bez logovanja i preživljavaju promenu obične lozinke, pa ostanu aktivne i posle “smo im ukinuli pristup”.
Rotaciju lozinki dogovaraš sa klijentom, ne radiš je samovoljno. Neki od tih naloga možda pripada knjigovođi ili osobi koja ubacuje sadržaj, a ti ne želiš da prvog dana isključiš nekoga ko sajtu stvarno treba.
Procena rizika: šta može da obori sajt do kraja godine
Sve što si našao razvrstaj u tri grupe. Prva su stvari koje gase sajt ili odaju podatke i idu odmah. Druga su stvari koje ulaze u plan rada za naredna dva do tri meseca. Treća su stvari koje samo zapisuješ da ne budu iznenađenje kasnije.
Kad procenjuješ koliko je nezakrpljen dodatak hitan, drži se ovih nalaza iz istog izveštaja:
- Kod ranjivosti koje se najviše napadaju, medijana vremena od objave do masovnog napada je pet sati. Ne dana, sati.
- Četrdeset šest odsto ranjivosti nije dobilo zakrpu do trenutka javnog objavljivanja. Ažuriranje samo po sebi nije zaštita, jer ponekad zakrpe još nema.
- Od deset najnapadanijih ranjivosti u 2025. godini, samo četiri su objavljene te godine. Ostale su starije, a napadi na njih i dalje rade, jer ima dovoljno sajtova koji nisu ažurirani. Na prvom mestu je ranjivost u LiteSpeed Cache dodatku objavljena još 2024.
Poslednja stavka je razlog zašto se nasleđen sajt gleda ozbiljno. Sajt koji dve godine niko nije dirao nije stabilan, njemu prosto još nije došao red.
Ne računaj ni na to da će server sve to zaustaviti umesto tebe. U testiranju koje je Patchstack radio na više hosting kompanija, uobičajene odbrane na serveru i pred njim zaustavile su 26 odsto napada na WordPress ranjivosti. Zaštita na serveru ti kupuje vreme, ne rešava problem. Posao ostaje na tebi i na tome koliko brzo ažuriraš.
Napiši klijentu šta si zatekao, istog dana
Poslednji korak prvog dana je jedan kratak dokument. Nabraja šta si zatekao, šta je hitno, šta ulazi u redovno održavanje i šta je poseban posao. Ne mora da bude lep, mora da bude poslat i da ima datum.
Taj dokument radi dve stvari. Klijentu pokazuje da si za jedan dan razumeo sajt bolje nego prethodni izvođač za godinu dana. Tebi služi kao granica odgovornosti kad za tri meseca nešto pukne zbog odluke donete 2022. godine.
Odmah povuci i crtu između sanacije i održavanja. Čišćenje zatečenog stanja je projekat sa svojom cenom i rokom. Održavanje je ono što ide posle toga, svakog meseca, po istom ritmu. Kako taj mesečni deo izgleda i kako se pakuje klijentu, imaš razrađeno u tekstu o mesečnom planu održavanja.
Lista za prvi dan
- Pun bekap fajlova i baze, kopija kod tebe
- Provera da se bekap stvarno vraća
- Popis pristupa, sa domenom i DNS-om na vrhu
- Provera na čije ime glasi domen
- Verzije WordPressa, PHP-a i teme, plus da li postoji child tema
- Popis dodataka i njihovog porekla
- Kontrolne sume jezgra i dodataka
- Cron, mu-plugins i functions.php
- Test svake forme i popis spoljnih integracija
- Spisak administratora i application passwords
- Rizici u tri grupe
- Kratak izveštaj klijentu, sa datumom
Ovo je pola radnog dana za sajt srednje veličine. Prvi put će ti trebati duže, peti put ideš kroz listu bez razmišljanja.
Kad ti se ovo ponovi deseti put
Jedan nasleđen sajt je zanimljiv slučaj. Deset nasleđenih sajtova je posao koji ili ima proces ili te pojede. Razlika je u tome gde ti sajtovi žive.
Ako su rasuti po pet različitih hostinga sa pet panela i pet računa, svaki put kreće ista muka oko pristupa. Ako su na jednom mestu, sa odvojenim nalogom po klijentu i staging kopijom za testiranje, prvi dan se svede na listu odozgo i gotovo. Zato frilenseri i agencije koje ovo rade redovno drže klijentske sajtove pod jednim panelom, u Agency hosting paketima ili sličnoj postavci sa odvojenim nalozima.
Šta koji paket nosi po pitanju prostora, staginga i resursa, imaš razloženo na stranici WordPress hosting.
I još jedna stvar. Kad završiš čišćenje nasleđenog sajta, pogledaj svoje sopstvene projekte istim očima. Sve što te je danas nerviralo kod tuđeg rada neko će za tri godine naći kod tvog. Kako se sajt pravi tako da sledeći čovek nema ovakav prvi dan, pisali smo u tekstu o tome kako da napraviš WordPress sajt koji lako predaješ dalje.
