Egy hét egy marosvásárhelyi Shopify Partner ügynökség életéből

Szerdán egy turisztikai oldal, amelyen dolgozunk, 61-ről 74-re ugrott a PageSpeed-en, mobilon. A PageSpeed az a teszt, amellyel a Google megméri, milyen gyorsan tölt be egy oldal. Örültünk neki, mint minden számnak, ami felfelé megy.

Csütörtökön és pénteken viszont olyasmin dolgoztunk, ami egyetlen oldalon sem változtat meg egyetlen számot sem. Szerda estére kiderült, hogy kritikus sérülékenységet találtak a PHP-ben. Ez az a programnyelv, amelyen az internet nagy része fut, a WordPress is. Két napig azt néztük át, mi van a projektjeink mögött, mert egy gyors oldalnak semmi hasznát nem veszi senki, ha a mögötte lévő szerver sebezhető.

Mi a Dalbe vagyunk, Shopify Partner ügynökség Marosvásárhelyen. Webáruházakat és alkalmazásokat készítünk, aztán ott maradunk mellettük. Lent a 2026. október 19. és 23. közötti hét következik, napról napra, az ügyfeleket név nélkül említve. A munkaórákat a Redmine-ban naplózzuk, abban a programban, ahol a feladatok és a megjegyzések is vannak, ezért azt mesélem el, ami ott le van írva, nem emlékezetből.

Hétfő: új projektek és egy feladat, ami vár

Hétfőn mozgásban lévő projektekkel indulunk. Noémi elemzi a SmartBill exportot egy új Shopify projekthez, egy cipőnagykereskedőnek: méretrendszerek, a termékek és a kollekciók szerkezete. Erik egy autóhifi webshop termékleírását „Tovább olvasom” gomb mögé teszi, úgy, hogy a kompatibilitási rész mindig látszik, és mobilon kompaktabbá teszi az alkategória-dobozokat. Dalma két halloweeni cikket ír egy állatkertnek, magyarul és románul.

Én egyetemen tanítok objektumorientált programozást, dolgozatokat javítok, megnézem egy kétnyelvű webshop Facebook-hírfolyamát, és elmegyek egy ügyfél heti megbeszélésére. Nyitok még egy kis DNS-feladatot egy másik ügyfélnek: DKIM, SPF és DMARC, az a három bejegyzés, amely megmondja a levelezőszervereknek, hogy a domainről érkező levelek valódiak-e. Nyitva hagyom. A DNS senkiért nem siet.

Kedd: először a mobil

Kedden a telefonos képek a nap témája. Az autóhifi webshopnál Erik külön mobilos képeket tesz a főoldali slideshow-ba, és kijavítja a vágásukat. Aztán alternatív szövegeket és bannerméret-igényeket készít elő, ezeket elküldjük az ügyfélnek. A listánk pontosan ezt kéri mindenkitől, aki képet tölt fel: beszédes fájlnevek, a Shopifyban kitöltött alt szöveg, feltöltés előtt tömörített képek. Részletesen leírtuk a handle-ről, címről, alt szövegről és metáról szóló cikkünkben.

Noémi ugyanennek a webshopnak egy régi Gomag exportját tisztítja. A hiányzó vagy „nan”-nal kitöltött leírások javulnak, az autó márkája és típusa szerinti szűrők pedig kezdenek formát ölteni. Én egy órát töltök a Search Console-ban, egy spa oldal SEO-auditján. Este árajánlatkérés érkezik egy prémium sminkmárkától.

Szerda: egy átadott oldal és egy megjavított snippet

Szerda reggel BNI van. 10:30-kor átadunk egy weboldalt egy ügyfélnek. Az ügyfél nem a designról kérdez, és nem a kódról. Azt kérdezi, hol láthatja, hányan léptek be az oldalra. Az átadás azt jelenti, hogy megmutatod, hová kell nézni, nem csak azt, hogy átadod a jelszavakat. Ekkor adom oda a tartalmi listánkat is: beszédes nevű képek és alt szöveg, oldalanként egyetlen H1, kézzel írt meta title és meta leírás, sima szövegként beillesztett és a Show HTML-ben ellenőrzött szöveg, valódi nevű szerző a blogcikkeknél. A Google is ezt ajánlja, a hasznos tartalomról szóló útmutatójában: pontos információ a szerzőről, például a cikk aláírása.

Délben Erik megold egyet az átadás után felmerült problémák közül egy turisztikai oldalon. Minden átadott oldalnál egy héttel később még egyszer átnézünk mindent, és megoldunk mindent, ami felmerül. Azért csináljuk, hogy amit szállítunk, az minőségi legyen. Itt az oldal lassú volt, mert a sablon teljes felbontásban töltötte be a képeket. Erik kijavítja a képek snippetjét, vagyis a sablon egy kis kódrészletét, és az egyedi szekciókat, így az oldalak most a látogató képernyőjéhez méretezett képeket töltenek be. Ebből lett a 61-ből 74, és a 10,8-ból 5,5 másodperc. A listánk szabálya, a körülbelül 200 KB alatti tömörített képek, csak akkor segít, ha a sablon is betartja. Átadás után az ügyfélnek képes útmutatót is írunk, hogy önállóan tudjon tartalmat feltölteni és módosítani.

Utána felvesszük egy sportcipő webshop csapatának egyik tagját a Shopifyban, és összekötjük az Analyticset és a Search Console-t, hogy lássuk, mi maradt elromolva a régi beállításból. Noémi egy kórházi oldalnál azt vizsgálja, miért álltak le a deploy-ok a Railwayen. A deploy az, amikor az új verziót kitesszük a szerverre. A válasz nem rajtunk múlik: a Railway minden deploy-t leállított egy biztonsági incidens miatt, amelyet csak este jelentett be. Én frissítem a DKIM-et és az SPF-et annál az ügyfélnél, akinél a DNS-ről van szó, és pár óra múlva ellenőrzöm, megfogott-e a módosítás. Estefelé olyan hír érkezik, amely kitölti a csütörtöki napunkat.

Csütörtök: lezárul a DNS, kezdődik a nyolcpontos lista

Csütörtök reggel átmegy a DNS-teszt: a módosítások terjedtek. Kis feladat, négy napra széthúzta a várakozás. Az ügyfél olyan leveleket fog kapni, amelyek oda érnek, ahová kell, és nem fogja megtudni, mennyi ideig tartott.

Következik a megbeszélés egy hagyományos lisztet gyártó termelővel. Ebből nyolcpontos lista lesz nekem: receptek, leírások, a termékoldal görgetésének rövidítése, bannerek a főoldalon, alkalmazások értékelése a sebesség figyelembevételével, SEO a kollekcióoldalon, Judge.me termékenként és akadálymentesítés. Azt is ellenőrzöm, hogy az ügyfél összes levele megérkezett-e.

Erik megjavítja az autóhifi webshop autókonfigurátorát: csak a pontos termékcímkéket használja, így eltűnnek a rossz modellek és márkák az eredményekből. Egy új, Horizon sablonos webshopnál újraépítjük a termékoldal színeit, és feltöltjük a képeket alt szöveggel. Este elmegy az ajánlat a sminkmárkának: Shopify, fix ár, az ERP-integráció külön.

Csütörtök reggelre a hír mindenhol ott van. Szerdán, 17 óra körül a PHP vészfoltokat adott ki két kritikus sérülékenységre a nyelv magjában, PHP2Shell néven (CVE-2026-109618 és CVE-2026-109619). Egy fiók nélküli támadó kódot futtathat a szerveren. A részletek egy nappal a bejelentett dátum előtt kiszivárogtak, ezért az első kihasználási kísérletek még aznap elindultak, a The Hacker News szerint. Nem számít, mennyire tiszta egy oldal kódja, mert a gond magában a PHP-ben van. WordPressnél ez azt jelenti, hogy a WordPress-frissítés nem elég. A szerveren a PHP-t kell frissíteni 8.5.12-re, 8.4.27-re, 8.3.36-ra vagy 8.2.35-re, aztán újra kell indítani. Nem ez az első ilyen riasztás idén: júliusában írtunk a WordPress wp2shell sérülékenységeiről.

A Shopifyon közvetlenül nincs mit tennünk. A Shopify Adminban nincs olyan PHP, amit frissíthetnénk. A munka ott kezdődik, amit mi építettünk: egyedi Shopify alkalmazásokat is fejlesztünk, és mindegyiket ellenőrizni kell, hogy áll-e mögötte PHP szerver. Csütörtökön Noémival átnézzük a PHP-hibákat az egyedi projektekben, és összeállítjuk a frissítésre váró WordPress projektek listáját. A BOCP-vel, a partnerünkkel, akivel szerdán és csütörtökön az összekötésekről beszélünk, csütörtökön megerősítjük, hogy őket nem érintik a PHP-s biztonsági problémák. Csütörtökön és pénteken Noémi szinte csak biztonsággal foglalkozott, olyan órákkal, amelyeket egyetlen ügyfélnek sem számolunk el.

Péntek: a biztonsági frissítések napja

Pénteken Erik átadja a cipőwebshopnak az újracsoportosított méretszűrőt. A termékkártyák gombján most az áll, hogy „Hozzáadás” és mellette a kiválasztott méret, vagy hogy „Válassz méretet”, az elfogyott méretek pedig egyértelműen jelölve vannak. Dalma kijavítja a galériákat a szerdán átadott oldalon, hozzáad egy új oldalt, és leveszi a kapcsolatfelvételi űrlapot a főoldalról. Ezeket az ügyfél megnyitja, és látja.

Pénteken folytatjuk. Noémival végigmegyünk minden általunk fejlesztett Shopify alkalmazáson és a mögöttük lévő szervereken: PHP, aztán Node és Railway.

A Nodenak saját jelentése van. Szintén szerdán a Node.js projekt foltokat adott ki tíz sérülékenységre, köztük a CVE-2026-111497-re, a Brotli dekóder egy hibájára, amely távoli kódfuttatáshoz vezethet. Ez azt jelenti, hogy a támadó messziről futtathat kódot a szerveren. A javított verziók a 22.23.4, a 24.22.1 és a 26.12.1, a hivatalos közlemény szerint. Estefelé a tárhelyszolgáltatónktól is érkezik egy figyelmeztetés ugyanerről. Még aznap továbbítom.

A Railway megmagyarázza, mi akadályozott minket szerda óta. A platform leállította az összes deploy-t, miután egy illetéktelen harmadik fél hozzáfért a titkosított környezeti változókhoz, néhánynál pedig még a visszafejtett tartalomhoz is. A környezeti változók a kódon kívül tárolt beállítások, például API-kulcsok és adatbázis-jelszavak. Az API-kulcs afféle jelszó, amellyel egy program beszélhet egy másikkal, például az alkalmazásunk egy fizetési rendszerrel vagy a Shopifyjal. A futó szolgáltatások online maradtak, de újat kitenni nem lehetett. A Railway azt javasolja, hogy cseréljük le az ott tárolt összes változót, vagyis újra kulcsok és jelszavak legyenek, és nézzük át a naplókat, mondja az előzetes jelentésük. Mi a projektjeink nagyjából 80 százalékán már kicseréltük a kulcsokat. Az utolsó az OnBike (onbike.ms), a saját projektünk, azt a hétvégén csináljuk meg.

Az egyik alkalmazásunk ellenőrzésénél probléma merül fel: ki kell tölteni a jogi információkat a frissített adatvédelmi szabályzathoz. Kitöltjük. A Google komolyan veszi ezeket a dolgokat, és ezeknél semmit sem segít a design. Még csinálok egy indulás utáni SEO-auditot egy kórház oldalához. A Metamorfozum Concepttel, ahol a workshopjainkat tartjuk, megnézzük, mely időpontok szabadok egy új workshophoz.

Mi maradt a hét után

Egy turisztikai oldal gyorsabb mobilon. Egy ügyfél tudja, hol nézze a látogatókat. Egy webshopnak olyan méretszűrői vannak, amelyek igazat mondanak. És, kevésbé láthatóan, néhány projektet ellenőriztünk és naprakésszé tettünk. Az elsők egy képernyőképen is látszanak. Az utolsók egyáltalán nem látszanak, de nélkülük az elsők nem tartanak sokáig.

A 14 pontos tartalmi listánk is abba a kategóriába tartozik, ami nem látszik. Ugyanígy az átadás utáni egyhétes ellenőrzés. Ha ti is magatok töltötök fel tartalmat a Shopifyba, és kéritek a listát, írjatok az office@dalbe.ro címre, vagy foglaljatok egy beszélgetést a calendly.com/alpar-torok-dalbe oldalon.