Kondycja polskich sklepów Magento — raport z 40 skanów

Co widać w polskich sklepach Magento z zewnątrz

Wzięliśmy branżową listę największych polskich wdrożeń Magento i przepuściliśmy każdy sklep przez nasz skaner. Bez logowania, bez dostępu do panelu, bez kontaktu z kimkolwiek — wyłącznie zwykłe zapytania GET, dokładnie takie, jakie wysyła przeglądarka klienta i robot Google.

To nie jest ranking i nie ma tu nazw sklepów. Publikujemy wyłącznie liczby zbiorcze, bo celem nie jest pokazanie palcem, tylko pokazanie, jak wygląda przeciętny stan techniczny dużego polskiego sklepu Magento — i które rzeczy psują się najczęściej.

Jeden wynik streszcza całą resztę: 82% sklepów potwierdzonych jako Magento miało co najmniej jeden błąd, który uznajemy za krytyczny. To sklepy dużych, rozpoznawalnych marek, z budżetami i zespołami.

Metodyka — i jej granice

• Próbka: 45 domen z publicznej listy branżowej „największe polskie sklepy internetowe Magento”. Skan udał się dla 40 z nich.
• Potwierdzone Magento: 17 sklepów. Reszta albo zmieniła platformę, albo działa w architekturze, której nie da się rozpoznać z zewnątrz. Wszystkie odsetki „dla Magento” liczymy z tych 17, a nie z całej próbki — inaczej mieszalibyśmy jabłka z gruszkami.
• Data: sierpień 2026. Stan techniczny sklepu zmienia się z dnia na dzień; to zdjęcie, nie film.
• Metoda: wyłącznie pasywne zapytania GET na publicznych adresach. Żadnego skanowania podatności, łamania zabezpieczeń ani omijania WAF-a. Wszystko, co znaleźliśmy, widzi każdy odwiedzający.
• Dane o wydajności pochodzą z Chrome UX Report — czyli z przeglądarek prawdziwych klientów tych sklepów, nie z testu laboratoryjnego. 39 z 40 sklepów miało tam wystarczająco dużo ruchu, żeby Google publikował dla nich metryki.
• Czego to nie mówi: nie zaglądaliśmy do kodu, modułów, cronów ani bazy. Przy 17 sklepach mówimy o wyraźnych tendencjach, nie o statystyce reprezentatywnej dla całego rynku.

Bezpieczeństwo: nagłówki, których nie ma

Najczęstsze braki to nie egzotyczne luki, tylko konfiguracja, którą ustawia się raz i zapomina:

• 76% — brak Content-Security-Policy. CSP jest w praktyce jedyną realną barierą przed skimmerami kart płatniczych (Magecart). Sklep bez niej po włamaniu na dowolny skrypt zewnętrzny nie ma czym zatrzymać wycieku danych z formularza płatności.
• 71% — brak HSTS. Bez tego pierwsze wejście po http:// da się przechwycić, zanim przeglądarka zdąży przejść na szyfrowane połączenie.
• 76% — brak Referrer-Policy. Najmniej groźne z tej trójki, ale pokazuje skalę: to jedna linijka w konfiguracji serwera.

Wszystkie trzy ustawia się w kilkanaście minut po stronie serwera lub CDN-a i nie wymagają dotykania kodu sklepu.

Pliki, których nie powinno być widać

Tu było najciekawiej — i najbardziej niepokojąco:

• 47% — dostępny publicznie pub/errors/local.xml. Plik konfiguracji raportowania błędów. Sam w sobie rzadko jest katastrofą, ale zdradza szczegóły konfiguracji i jest sygnałem, że katalog pub/ nie został uporządkowany po wdrożeniu.
• 29% — działający endpoint /magento_version. Podaje edycję i wersję platformy. Dla atakującego to skrót: wystarczy dopasować znaną podatność do wersji, zamiast zgadywać.
• 12% — osiągalny instalator /setup/. Kreator instalacyjny nie ma prawa odpowiadać na produkcji.

W szerszej próbce trafił się też sklep z publicznie dostępnym plikiem .env oraz kilka z panelem administracyjnym pod domyślnym adresem /admin. Nie podajemy które — zgłoszenie takich rzeczy właścicielowi to nie to samo co opublikowanie ich w artykule.

Wydajność: lepiej, niż się spodziewaliśmy

Wbrew stereotypowi „Magento zawsze muli”, mediana wypadła przyzwoicie:

• Mediana LCP na mobile (p75): 2,1 s — poniżej progu 2,5 s, który Google uznaje za dobry. Ale 12 z 39 sklepów ten próg przekracza.
• Mediana TTFB: 698 ms. 13 sklepów odpowiada wolniej niż 800 ms, czyli czas pracy samego backendu zjada im budżet, zanim przeglądarka zobaczy cokolwiek.
• 47% ma problem z INP (reakcją na dotyk), a 47% z CLS (przeskokami layoutu). To bezpośrednio przekłada się na porzucone koszyki na telefonie.
• 59% nie serwuje ani jednego obrazka w WebP lub AVIF — mimo że Magento 2.4 potrafi to z pudełka, a konwersja katalogu zwykle ścina wagę strony o 30–60%.

Ciekawostka wdrożeniowa: wśród potwierdzonych sklepów Magento 13 stoi na Lumie, 3 na Hyvie, 1 w architekturze headless. Hyvä jest w Polsce wciąż w mniejszości, mimo że to najprostsza droga do dobrego INP.

SEO: pieniądze zostawione na stole

• 65% — brak linku kanonicznego na stronie głównej. W Magento kanoniczne adresy dla kategorii i produktów trzeba włączyć osobno (Stores → Configuration → Catalog → SEO); domyślnie są wyłączone i mało kto o tym pamięta.
• 65% — nawigacja warstwowa nieodcięta w robots.txt. Filtry generują dziesiątki tysięcy wariantów tej samej listingu, a crawl budget idzie na duplikaty zamiast na karty produktów. Nowe produkty wchodzą wtedy do indeksu tygodniami zamiast godzinami.
• 53% ma tytuł strony głównej dłuższy niż 65 znaków, czyli ucinany w wynikach wyszukiwania.
• 35% nie ma żadnych danych strukturalnych JSON-LD — czyli w wynikach nie pokaże ceny, dostępności ani ocen, podczas gdy konkurencja z tej samej pozycji zabiera kliknięcia.

Zgody i pomiar

41% sklepów uruchamia skrypty śledzące bez widocznego mechanizmu zgód (Consent Mode v2). To podwójny problem: kampanie tracą dane konwersji, bo Google nie dostaje sygnału zgody, a przetwarzanie danych bez podstawy prawnej to gotowy zarzut przy kontroli.

Co z tego wynika

Rzeczy, które psują się najczęściej, mają jedną wspólną cechę: to nie są trudne problemy. Nagłówki bezpieczeństwa, canonical, reguła w robots.txt, konwersja obrazków, usunięcie pliku z pub/ — każda z tych poprawek to godziny, nie tygodnie. Trafiają się na dużych sklepach nie dlatego, że są trudne, tylko dlatego, że nikt ich nie sprawdza po wdrożeniu.

Dlatego zbudowaliśmy skaner i udostępniliśmy go za darmo: wpisz adres swojego sklepu i w ~30 sekund zobaczysz, ile z tej listy dotyczy Ciebie. Raport dostaniesz mailem, pod stałym linkiem, bez rozmowy z handlowcem.

Jeśli wolisz, żeby ktoś przeszedł przez to porządnie — z wyceną każdej poprawki i kolejnością, w jakiej się je robi — to jest nasz audyt Magento.

Chcesz te dane w całości?

Jeśli piszesz o polskim e-commerce i przydałyby Ci się surowe liczby albo komentarz — napisz na [email protected]. Udostępniamy metodykę i zestawienia zbiorcze. Nazw pojedynczych sklepów nie podajemy nikomu; właścicielom zgłaszamy znalezione problemy bezpośrednio, jeśli o to poproszą.