Dostęp do serwera FTP jest potrzebny wtedy, gdy trzeba zmienić pliki strony, do których nie sięga panel CMS: plik robots.txt, konfigurację serwera, szablon albo kopię zapasową. Do pisania treści i zwykłej edycji strony wystarczy panel administracyjny. Poniżej znajdziesz, kiedy dostęp jest naprawdę potrzebny, jak bezpiecznie przekazać go agencji i dlaczego zwykłe FTP warto zastąpić szyfrowanym SFTP.
Najważniejsze w skrócie
- Dostęp do serwera FTP jest potrzebny przy zmianach w plikach, do których panel CMS nie sięga, np. w robots.txt, konfiguracji serwera, szablonie albo przy naprawie strony po awarii.
- Zwykłe FTP przesyła dane otwartym tekstem, dlatego Google zaleca do przesyłania plików SFTP i SSH.
- Agencja SEO zrobi audyt bez dostępu do serwera, a do danych z wyszukiwarki wystarczy jej konto pełnego użytkownika w Google Search Console.
- Dostęp do serwera dla wykonawcy najbezpieczniej przekazać jako osobne konto SFTP ograniczone do katalogu strony, usuwane po zakończeniu prac.
Czym jest FTP i jak działa?
FTP (File Transfer Protocol) to protokół do przesyłania plików między Twoim komputerem a serwerem, na którym działa strona. Łączysz się przez program nazywany klientem FTP, np. FileZilla albo WinSCP, w którym pliki serwera wyglądają jak zwykłe foldery.
Do połączenia potrzebujesz czterech danych:
- adres serwera (host), np. ftp.twojadomena.pl albo adres IP;
- login konta FTP;
- hasło;
- port: standardowo 21 dla FTP i 22 dla SFTP.
Na serwerze leżą wszystkie pliki strony: kod systemu i szablonu, zdjęcia, pliki konfiguracyjne. Kto ma dostęp przez FTP, może je czytać, podmieniać i usuwać. Dlatego to dostęp o dużym zaufaniu, a nie zwykłe konto w panelu.
Kiedy dostęp do plików serwera jest naprawdę potrzebny?
Dostęp do plików jest potrzebny przy zmianach, które dotyczą samego serwera albo plików poza panelem CMS. Tabela pokazuje typowe sytuacje i to, czy da się je załatwić inną drogą.
| Zadanie | Po co dostęp do plików | Inna droga |
|---|---|---|
| Plik robots.txt | Google wymaga, żeby robots.txt leżał w katalogu głównym witryny, nie w podkatalogu | często wtyczka SEO w CMS albo ustawienia platformy |
| Przekierowania 301 i reguły serwera | zmiana pliku .htaccess albo konfiguracji serwera | wtyczka przekierowań, jeśli system ją ma |
| Weryfikacja w Google Search Console plikiem HTML | plik musi być dostępny pod wskazanym adresem; jego usunięcie odbiera weryfikację | tag HTML w kodzie strony albo rekord DNS u dostawcy domeny |
| Poprawki szablonu i szybkości strony | edycja plików motywu, skryptów i obrazów | częściowo edytor w panelu, ryzykowny przy błędzie |
| Kopia zapasowa przed większą zmianą | pobranie plików na dysk | narzędzia kopii w panelu hostingu |
| Awaria albo infekcja strony | panel CMS bywa wtedy niedostępny, pliki trzeba sprawdzić i podmienić bezpośrednio | zwykle brak |
Co ustawia się w tych plikach, opisujemy we wpisach o pliku robots.txt i pliku .htaccess. W konfiguracji serwera ustawia się też zwykle nagłówek X-Robots-Tag, który mówi robotom, czego nie indeksować.
Dlaczego agencja SEO prosi o dostęp do FTP?
Agencja prosi o dostęp, gdy ma nie tylko wskazać błędy, ale też sama je poprawić. Audyt da się zrobić bez niego: wystarczy publiczna strona i dostęp do Google Search Console. Wdrożenie zmian technicznych często wymaga już dostępu do plików.
Zanim przekażesz dane, zapytaj o trzy rzeczy: jakie zmiany agencja chce wprowadzić, czy da się je zrobić w panelu CMS i kto będzie się logował. Dobra odpowiedź to lista zadań, a nie prośba „na wszelki wypadek”.
W projekcie dla crossmobile.pl wśród zadań były stałe przekierowania, pliki sitemap.xml i robots.txt oraz poprawki z PageSpeed Insights, czyli prace, przy których bywa potrzebny dostęp do plików strony.
Do samych danych z wyszukiwarki dostęp do serwera nie jest potrzebny. W Search Console właściciel usługi może dodać agencję jako pełnego użytkownika, który widzi wszystkie dane i może np. przesłać mapę witryny, ale nie dodaje kolejnych użytkowników ani właścicieli. Techniczny porządek strony to fundament widoczności w Google. W modelu Search Ecosystem™ od niego zależą też pozostałe kanały wyszukiwania, bo każdy korzysta z tej samej strony.
Czy panel CMS zastępuje FTP?
W codziennej pracy tak, przy zmianach technicznych nie zawsze. W WordPressie i podobnych systemach treści, zdjęcia, wtyczki i wiele ustawień zmienisz z panelu, bez dotykania plików.
Panel ma jednak granice. Nie pomoże, gdy błąd w szablonie albo wtyczce wyłączy stronę i panel przestanie się otwierać. Zwykle nie daje też dostępu do konfiguracji serwera.
Na platformach abonamentowych bywa odwrotnie: dostępu do plików nie ma wcale. Google w dokumentacji robots.txt zaznacza, że w serwisach takich jak Wix czy Blogger plik może nie dać się edytować bezpośrednio, a platforma udostępnia w zamian ustawienia wyszukiwania. Wtedy zmiany robisz w opcjach platformy, a nie przez FTP.
W panelu hostingu jest zwykle także menedżer plików w przeglądarce. Daje podobne możliwości co klient FTP, bez instalowania programu.
Czy FTP jest bezpieczny?
Zwykłe FTP nie jest bezpieczne, bo przesyła dane otwartym tekstem, razem z loginem i hasłem. Google w dokumentacji o ochronie strony zaleca SSH i SFTP zamiast protokołów przesyłających dane otwartym tekstem, takich jak telnet czy FTP.
| Protokół | Szyfrowanie | Kiedy używać |
|---|---|---|
| FTP | brak; dane i hasło idą otwartym tekstem | tylko gdy serwer nie daje innej możliwości |
| FTPS | FTP z szyfrowaniem TLS | gdy hosting nie obsługuje SFTP |
| SFTP | przesyłanie plików przez szyfrowane połączenie SSH | domyślny wybór, jeśli hosting go udostępnia |
Szyfrowanie to nie wszystko. W tej samej dokumentacji Google radzi wybierać mocne hasła, na bieżąco aktualizować oprogramowanie i wtyczki oraz nie zostawiać katalogów z otwartymi uprawnieniami. Kto przejmie hasło do serwera, może podmienić pliki strony i dopisać do niej spam albo złośliwy kod. Jak wtedy działać, opisujemy we wpisie o wirusach na stronie internetowej.
Co to oznacza dla Twojego biznesu?
Strona po włamaniu to nie tylko koszt naprawy. Google może pokazywać przy niebezpiecznej stronie ostrzeżenie Bezpiecznego przeglądania, a klient, który je zobaczy, zwykle nie wejdzie dalej. Osobne konto i szyfrowane połączenie kosztują mniej niż jeden dzień bez sprzedaży.
Jak bezpiecznie przekazać dostęp agencji albo programiście?
Załóż osobne konto dla każdej osoby albo firmy i ogranicz je do tego, czego naprawdę potrzebuje. Nie przekazuj głównego konta hostingu.
- Osobne konto FTP lub SFTP. W panelu hostingu utwórz nowe konto zamiast dzielić się swoim. Wyłączysz je potem bez zmiany haseł wszystkim pozostałym.
- Tylko potrzebny katalog. Jeśli hosting na to pozwala, ogranicz konto do katalogu strony, a nie całego serwera z pocztą i innymi domenami.
- Szyfrowane połączenie. Podaj dane do SFTP, jeśli hosting go obsługuje.
- Hasło osobnym kanałem. Adres serwera i login wyślij mailem, a hasło SMS-em albo przez menedżer haseł.
- Kopia zapasowa przed zmianami. Ustal, kto ją robi i gdzie jest przechowywana.
- Lista dostępów. Zapisz, kto ma dostęp i do kiedy. Po zakończeniu prac usuń konto albo zmień hasło.
Zdaniem eksperta ICEA
„Przy przejmowaniu serwisów często zastajemy jedno wspólne konto FTP, którego hasło przez lata poznało kilku wykonawców bez żadnej listy dostępów. Zanim cokolwiek zmienimy, prosimy o osobne konto SFTP ograniczone do katalogu strony i robimy własną kopię plików. Jeśli zmianę da się zrobić w panelu CMS albo w Search Console, o dostęp do serwera w ogóle nie prosimy.”
Volodymyr SyvakSenior SEO Specialist, ICEA.Gdzie znaleźć dane do serwera FTP?
Dane do FTP są w panelu firmy hostingowej, u której masz serwer. Zwykle znajdziesz je w zakładce o nazwie w rodzaju „FTP”, „Konta FTP” albo „Pliki”.
Część firm hostingowych wysyła dane do pierwszego logowania w mailu powitalnym po zakupie usługi. Jeśli go nie masz, wyszukaj w poczcie nazwę firmy hostingowej. Gdy hasło przepadło, nie szukaj go w starych wiadomościach: ustaw w panelu nowe.
Jeśli nie wiesz, na jakim hostingu działa Twoja strona, sprawdź faktury albo zapytaj firmę, która ją wykonała.
Nazwy zakładek różnią się między firmami, więc w razie wątpliwości najszybciej pomoże pomoc techniczna hostingu.
Co zrobić teraz?
Zanim komukolwiek dasz dostęp do serwera, ustal, po co jest potrzebny i jak go potem odebrać.
- Zapytaj wykonawcę, jakie zmiany chce wprowadzić i czy da się je zrobić w panelu CMS albo w Search Console.
- Sprawdź w panelu hostingu, czy masz SFTP. Jeśli tak, używaj go zamiast zwykłego FTP.
- Załóż osobne konto dla wykonawcy, ograniczone do katalogu strony.
- Przed zmianami zrób kopię zapasową plików i bazy danych.
- Po zakończeniu prac usuń konto albo zmień hasło.
Najważniejszy wniosek: dostęp do serwera to narzędzie do konkretnych zmian technicznych, a nie formalność na start współpracy. Dawaj go, gdy wiesz, czemu służy, przez szyfrowane połączenie i na czas, który sam kontrolujesz.
Źródła
- Google Search Central: zapobieganie infekcji złośliwym oprogramowaniem (aktualizacja 10.12.2025)
- Google Search Central: bezpieczeństwo witryny i Bezpieczne przeglądanie
- Google Search Central: tworzenie i przesyłanie pliku robots.txt (aktualizacja 21.11.2025)
- Pomoc Google Search Console: weryfikacja własności witryny
- Pomoc Google Search Console: zarządzanie właścicielami, użytkownikami i uprawnieniami
Najczęstsze pytania.
Czy FTP i hosting to to samo?
Nie. Hosting to usługa: miejsce na serwerze, na którym działa Twoja strona. FTP to jeden ze sposobów przesyłania plików na ten serwer.
Czy przez FTP zmienię treść wpisów na WordPressie?
Nie. WordPress trzyma treść wpisów i stron w bazie danych, a nie w plikach. Przez FTP zmieniasz pliki: motyw, wtyczki, zdjęcia i konfigurację.
Czy dostęp do FTP daje dostęp do bazy danych?
Nie bezpośrednio, bo baza ma osobny login i hasło. Zapisuje je jednak plik konfiguracyjny strony, np. wp-config.php w WordPressie, więc kto czyta pliki, zwykle może te dane odczytać.
