Raport · Podatek od monolitu · edycja 01: ochrona zdrowia
Strony internetowe placówek medycznych raport z badania 699 witryn
Twoja strona to pierwszy kontakt z placówką. Czy ułatwia pacjentowi decyzję o wizycie?
Sprawdziliśmy szybkość, zabezpieczenia i możliwość rezerwacji wizyt na stronach placówek medycznych. Zobacz, co może utrudniać pacjentom kontakt i jakie braki w zabezpieczeniach strony mogą zagrażać danym placówki i jej pacjentów - oraz co warto poprawić u siebie.
Bezpłatny audyt · bez zobowiązań
Aktualizacja treści: . Data pomiaru pozostaje bez zmian.
Trzy rzeczy, które warto sprawdzić na swojej stronie.
Nie musisz znać technicznych wskaźników. Zacznij od tego, czego potrzebuje pacjent.
Czy pacjent łatwo umówi wizytę?
Wolne ładowanie i trudna do znalezienia rezerwacja mogą przerwać drogę od zainteresowania do kontaktu z placówką.
Rezerwacja wizytCzy Twoja placówka budzi zaufanie?
Wygląd strony to tylko część obrazu. Ważne jest też bezpieczne połączenie i ochrona przed mailami podszywającymi się pod placówkę.
BezpieczeństwoCzy można Cię znaleźć w sieci?
Strona powinna jasno informować, jaką placówkę reprezentuje i jakie usługi oferuje. Raport pokazuje braki w jej technicznym opisie dla wyszukiwarek.
Widoczność w sieciRaport w ośmiu zdaniach
Najważniejsze wyniki badania z 7 września 2026. Przy liczbach podajemy wielkość badanej grupy (n), ponieważ nie każdy pomiar był dostępny dla każdej strony.
- W badaniu Codium z 7 września 2026, obejmującym 699 stron polskich prywatnych placówek medycznych, 42,9% stron z dostępnym wynikiem Core Web Vitals nie spełniało tych wskaźników jakości u rzeczywistych użytkowników (n=331).
- W badaniu Codium z 7 września 2026 mediana LCP, czyli czasu pokazania głównej treści na telefonie, wyniosła 6,9 sekundy dla stron polskich prywatnych placówek medycznych w teście laboratoryjnym, przy progu dobrego wyniku 2,5 sekundy (n=665).
- W badaniu Codium z 7 września 2026 wśród stron polskich prywatnych placówek medycznych używających WordPressa i ujawniających wersję rdzenia 18,7% działało na wydaniu oznaczonym oficjalnie jako niebezpieczne (n=332).
- W badaniu Codium z 7 września 2026 na 80,8% domen polskich prywatnych placówek medycznych brakowało polityki DMARC nakazującej kwarantannę lub odrzucenie wiadomości niespełniających wymagań uwierzytelniania domeny nadawcy (n=699).
- W badaniu Codium z 7 września 2026 na 54,3% stron polskich prywatnych placówek medycznych wykryto uruchamianie narzędzi śledzących przed interakcją użytkownika z banerem zgody (n=676; pomiar techniczny, bez oceny zgodności prawnej).
- W badaniu Codium z 7 września 2026 na 36,4% stron polskich prywatnych placówek medycznych wykryto baner zgody, a mimo to narzędzia śledzące uruchamiały się przed interakcją użytkownika (n=676 wszystkich stron objętych tym pomiarem).
- W badaniu Codium z 7 września 2026 tylko 16,4% stron polskich prywatnych placówek medycznych zawierało medyczne dane strukturalne, takie jak MedicalOrganization, Physician lub Dentist (n=678).
- W badaniu Codium z 7 września 2026 na stronach głównych 35,7% polskich prywatnych placówek medycznych nie wykryto możliwości rezerwacji wizyty online (n=678; wynik nie wyklucza rezerwacji dostępnej na podstronach lub w innych kanałach).
Sześć liczb, które streszczają raport
Zbadaliśmy strony główne 699 prywatnych placówek medycznych z KRS: praktyk specjalistycznych i gabinetów stomatologicznych. Sprawdzaliśmy publicznie dostępne elementy stron, bez logowania i prób przełamania zabezpieczeń. Wyniki pomagają wskazać obszary do poprawy, ale nie zastępują oceny konkretnej witryny.
Co z tego wynika
- Zacznij od szybkości na telefonie. Mediana wyniku Lighthouse wyniosła 63/100, a czas pokazania głównej treści w teście laboratoryjnym - 6,9 s. U realnych użytkowników Core Web Vitals nie zdaje ponad 4 na 10 placówek objętych tym pomiarem. Warto sprawdzić, czy pacjent szybko widzi ofertę i sposób kontaktu.
- Sprawdź, kto odpowiada za aktualizacje. Dwie na trzy strony korzystają z WordPressa. Wśród stron ujawniających wersję systemu prawie połowa używa wydania przestarzałego lub oznaczonego jako niebezpieczne. Sam wybór systemu nie przesądza o jakości strony; liczy się sposób wdrożenia i utrzymania.
- Zadbaj o połączenie i pocztę placówki. Co szósta strona nie wymusza HTTPS, a co trzecia ma mieszaną zawartość. Warto poprosić opiekuna technicznego o sprawdzenie tych ustawień oraz ochrony domeny pocztowej przed podszywaniem się.
- Sprawdź działanie banera zgody. Ponad połowa badanych stron uruchamia narzędzia śledzące przed interakcją użytkownika. Samo wyświetlenie banera nie oznacza, że skrypty czekają na zgodę. To sygnał techniczny wymagający sprawdzenia, nie rozstrzygnięcie prawne.
- Ułatw wyszukiwarkom odczytanie informacji o placówce. 84% stron nie ma schematu medycznego, a prawie połowa nie ma mapy strony. Dane strukturalne mogą uporządkować informacje o usługach i lokalizacji, ale nie gwarantują pozycji ani obecności w odpowiedziach AI.
Ile pacjent czeka na stronę przychodni
Szybkość sprawdzamy na dwa sposoby. CrUX opisuje doświadczenia realnych użytkowników Chrome z ostatnich 28 dni; dane są dostępne dla 61,8% próby. Lighthouse symuluje wejście na stronę na wolniejszym łączu. Taki test pomaga szukać przyczyn opóźnień, ale nie jest pomiarem czasu oczekiwania każdego pacjenta.
placówek nie zdaje Core Web Vitals u realnych użytkowników.
Zdaje 57,1%. Test obejmuje szybkość ładowania głównej treści, reakcję na interakcję i stabilność układu. Wynik dotyczy placówek, które mają dość ruchu, by CrUX je zmierzył - czyli raczej tych większych.
crux_pass · n=331 (61,8% próby ma dane polowe) · dane od realnych użytkowników
crux_pass · n=331 · dane polowe CrUX
Połowa stron renderuje główną treść dłużej niż 6,9 sekundy w teście na symulowanym łączu mobilnym.
Google wyznacza próg dobrego LCP na 2,5 s. Górny kwartyl próby przekracza 11,8 s, a co dziesiąta strona - 18,6 s. Na komputerze mediana wynosi 1,3 s. Dlatego sprawdzenie strony wyłącznie na biurowym komputerze może nie pokazać problemów występujących na telefonie.
lcp_ms_mobile · n=665 · p25=4,1 s · p75=11,8 s · p90=18,6 s · wynik syntetyczny - nie mieszać z danymi polowymi
Rozkład wyniku Lighthouse (mobile)
performance_mobile · n=665 · skala 0-100 · próg „dobry” Lighthouse = 90
Typowa strona placówki waży 1,83 MB i wykonuje 64 żądania; najcięższe 10% przekracza 6,4 MB.
Mediana liczby domen trzecich odpytywanych przy wejściu to 4, a górne 10% sięga 10. Główny wątek przeglądarki pracuje w medianie 1,2 s, a zasoby blokujące renderowanie to mediana 9 plików.
total_byte_weight_kb_mobile n=669 · third_party_domains_count n=676 · main_thread_work_ms n=669
Mediany ocen dostępności, SEO i dobrych praktyk w teście mobilnym są wyższe niż ocena wydajności.
Automatyczny test nie obejmuje wszystkich problemów. Warto zacząć od kontrastu tekstu i opisów alternatywnych obrazów, a następnie sprawdzić, czy da się wygodnie znaleźć usługę i skontaktować z placówką.
accessibility_mobile n=669 · seo_mobile n=669 · best_practices_mobile n=668
Sprawdź stronę tak, jak otwiera ją pacjent
Otwórz stronę na telefonie przez internet mobilny. Znajdź usługę, cenę lub numer telefonu. Jeśli musisz czekać, poproś opiekuna strony o pomiar i listę przyczyn opóźnienia. Sam wynik punktowy nie mówi jeszcze, czy potrzebna jest przebudowa.
Na czym stoją strony internetowe placówek medycznych
Rozkład silników CMS
cms_engine · n=678 · uzgodnione z dwóch niezależnych metod · „nieokreślony” = metody się rozjechały lub silnik ukryty
Wśród 332 stron, które ujawniają wersję rdzenia CMS, prawie co piąta działa na wydaniu oznaczonym przez api.wordpress.org jako niebezpieczne, a kolejne 29,5% jako przestarzałe.
Klasyfikacja pochodzi od producenta i dotyczy rdzenia systemu, bez oceny wtyczek. W tej grupie 62 placówki ujawniają wersję oznaczoną jako insecure. Wyniku nie należy przenosić na wszystkie strony: brak widocznej wersji nie dowodzi ani aktualności, ani zaniedbania.
cms_version_status · n=332 · latest 51,8% · outdated 29,5% · insecure 18,7% · brak wersji ≠ wersja aktualna
cms_version_status · n=332 - tylko strony ujawniające wersję rdzenia
Tam, gdzie wykryto kreator stron (238 witryn), dominuje Elementor (58%), dalej WPBakery (22%) i Divi (10%) - narzędzia znane z tego, że dokładają wagi i pracy przeglądarki.
Niezależnie od tego, 5,7% stron wciąż ładuje jQuery 1.12.4, a łącznie ponad 10% jakąś wersję z gałęzi 1.x - biblioteki bez wsparcia od lat.
page_builder n=238 · jquery_version n=402
Poproś o plan utrzymania strony
Ustal, kto aktualizuje system i wtyczki, wykonuje kopie zapasowe i sprawdza ich odtwarzanie. Zanim zdecydujesz się na nową stronę, sprawdź, co można poprawić w obecnej.
Czy strona i poczta placówki są odpowiednio zabezpieczone
Kontrole bezpieczeństwa transportu - udział placówek
Znacznik ▲ oznacza wiersz, w którym wyższy odsetek jest gorszy - w pozostałych wyższy jest lepszy.
n=692 (nagłówki, TLS) · n=670 (/wp-admin) · n=696 (DNSSEC) · pomiar pasywny - wartości to dolne oszacowanie
U prawie połowy placówek standardowa ścieżka /wp-admin/ odpowiada formularzem logowania widocznym z internetu.
To nie jest podatność - to kwestia higieny. Publiczny panel logowania zwiększa powierzchnię ataków słownikowych i wymaga w zamian silnego uwierzytelniania dwuskładnikowego oraz limitowania prób. Sprawdziliśmy to jednym żądaniem GET, bez prób logowania.
admin_path_reachable · n=670 · stomatologia 52,6% · specjalistyka 47,0%
Cztery na pięć domen placówek nie ma egzekwowalnej ochrony przed podszywaniem się w poczcie.
50,2% domen nie ma rekordu DMARC. Wśród domen z tym rekordem 61,5% używa polityki none, która służy do monitorowania. Politykę quarantine lub reject ma 19,2% całej próby. Poproś administratora poczty o ocenę konfiguracji i bezpieczne wdrożenie ochrony z uwzględnieniem wszystkich usług wysyłających maile w imieniu placówki.
dmarc_present n=699 (49,8% tak) · dmarc_policy n=348 (none 61,5% · quarantine 25,9% · reject 12,6%)
dmarc_present + dmarc_policy · n=699 · udziały w całej próbie
Sama warstwa szyfrowania jest w dobrym stanie: 97% negocjuje TLS 1.3, a wygasłych certyfikatów jest 1,2%.
Słabiej z resztą stosu: HTTP/1.1 obsługuje jeszcze 8,5% stron, IPv6 tylko 12,5%, a kanonizacja www/non-www jest niespójna u 16,8%. Około jednej czwartej stron hostowanych jest poza Polską (US 13,2%, FR 6,2%, DE 3,5%).
tls_version n=679 · cert_expired n=679 · http_version n=692 · ip_country n=692
Przekaż administratorowi konkretną listę
Poproś o sprawdzenie wymuszania HTTPS, certyfikatu, zasobów ładowanych przez HTTP i konfiguracji poczty. To odrębne zadania - dobry certyfikat strony nie potwierdza ochrony domeny pocztowej.
Czy narzędzia śledzące czekają na zgodę pacjenta
Ten moduł mierzy sygnały techniczne, nie zgodność prawną. Zbieramy je w trybie headless, bez żadnej interakcji - opisują stan, jaki dostaje użytkownik, zanim zdąży kliknąć baner zgody.
Narzędzia śledzące i analityczne - udział placówek
n=676 · headless, bez interakcji · we wszystkich wierszach wyższy odsetek oznacza więcej danych wysyłanych do stron trzecich
Na ponad jednej trzeciej badanych stron wykryto baner zgody, a mimo to narzędzia śledzące uruchamiały się przed interakcją użytkownika.
Kolejne 17,9% stron ładuje narzędzia śledzące bez wykrytego mechanizmu zgody. Sam mechanizm wykryto u 55% placówek. Warto sprawdzić nie tylko wygląd banera, lecz także zachowanie strony przed wyborem oraz po odrzuceniu opcjonalnych plików cookie.
trackers_despite_cmp n=676 · tracking_without_any_cmp n=676 · cmp_detected: brak 44,8% · własny 25,4% · CookieYes 10,7% · Cookiebot 7,1%
Co szósta placówka ma na stronie Meta Pixel - narzędzie wysyłające dane o przeglądaniu strony o tematyce zdrowotnej do Meta.
Wśród gabinetów stomatologicznych udział wynosi 20,3%. Osobno: 13,9% wszystkich placówek nadal ma kod Universal Analytics, usługi wyłączonej przez Google w 2023 roku. To powód do przeglądu skryptów, choć sam stary kod nie dowodzi, że nikt nie aktualizuje strony.
meta_pixel_present n=676 · universal_analytics_present n=676
Politykę prywatności linkuje ze strony głównej 58,7% placówek. Wśród tych, które udało się pobrać, tylko 40,9% w ogóle odnosi się do danych o zdrowiu.
Treść polityki powinna odpowiadać temu, jakie informacje placówka rzeczywiście przetwarza przez stronę. Samo użycie lub brak konkretnego sformułowania nie rozstrzyga o zgodności dokumentu z prawem. Wynik wskazuje temat do weryfikacji z osobą odpowiedzialną za prywatność.
privacy_policy_linked n=678 · privacy_policy_mentions_health_data n=340
Sprawdź, co robią narzędzia marketingowe
Poproś o listę skryptów i ich zastosowań. Zweryfikuj, czy opcjonalne narzędzia zachowują się zgodnie z wyborem użytkownika. Wyniki techniczne przekaż osobie odpowiedzialnej za prywatność.
Czy wyszukiwarki mogą łatwo odczytać informacje o placówce
Tylko co szósta placówka ma w danych strukturalnych schemat medyczny (MedicalOrganization, Physician, Dentist, MedicalClinic).
Dane strukturalne pomagają jednoznacznie opisać typ placówki, usługi i lokalizację. Ich brak nie oznacza, że wyszukiwarka nie rozumie strony, a obecność nie gwarantuje cytowania przez AI. Schemat LocalBusiness ma 5,2% stron, FAQ - 2,1%, a oceny zagregowane - 2,7%.
has_medical_schema n=678 · has_localbusiness n=678 · has_faqpage n=678
Co najmniej co czwarta strona nie ma meta opisu ani nagłówka H1 - dwóch najprostszych elementów on-page.
Mapę strony (sitemap.xml) ma 53,7%, plik robots.txt - 67%. Meta znacznik viewport, warunek poprawnego wyświetlania na telefonie, ma 94,2% - brakuje go na 39 stronach. Co najmniej 16 placówek blokuje własną stronę przed indeksowaniem znacznikiem noindex.
meta_description_length / h1_count p25=0 · sitemap_present n=672 · meta_robots_noindex n=672 (2,4%)
Znaczniki podglądu w social media (Open Graph) ma 63%, Twitter Card - 54%, kanoniczny adres URL - 76%.
Dzięki tym znacznikom udostępniony link może mieć właściwy tytuł, opis i zdjęcie. Sprawdź podgląd własnej strony przed wysłaniem jej pacjentom lub użyciem w kampanii.
open_graph_present / twitter_card_present / canonical_present · n≈672-678
Ułatw znalezienie podstawowych informacji
Sprawdź, czy nazwa, adres, usługi, godziny otwarcia i kontakt są aktualne oraz dostępne jako tekst. Poproś o sprawdzenie indeksowania i zgodności danych strukturalnych z tym, co pacjent widzi na stronie.
Rezerwacja wizyt online - jak pacjent umawia się na wizytę
Kanał rezerwacji na stronie głównej
Znacznik ▲ oznacza wiersz, w którym wyższy odsetek jest gorszy dla placówki.
booking_system · n=678 · mierzona wyłącznie strona główna - rezerwacja na podstronie mogła nie zostać wykryta
Ponad jedna trzecia placówek nie oferuje żadnej rezerwacji online na stronie głównej - tylko numer telefonu.
Do tego 32,7% nie ma nawet klikalnego linku tel:, więc na telefonie pacjent musi przepisać numer ręcznie. Formularz kontaktowy jest u 50,3%.
booking_system n=678 · tel_link_present n=678 (67,3% tak) · contact_form_present n=678
Blisko co piąta badana placówka korzysta z zewnętrznej platformy rezerwacji, najczęściej DocPlanner/ZnanyLekarz.
Wśród praktyk specjalistycznych udział wynosi 20,4%. Taka platforma może ułatwiać umawianie wizyt. Sprawdź jednak cały proces z perspektywy pacjenta oraz warunki korzystania z usługi, zanim oprzesz na niej główny kanał rezerwacji.
booking_is_outsourced n=678
Przejdź całą drogę do umówienia wizyty
Na telefonie wybierz usługę i spróbuj umówić wizytę. Sprawdź, czy przycisk działa, numer telefonu jest klikalny, a formularz wyjaśnia, kiedy pacjent otrzyma odpowiedź. Wybierz sposób rezerwacji, który placówka potrafi sprawnie obsłużyć.
Strona dla gabinetu stomatologicznego a strona przychodni specjalistycznej
W badanej próbie gabinety stomatologiczne częściej korzystają z narzędzi reklamowych, a w wielu pomiarach technicznych wypadają słabiej niż praktyki specjalistyczne. Porównanie pomaga wybrać obszary do sprawdzenia. Nie ocenia jakości opieki ani każdej placówki z osobna.
| Metryka | Stomatologia | Specjalistyka |
|---|---|---|
| Zdaje Core Web Vitals (dane polowe) | 50,9% | 60,3% |
| Mediana wyniku Lighthouse (mobile) | 61 | 64 |
| WordPress jako silnik | 70,0% | 63,4% |
| Wersja CMS przestarzała | 33,6% | 27,1% |
| /wp-admin/ dostępny | 52,6% | 47,0% |
| DMARC obecny | 45,1% | 52,3% |
| Trackery przed zgodą | 60,6% | 51,0% |
| Baner zgody, który nie blokuje | 44,6% | 32,1% |
| Kod martwej Universal Analytics | 20,3% | 10,6% |
| Rezerwacja tylko przez telefon | 29,6% | 38,9% |
Warszawa - wyróżnik regionalny
W Warszawie trackery uruchamiają się przed zgodą u 73,6% placówek (n=125), a baner zgody nie blokuje niczego u 55,2%. To najwyższe wartości ze wszystkich aglomeracji. Jednocześnie warszawskie strony mają najniższą medianę wydajności mobile (60) razem z Poznaniem.
Pozostałe aglomeracje (Kraków, Trójmiasto, Wrocław, Poznań, konurbacja śląska) mieszczą się blisko średniej krajowej. Poznań wyróżnia się najsłabszym transportem - HTTPS wymusza tam 72,7% placówek, a mieszaną zawartość ma 43,3%. Cięcia oparte na danych polowych CrUX w mniejszych aglomeracjach opierają się na n < 30 i podajemy je wyłącznie poglądowo.
Co to znaczy dla pojedynczej placówki
Do tej pory był rynek. Teraz jedna placówka - Twoja. Trzy wnioski praktyczne z tych danych:
- Najpierw sprawdź drogę do kontaktu. W badaniu mediana laboratoryjnego czasu pokazania głównej treści wyniosła 6,9 s. Jeśli płacisz za wejścia z reklam, warto sprawdzić, czy strona szybko pokazuje pacjentowi usługę i możliwość umówienia wizyty.
- Oddziel bieżące poprawki od przebudowy. Konfiguracja HTTPS, poczty i mechanizmu zgód może wymagać naprawy niezależnie od wyglądu strony. Poproś o zakres prac i priorytety przed wyborem nowej technologii.
- Dobierz rozwiązanie do przyczyny problemu. Czasem wystarczy poprawić obrazy, skrypty i konfigurację serwera. Nowa architektura ma sens wtedy, gdy ograniczenia obecnej strony utrudniają dalszy rozwój lub utrzymanie.
Ile kosztuje wolna strona placówki medycznej
To badanie nie mierzyło liczby utraconych wizyt ani przychodu. Żeby oszacować wpływ strony na wyniki placówki, trzeba połączyć pomiary techniczne z danymi o zapytaniach i rezerwacjach. Raport wskazuje, od czego warto zacząć.
- Porównaj szybkość z punktem odniesienia. Próg dobrego LCP to 2,5 s, a mediana w tym badaniu wyniosła 6,9 s. To sygnał do diagnozy, nie gotowa wycena utraconych wizyt.
- Sprawdź stronę docelową reklam. Reklama może przyciągnąć pacjenta, ale strona musi pomóc mu wykonać następny krok. Obserwuj liczbę zapytań i rezerwacji, zamiast oceniać kampanię wyłącznie po kliknięciach.
- Ułatw kontakt poza godzinami pracy. Na stronie głównej 35,7% placówek nie wykryto rezerwacji online, a 32,7% nie ma klikalnego numeru telefonu. Jasny formularz i informacja o terminie odpowiedzi mogą ułatwić pozostawienie zapytania.
- Uporządkuj stare skrypty. Kod Universal Analytics pozostał u 13,9% placówek mimo wyłączenia tej usługi w 2023 roku. Warto sprawdzić, które narzędzia są nadal potrzebne i czy obecny pomiar działa poprawnie.
Krótka lista do sprawdzenia samodzielnie lub z opiekunem strony
- Otwórz stronę na telefonie i sprawdź, czy bez szukania znajdziesz ofertę, adres i kontakt.
- Kliknij numer telefonu i przycisk rezerwacji. Sprawdź, co dzieje się na kolejnych ekranach.
- Poproś o pomiar w PageSpeed Insights i wyjaśnienie, które problemy mają największe znaczenie dla pacjenta.
- Poproś administratora o sprawdzenie poczty, aktualizacji i działania narzędzi analitycznych przed zgodą użytkownika.
- Porównaj dane kontaktowe i godziny otwarcia na stronie z informacjami w profilach placówki.
Co poprawić w obecnej stronie, a kiedy rozważyć przebudowę
W Codium tworzymy strony także w architekturze headless, która oddziela zarządzanie treścią od strony widocznej dla pacjenta. Nie każda placówka potrzebuje jednak takiej zmiany. Poniżej porównujemy trzy możliwe rozwiązania.
| Droga | Kiedy wystarcza | Czego nie naprawi |
|---|---|---|
| CDN i warstwa cache przed istniejącym monolitem | Strona jest sensowna, ale wolno serwowana; treść zmienia się rzadko | Wagi strony, page buildera, przestarzałego rdzenia ani powierzchni ataku |
| Modernizacja obecnego stacku | Fundament jest zdrowy, problemem są wtyczki, wersje i nadmiar skryptów | Strukturalnego kosztu ciężkiego kreatora stron, jeśli to on jest wąskim gardłem |
| Architektura headless i generowanie statyczne | Strona jest wizytówką i kanałem rezerwacji, a nie aplikacją; liczy się szybkość i spokój | Braków w treści i w procesie obsługi pacjenta - technologia ich nie wymyśli |
Planujesz poprawę lub przebudowę strony swojej placówki? Poznaj naszą ofertę na strony internetowe. Opisujemy tam, jak podchodzimy do wydajności i architektury witryny.
Sprawdź, co warto poprawić na stronie Twojej placówki
Podaj adres witryny. Sprawdzimy ją tym samym zestawem pomiarów co strony w raporcie i odeślemy wyniki porównane z badaną grupą. Dowiesz się, jak wypada jej szybkość, zabezpieczenia, prywatność, widoczność i możliwość rezerwacji wizyty. Audyt jest bezpłatny i nie zobowiązuje do zamówienia nowej strony.
01 Podajesz adres swojej strony.
02 Sprawdzamy ją metodą z raportu.
03 Dostajesz wynik na tle rynku.
Jak zebraliśmy te dane i czego z nich nie wolno wnioskować
Próba
Populacja: podmioty z KRS o PKD głównym 86.22.Z (praktyka lekarska specjalistyczna) i 86.23.Z (praktyka dentystyczna), aktywne, z wypełnionym adresem strony. Z 738 wierszy wejścia jednostką analizy jest 699 unikalnych domen - 39 podmiotów dzieli stronę z innym i występuje raz. Segmenty: specjalistyka 455, stomatologia 244. Osiągalnych stron: 680; 12 zablokowało skanera (HTTP 403), reszta nie odpowiedziała.
Co mierzyliśmy
Wyłącznie stronę główną plus stronę polityki prywatności. Metoda w pełni pasywna: żądania HTTP do zasobów publicznych, zapytania DNS, pobranie certyfikatu TLS, render headless bez interakcji, PageSpeed Insights API. Bez skanowania portów, bez enumeracji wtyczek czy użytkowników, bez prób logowania. Ścieżkę /wp-admin/ sprawdzono jednym żądaniem GET. Data pomiaru: 7 września 2026.
Zasady, których trzymamy się w liczbach
- Każda metryka ma własny mianownik. Strony, które zablokowały skanera, mają puste pola treściowe, ale zachowują dane DNS i TLS - dlatego
nwaha się między metrykami. Przy każdej liczbie podajemyn. - Wykrywanie jest dolnym oszacowaniem. Piszemy „wykryto u co najmniej X%”. Dotyczy zwłaszcza DKIM (7 sprawdzanych selektorów), WAF, ukrytych wersji CMS, rezerwacji na podstronach i widżetów ładowanych po interakcji.
- Dane o wersjach mają błąd doboru. Wersję ujawniają głównie instalacje mniej zadbane - odsetek przestarzałych na tej podgrupie jest zawyżony względem populacji. Podajemy go zawsze z mianownikiem.
- Nie mieszamy danych laboratoryjnych z polowymi w jednym twierdzeniu. Do doświadczenia pacjentów używamy CrUX; do diagnozy przyczyn - Lighthouse.
- CrUX faworyzuje większe placówki - wymaga progu ruchu. Pokrycie: 61,8% próby.
- Moduł prywatności mierzy sygnały techniczne, nie zgodność prawną. Nie formułujemy ocen prawnych.
- Anonimizacja. Wszystkie ustalenia publikujemy w agregacie, bez nazw i adresów placówek - również w zestawieniu najszybszych stron. Podzbiory o
n < 30są scalane lub pomijane.
Narzędzia
PageSpeed Insights API (mediana z 3 przebiegów, mobile i desktop), whatweb 0.5.5 i wbudowany fingerprint (baza 2026.09.1), httpx 0.28.1, Playwright 1.62.0, Python 3.13. Wykonano 8 035 żądań HTTP. W badaniu opisano 205 zmiennych. Objaśnienia najważniejszych pojęć znajdziesz w słowniku na tej stronie; pytania o metodę można kierować do Codium.
Najczęściej zadawane pytania o strony placówek medycznych
none, czyli wyłącznie monitorowanie bez blokowania. Ustawienie polityki egzekwowalnej to zmiana konfiguracji, nie przebudowa strony.Pojęcia użyte w raporcie
- LCP (Largest Contentful Paint)
- Czas, po którym przeglądarka pokazuje największy element treści - zwykle zdjęcie lub nagłówek. Próg „dobry” według Google: 2,5 sekundy. Mediana w tym badaniu: 6,9 s na telefonie.
- Core Web Vitals
- Zestaw trzech progów Google: szybkość pokazania treści, reakcja na interakcję i stabilność układu. Strona zdaje test, gdy mieści się we wszystkich trzech. W badaniu nie zdaje 42,9% placówek.
- CrUX (Chrome UX Report)
- Dane od realnych użytkowników przeglądarki Chrome z ostatnich 28 dni. Dostępne tylko dla stron z odpowiednim ruchem - w tym badaniu dla 61,8% próby.
- Lighthouse
- Test laboratoryjny: symulacja wczytania strony na wolniejszym łączu. Służy do diagnozy przyczyn, nie do opisu doświadczenia realnych pacjentów. Skala 0-100, próg „dobry” to 90.
- DMARC
- Rekord DNS określający, co zrobić z wiadomością podszywającą się pod domenę. Polityka
nonetylko monitoruje;quarantineirejectfaktycznie blokują. - CMP (Consent Management Platform)
- Mechanizm zarządzania zgodą na pliki cookie i powiązane narzędzia. W badaniu wykryto go u 55% placówek. Osobno: u 36,4% badanych stron narzędzia śledzące działały przed interakcją mimo obecności banera.
- Dane strukturalne (schema.org)
- Kod w formacie JSON-LD opisujący wyszukiwarkom i modelom AI, czym jest strona. Dla placówki właściwe typy to MedicalOrganization, Physician, Dentist i MedicalClinic.
- Architektura headless
- Oddzielenie zarządzania treścią od warstwy widocznej dla użytkownika. Może ułatwiać przygotowanie szybkiej strony i niezależny rozwój jej części. Samo użycie headless nie oznacza generowania statycznego ani nie usuwa potrzeby zabezpieczenia systemu i integracji.
Strona placówki wpływa na zaufanie, dane i koszt pozyskania pacjenta
Wyniki raportu wskazują konkretne miejsca do sprawdzenia: pocztę, aktualizacje, zgodę na śledzenie i drogę do rezerwacji wizyty. Poniższe konsekwencje wyjaśniają, dlaczego te obszary mają znaczenie dla biznesu; nie są pomiarem strat ani potwierdzeniem włamania w badanych placówkach.
Ktoś może wysłać wiadomość wyglądającą jak mail od Twojej placówki
W badaniu 80,8% domen nie miało egzekwowanej polityki DMARC (n=699). Podszywająca się wiadomość może zawierać fałszywą prośbę o dopłatę do wizyty lub o przekazanie danych. Poprawne SPF, DKIM i egzekwowana polityka DMARC pomagają ograniczyć podszywanie się pod domenę, choć nie zatrzymają wszystkich prób oszustwa, np. z podobnie brzmiącego adresu. Sprawdź wyniki dotyczące poczty placówek.
Baner cookies może wyglądać poprawnie, a mimo to narażać placówkę na sankcje
Na 36,4% badanych stron wykryto baner zgody, lecz narzędzia śledzące uruchamiały się przed interakcją użytkownika (n=676). W Polsce naruszenie obowiązku uzyskania zgody na cookies, gdy jest ona wymagana, może skutkować karą Prezesa UKE - zasadniczo do 3% przychodu z poprzedniego roku; ustawa przewiduje odrębne zasady dla podmiotów o niskim przychodzie lub bez przychodu. Podstawa: Prawo komunikacji elektronicznej, art. 399, 444 i 446.
Jeżeli dochodzi również do naruszenia zasad przetwarzania danych osobowych lub warunków zgody, zastosowanie może mieć RODO: art. 83 ust. 5 przewiduje maksymalnie 20 mln euro albo 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego - zależnie od tego, która kwota jest wyższa. To ustawowe pułapy dla określonych naruszeń, a nie automatyczna kara za każdy błąd banera; o sankcji decydują okoliczności sprawy. Źródło: RODO, art. 83.
Wolna lub niewygodna strona może podnosić koszt zdobycia zapytania z reklamy
Sam wiek strony nie oznacza droższych reklam. Znaczenie mają jej jakość, przydatność i wygoda po kliknięciu: Google wskazuje, że jakość reklam wpływa na koszt kliknięcia, a doświadczenie strony docelowej jest jednym z elementów oceny jakości. Raport nie mierzył kampanii, więc nie określa, o ile droższe są reklamy na badanych stronach. Źródło: Google Ads - jakość reklam.
Przykład obliczeniowy, nie wynik badania
Przy koszcie kliknięcia 5 zł i 1000 wejść wydajesz 5000 zł. Jeśli zapytanie wysyła 2% odwiedzających, otrzymujesz 20 zapytań po 250 zł. Przy 4% otrzymujesz 40 zapytań po 125 zł. W pierwszym wariancie koszt zapytania jest o 100% wyższy, mimo identycznej ceny kliknięcia. Przykład nie zakłada, że przebudowa strony podwoi konwersję - rzeczywisty efekt trzeba zmierzyć.
Przejęta strona może stać się punktem wejścia do innych systemów
Jeśli strona współdzieli serwer, uprawnienia lub dane dostępowe z firmowymi systemami albo ma dostęp do sieci wewnętrznej, jej przejęcie może umożliwić dalszy atak. Nie oznacza to jednak automatycznego ani zawsze łatwego dostępu do serwera placówki. Decydują konfiguracja, uprawnienia i izolacja środowisk; raport nie badał sieci wewnętrznych. Oddzielenie publicznej strony od systemów obsługujących dane pacjentów ogranicza skutki incydentu. Źródło: CERT Polska - separacja sieci.
Zacznij od ustalenia, co rzeczywiście wymaga poprawy
Sprawdź pocztę i aktualizacje, działanie banera przed zgodą oraz izolację strony od systemów placówki. Następnie przejdź drogę od reklamy do rezerwacji na telefonie. Zamów bezpłatne sprawdzenie strony lub poznaj nasze podejście do tworzenia stron internetowych.