1 kwietnia 2026 roku Cloudflare opublikowało na swoim blogu wpis zapowiadający nowy system zarządzania treścią o nazwie EmDash, nazywając go „duchowym następcą WordPressa, który rozwiązuje problem bezpieczeństwa wtyczek". Data publikacji – prima aprilis – od razu wzbudziła podejrzenia, że to żart. Nie jest. Kilka serwisów branżowych (m.in. InfoQ i Slashdot) wprost odnotowało, że mimo żartobliwej daty premiery projekt jest jak najbardziej realny: ma działający kod źródłowy na GitHubie, publiczną licencję i już wywołał dyskusję w środowisku WordPressa – łącznie z komentarzem samego współzałożyciela WordPressa, Matta Mullenwega.
Sprawdziliśmy, co w tym materiale jest faktem, co deklaracją marketingową Cloudflare, a co krytyką ze strony ludzi, którzy się na tym znają.
Czym jest EmDash?
EmDash to open-source'owy, w pełni serwerowy CMS napisany w TypeScript i zbudowany na frameworku Astro 6.0. Projekt jest rozwijany przez Cloudflare, udostępniony na licencji MIT, a jego kod źródłowy znajduje się publicznie na GitHubie (github.com/emdash-cms/emdash). Obecnie ma status wersji rozwojowej v0.1.0 (developer preview) – to wczesna beta, nie produkt gotowy do masowego wdrożenia.
To gra słów. Logo EmDash to litera „m" przecięta poziomą kreską – czyli znak em dash (—), długi myślnik typograficzny. Nazwa „em dash" pochodzi stąd, że w tradycyjnym druku jego szerokość odpowiadała szerokości litery „m" w danej czcionce. Sama nazwa CMS-a jest więc jednocześnie żartem typograficznym i odniesieniem do litery, od której się zaczyna.
Dlaczego Cloudflare w ogóle porównuje to do WordPressa?
WordPress napędza – według danych W3Techs z 2026 roku – ponad 41% wszystkich stron internetowych na świecie. To ogromna skala, ale też ogromna powierzchnia ataku. Cloudflare w swoim ogłoszeniu przywołuje dane, według których aż 96% problemów z bezpieczeństwem WordPressa pochodzi z wtyczek innych firm, a rok 2025 przyniósł więcej poważnych luk bezpieczeństwa w ekosystemie WordPressa niż dwa poprzednie lata razem wzięte. To liczby podane przez Cloudflare we własnym materiale promocyjnym – nie mamy niezależnego źródła, które by je w 100% potwierdzało, ale kierunek (wtyczki jako główne źródło problemów) pokrywa się z tym, co od lat mówią firmy zajmujące się bezpieczeństwem WordPressa.
Problem, na który wskazuje Cloudflare, jest architektoniczny: w WordPressie każda wtyczka działa w tym samym procesie PHP co reszta strony i ma pełen dostęp do bazy danych, plików i innych wtyczek. Jedna źle napisana lub złośliwa wtyczka może więc skompromitować całą stronę.
Jak EmDash działa technicznie
EmDash rozwiązuje ten problem, uruchamiając każdą wtyczkę w osobnej, odizolowanej „piaskownicy" – tzw. Dynamic Workers, opartych o architekturę izolatów V8 (ten sam mechanizm, który stoi za Cloudflare Workers). Każda wtyczka musi w swoim manifeście jawnie zadeklarować, do czego potrzebuje dostępu. Przykład z dokumentacji: wtyczka do powiadomień deklaruje uprawnienia ["read:content", "email:send"] i tylko tyle może zrobić – nie ma dostępu do bazy danych, systemu plików ani żadnych innych funkcji, których nie zadeklarowała. Dostęp sieciowy można dodatkowo ograniczyć do konkretnych domen.
Baza danych i storage
EmDash nie wiąże się na sztywno z jedną bazą danych. Warstwa danych działa na przenośnych abstrakcjach (Kysely dla SQL, S3 API dla plików), które obsługują SQLite, Cloudflare D1, Turso, PostgreSQL, a pliki – Cloudflare R2, AWS S3 lub zwykły system plików lokalny.
Logowanie i treść
Domyślnym sposobem logowania są klucze dostępu (passkeys), z możliwością dopięcia SSO i ról. Treść edytuje się w edytorze TipTap, a zapisuje w formacie Portable Text. Motywy to zwykłe projekty Astro – strony, layouty, komponenty i pliki „seed" definiujące typy treści.
EmDash można uruchomić na infrastrukturze Cloudflare (jednym kliknięciem albo przez CLI) lub na dowolnym serwerze Node.js. Płatności typu pay-per-use obsługuje wbudowane wsparcie dla protokołu x402. System ma też wbudowany serwer MCP (Model Context Protocol) i własne CLI – z założenia jest zaprojektowany tak, by agenci AI mogli nim zarządzać programowo, nie tylko ludzie przez panel administracyjny.
Czy EmDash jest bezpieczny?
Model sandboxowania wtyczek – z jawnie deklarowanymi uprawnieniami i izolacją procesową – to sensowna poprawa względem sposobu, w jaki wtyczki działają w WordPressie. To nie jest kosmetyczna zmiana, tylko inna architektura na poziomie systemu.
Warto jednak mieć na uwadze dwie rzeczy. Po pierwsze, pełna izolacja wtyczek (Dynamic Workers) działa w praktyce na infrastrukturze Cloudflare i wymaga płatnego planu Cloudflare Workers (minimum ok. 5 USD miesięcznie) – na darmowym koncie trzeba wtyczki po prostu wyłączyć. Po drugie, EmDash ma za sobą raptem kilka miesięcy istnienia i status wczesnej bety – nie natrafiliśmy na informacje o niezależnym audycie bezpieczeństwa tego systemu. Dobra architektura na papierze to nie to samo, co przetestowana w boju odporność na faktyczne ataki.
Co EmDash robi lepiej niż WordPress
- Architektura bezpieczeństwa wtyczek – izolacja procesowa i jawne uprawnienia zamiast pełnego, współdzielonego dostępu.
- TypeScript zamiast PHP – statyczne typowanie ogranicza całą klasę błędów jeszcze na etapie pisania kodu.
- Model serwerowy „scale to zero" – płaci się za faktyczny czas pracy procesora, nie za utrzymywanie serwera działającego 24/7.
- Integracja z AI wbudowana od podstaw – serwer MCP i CLI są częścią rdzenia systemu, a nie wtyczką doklejaną z boku.
- Logowanie kluczami dostępu domyślnie – zamiast klasycznego loginu i hasła jako punktu wyjścia.
Czego EmDash-owi brakuje – i dlaczego to ważne
Najbardziej wyważoną ocenę EmDash-a opublikował Joost de Valk, twórca wtyczki Yoast SEO i jedna z bardziej rozpoznawalnych postaci środowiska WordPressa. Jego wnioski są dobrym punktem odniesienia, bo pochwalił EmDash i wskazał jego rzeczywiste słabości w jednym tekście.
Pusty ekosystem
De Valk pisze wprost: „ekosystem wtyczek jest pusty" i porównuje sytuację do Ghosta, Craft CMS i Statamic – systemów technicznie bardzo dobrych, którym nigdy nie udało się zbudować ekosystemu potrzebnego do masowej adopcji.
Brak testu bojowego
Jego słowa: „dwa miesiące rozwoju wspomaganego przez AI to nie to samo, co dwa miesiące testów w warunkach produkcyjnych. Prawdziwy test dopiero się zaczyna."
Do tego dochodzi coś, czego w WordPressie nie trzeba w ogóle rozważać: EmDash nie ma żadnego wizualnego kreatora stron typu Elementor czy Gutenberg. Motyw tworzy się jako projekt Astro – co oznacza, że budowa i edycja strony wymaga umiejętności programistycznych, a nie tylko przeciągania bloków w panelu. Dla właściciela małej firmy, który sam edytuje treści na swojej stronie, to dziś spora bariera wejścia.
Krytyczny głos w tej dyskusji ma też Matt Mullenweg, współzałożyciel WordPressa. Jego zdaniem EmDash „powstał po to, żeby sprzedawać więcej usług Cloudflare", a deklarowane bezpieczeństwo wtyczek „działa tak naprawdę tylko na infrastrukturze Cloudflare". To ocena osoby bezpośrednio zainteresowanej pozycją WordPressa, więc trudno nazwać ją neutralną – ale techniczna część tego zarzutu (uzależnienie pełnej izolacji wtyczek od płatnego konta Cloudflare) pokrywa się z tym, co wynika wprost z dokumentacji projektu.
Migracja z WordPressa – co oferuje sam EmDash
EmDash obsługuje import danych z WordPressa w formacie WXR (WordPress eXtended RSS) – standardowego eksportu, jaki WordPress generuje wbudowanym narzędziem. Dostępna jest też dedykowana wtyczka „EmDash Exporter" do WordPressa, ułatwiająca bezpośredni eksport, oraz obsługa niestandardowych typów wpisów i mediów. Cloudflare deklaruje, że samo przeniesienie treści zajmuje „kilka minut" – to ich własne słowa, nie mamy niezależnego pomiaru czasu takiej migracji. Ważne rozróżnienie: import treści (artykuły, media) to jedno, a odtworzenie wyglądu strony i funkcji, które dziś zapewniają wtyczki WordPressa, to zupełnie inna, znacznie bardziej pracochłonna część migracji – i tej Cloudflare nie automatyzuje.
Czy warto już teraz przechodzić na EmDash?
Szczerze: to zależy wyłącznie od tego, jak bardzo Twoja obecna strona polega na wtyczkach i wizualnym edytorze WordPressa. Jeśli prowadzisz prostą stronę firmową z niewielką liczbą wtyczek i masz zespół techniczny (albo agencję), który ogarnie Astro i TypeScript – EmDash to ciekawa, bezpieczniejsza architektonicznie alternatywa już dziś. Jeśli Twoja strona żyje dzięki dziesiątkom wtyczek i samodzielnie edytujesz treści w panelu WordPressa – na razie zostań przy WordPressie i obserwuj, jak rozwija się ekosystem EmDash.