Zbadaliśmy strony 2 291 gmin: deklaracja dostępności, cyberbezpieczeństwo, e-Doręczenia, HTTPS i ciasteczka. Wyniki, województwa i najlepsze strony.
Strony internetowe wszystkich gmin w Polsce sprawdziliśmy 23 września 2026 r. Urzędowy rejestr TERYT prowadzony przez GUS liczy ich 2 479. Stronę urzędu udało się ustalić i zmierzyć dla 2 291 gmin, a 72 kolejne gminy prowadzą stronę w domenie gov.pl, zwykle na rządowej platformie samorzad.gov.pl. Mierzyliśmy to, co wynika z przepisów albo decyduje o bezpieczeństwie mieszkańców: deklarację dostępności, informację o cyberbezpieczeństwie, adres do e-Doręczeń, szyfrowanie połączenia i dostęp dla robotów wyszukiwarek oraz modeli AI. Na losowej próbie 398 stron dołożyliśmy pomiar w przeglądarce: wagę strony, ciasteczka zapisywane przed zgodą i błędy dostępności wykrywane automatem.
Najważniejsze wyniki
- Odnośnik do deklaracji dostępności ma na stronie głównej 85% gmin. Datę przeglądu albo sporządzenia z 2026 r. nosi jednak tylko 30% otwierających się deklaracji, choć ustawa każe je przeglądać i aktualizować do 31 marca każdego roku.
- Odnośnik do informacji o cyberbezpieczeństwie ma na stronie głównej 39% gmin. Na jej wprowadzenie znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa daje czas do 3 kwietnia 2027 r.
- Plik security.txt, czyli wskazówkę dla osób zgłaszających luki w zabezpieczeniach, ma tylko 8 z 2 291 zbadanych stron.
- Adres do e-Doręczeń podaje na stronie głównej albo w zakładce kontaktowej 51% gmin.
- 30% stron z próby zapisuje ciasteczka statystyk, zanim gość kliknie cokolwiek, w tym 21% ciasteczka Google Analytics.
- Strona główna waży na telefonie przeciętnie 4,29 MB (mediana), a 69% stron przekracza 3 MB.
- Test automatyczny znalazł co najmniej jeden błąd dostępności na 76% stron z próby.
- 10% gmin blokuje w robots.txt co najmniej jeden robot modeli AI, a 16 nie wpuszcza nawet robota Google.
- Wszystkie sześć kryteriów badania spełniają strony 102 gmin, co potwierdziliśmy drugim pomiarem w przeglądarce. Ich listę publikujemy niżej.
Jak badaliśmy
Listę gmin wzięliśmy z urzędowego rejestru TERYT (GUS, stan na 1 stycznia 2026 r.). Adres strony każdej gminy ustalaliśmy przez sprawdzenie, a nie na wiarę: najpierw adres z Wikidanych, potem wykaz stron podmiotów publicznych, który minister cyfryzacji publikuje na podstawie ustawy o dostępności cyfrowej, na końcu typowe domeny gmin. Adres przechodził dopiero wtedy, gdy strona nazywała tę gminę i jej urząd, a adresy spoza Wikidanych musiały mieć nazwę gminy w tytule, nagłówku albo logo. Tak odpadły strony szkół, ośrodków pomocy społecznej, starostw, systemów informacji przestrzennej i Biuletynów Informacji Publicznej. Przy parach miasto i gmina wiejska o tej samej nazwie strona musiała wskazywać właściwy urząd.
Pomiar wszystkich stron objął stronę główną, deklarację dostępności, zakładkę kontaktową oraz pliki robots.txt i security.txt. Szanowaliśmy robots.txt: strony 21 gmin zamykają w nim dostęp robotom takim jak nasz, więc ich nie mierzyliśmy (14 z nich nie wpuszcza nawet robota Google). 38 stron zatrzymało nasz skrypt stroną weryfikacji albo zaporą i tych zabezpieczeń nie obchodziliśmy. 3 gminy miały w dniu pomiaru stronę w przebudowie, a dla 54 nie udało się ustalić działającej strony urzędu.
Losową próbę 398 stron sprawdziliśmy w przeglądarce Chromium na ekranie telefonu, na szybkim łączu stacjonarnym i bez klikania czegokolwiek. Wynik z próby ma błąd rzędu plus minus 5 punktów procentowych. Test automatyczny nie zastąpi audytu dostępności: narzędzie axe-core, którego użyliśmy, wykrywa tylko część błędów, więc brak błędów w naszym teście nie oznacza, że strona jest dostępna. Brak odnośnika na stronie głównej nie oznacza też, że jednostka nie ma deklaracji. Mierzyliśmy to, co widzi odwiedzający stronę główną.
Deklaracja dostępności: odnośnik jest, przeglądu w 2026 roku nie widać
Ustawa o dostępności cyfrowej wymaga, żeby odnośnik do deklaracji dostępności był dostępny podczas nawigacji po stronie (art. 10 ust. 8), a samą deklarację przeglądać i aktualizować do 31 marca każdego roku (art. 11). Wzór deklaracji ma na to osobne pole: datę ostatniego przeglądu.
- odnośnik do deklaracji na stronie głównej: 85% (1 954 z 2 291 gmin);
- odnośnik prowadzi do działającej deklaracji: 84%;
- deklaracja w strukturze opublikowanej przez ministra (znaczniki a11y): 71% otwartych deklaracji;
- data przeglądu albo sporządzenia z 2026 r.: 30% otwartych deklaracji;
- w tym przegląd albo sporządzenie do 31 marca 2026 r.: 25%;
- deklaracja bez żadnej daty przeglądu ani sporządzenia: 15%.
Najnowsza data zapisana w otwartych deklaracjach rozkłada się tak (rok: liczba deklaracji): 2019: 2, 2020: 278, 2021: 96, 2022: 86, 2023: 83, 2024: 91, 2025: 431, 2026: 569. Brak daty z 2026 r. nie dowodzi, że przeglądu nie było. Dowodzi tylko, że deklaracja go nie pokazuje. Za niesporządzenie deklaracji albo brak jej wymaganych elementów minister może nałożyć karę do 5000 zł, gdy braki wykażą dwa kolejne monitorowania (art. 19). Treść deklaracji z polem na datę ostatniego przeglądu przygotuje nasz generator deklaracji dostępności.
Dostępność w teście automatycznym
Na 76% stron z próby axe-core znalazł co najmniej jeden błąd z listy WCAG 2.1 na poziomie A i AA. Na każdej z tych stron przynajmniej jeden błąd ma w axe-core stopień krytyczny albo poważny. Przeciętna strona ma 2 rodzaje błędów wykrywalnych automatem (mediana). Najczęstsze z nich:
| Błąd wykryty automatem | Stron z tym błędem |
|---|---|
| tekst za słabo odcina się od tła (kontrast poniżej 4,5:1) | 50% |
| odnośnik bez nazwy, np. sama ikona bez opisu | 39% |
| ramka (mapa, film) bez tytułu | 16% |
| obrazek bez tekstu alternatywnego | 14% |
| niedozwolony atrybut ARIA | 11% |
| przycisk bez nazwy | 11% |
| lista zbudowana niezgodnie ze znacznikami list | 9% |
| odnośnik w tekście rozpoznawalny tylko po kolorze | 7% |
| zablokowane powiększanie na telefonie | 7% |
| element klikalny w innym elemencie klikalnym | 4% |
Pomiar wszystkich 2 291 stron pokazał też, że obrazek bez atrybutu alt ma na stronie głównej 24% gmin, a znacznika języka strony brakuje na 2% stron. Część błędów naprawia się w jednym miejscu szablonu, na przykład kontrast napisów w stopce albo brak nazwy przy ikonach mediów społecznościowych. Część wymaga zmiany sposobu wprowadzania treści, na przykład opisu każdego zdjęcia w aktualnościach. Pełną ocenę zgodności z WCAG 2.1, której wymaga ustawa, daje dopiero audyt z udziałem człowieka. Czym różnią się wersje wytycznych, opisujemy w porównaniu WCAG 2.1 i 2.2.
Cyberbezpieczeństwo: informacja o zagrożeniach i security.txt
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Każdy podmiot kluczowy i ważny, czyli także każdy urząd gminy, ma dawać dostęp do wiedzy o cyberzagrożeniach, w szczególności na swojej stronie internetowej, oraz umożliwić zgłaszanie zagrożeń i incydentów (art. 9). Na wdrożenie tych obowiązków jednostki mają czas do 3 kwietnia 2027 r.
Odnośnik do informacji o cyberbezpieczeństwie ma na stronie głównej 39% gmin. Plik security.txt, czyli standard RFC 9116, w którym strona podaje adres do zgłaszania luk w zabezpieczeniach, ma tylko 8 z 2 291 zbadanych stron. Szyfrowane połączenie działa bez błędu na 98% stron. Na 36 stronach przeglądarka odrzuca certyfikat, w 32 przypadkach dlatego, że wystawiono go na inną nazwę domeny, a na 3 kolejnych w ogóle nie nawiązuje połączenia szyfrowanego. Adres http:// przekierowuje na szyfrowane https:// na 90% stron, a 9% podaje całą stronę także bez szyfrowania. Nagłówek HSTS, który każe przeglądarce łączyć się ze stroną wyłącznie przez HTTPS, wysyła 30% stron. Co warto zrobić na stronie przed terminem, opisujemy w przewodniku po KSC dla gmin, szkół i bibliotek.
Adres do e-Doręczeń na stronie
Urzędy gmin korzystają z e-Doręczeń od 1 stycznia 2025 r. Przepisy nie nakazują publikować adresu do doręczeń na stronie, ale bez niego mieszkaniec i firma muszą szukać go w bazie adresów elektronicznych. Adres w formacie AE:PL podaje na stronie głównej 24% gmin, a na stronie głównej albo w zakładce kontaktowej 51%. Słowo „e-Doręczenia” pojawia się na stronie głównej albo w kontakcie u 47% gmin. Jak ułożyć tę informację na stronie, piszemy w tekście e-Doręczenia w JST.
Ciasteczka i skrypty przed zgodą
Prawo komunikacji elektronicznej pozwala zapisywać informacje w urządzeniu użytkownika dopiero po poinformowaniu go i po jego zgodzie, chyba że zapis jest niezbędny do świadczenia usługi, z której użytkownik korzysta (art. 399). Ciasteczka statystyk do niezbędnych nie należą.
W próbie 398 stron 30% zapisało ciasteczka statystyk, zanim gość kliknął cokolwiek, w tym 21% ciasteczka Google Analytics. Od razu po wejściu 29% stron łączyło się z serwerami Google Analytics albo Tag Managera, 16% z serwerami Meta (Facebook), a 11% z YouTube. Samo połączenie bez zapisu ciasteczka bywa ustawione w trybie zgody, dlatego ciasteczka liczymy osobno. W kodzie wszystkich 2 291 zbadanych stron skrypt Google Analytics albo Tag Managera ma 38% gmin, a piksel Meta 16%. Politykę cookies, która opisuje to, co strona naprawdę robi, przygotuje generator polityki cookies.
Waga i szybkość strony głównej
Mediana wagi strony głównej na telefonie wynosi 4,29 MB, a przeglądarka wysyła przy tym 98 zapytań do serwerów. 69% stron przekracza 3 MB, a 45% aż 5 MB. Największy element strony pojawiał się przeciętnie po 2,4 s, a na 49,5% stron później niż po 2,5 s, czyli po progu, który Google uznaje za dobry wynik. To pomiar na szybkim łączu stacjonarnym: na telefonie w zasięgu sieci komórkowej strona otworzy się wolniej.
Roboty wyszukiwarek i modeli AI
Plik robots.txt decyduje, które roboty mogą czytać stronę. 16 gmin nie wpuszcza do strony głównej robota Google, więc ich strona może nie pojawiać się w wynikach wyszukiwania. 10% gmin blokuje co najmniej jeden robot firm rozwijających modele AI: GPTBot (OpenAI) blokuje 5%, PerplexityBot 5%, a ClaudeBot (Anthropic) 1%. GPTBot i ClaudeBot zbierają treści do trenowania modeli, a PerplexityBot buduje indeks wyszukiwarki Perplexity. Taką blokadę warto ustawić świadomie: strony, której wyszukiwarka AI nie ma w indeksie, nie przytoczy w odpowiedzi, a o terminach czy godzinach pracy urzędu opowie na podstawie innych źródeł.
Wyniki według województw
Odsetek zbadanych stron gmin, które spełniają dany warunek. Kolumna o deklaracji z datą z 2026 r. liczy się od deklaracji, które się otwierają.
| Województwo | Zbadanych | Odnośnik do deklaracji | Deklaracja z datą z 2026 |
|---|---|---|---|
| dolnośląskie | 159 | 86% | 24% |
| kujawsko-pomorskie | 136 | 88% | 31% |
| lubelskie | 190 | 89% | 26% |
| lubuskie | 79 | 80% | 42% |
| łódzkie | 164 | 82% | 31% |
| małopolskie | 165 | 87% | 26% |
| mazowieckie | 284 | 78% | 27% |
| opolskie | 69 | 90% | 39% |
| podkarpackie | 145 | 90% | 20% |
| podlaskie | 104 | 88% | 33% |
| pomorskie | 112 | 86% | 26% |
| śląskie | 156 | 86% | 32% |
| świętokrzyskie | 95 | 92% | 26% |
| warmińsko-mazurskie | 106 | 76% | 24% |
| wielkopolskie | 218 | 89% | 37% |
| zachodniopomorskie | 109 | 84% | 37% |
Cyberbezpieczeństwo, e-Doręczenia i szyfrowanie w tych samych województwach:
| Województwo | Cyberbezpieczeństwo | Adres e-Doręczeń | Przekierowanie na HTTPS |
|---|---|---|---|
| dolnośląskie | 28% | 38% | 91% |
| kujawsko-pomorskie | 38% | 59% | 95% |
| lubelskie | 41% | 55% | 84% |
| lubuskie | 39% | 51% | 76% |
| łódzkie | 42% | 45% | 91% |
| małopolskie | 46% | 64% | 88% |
| mazowieckie | 37% | 55% | 89% |
| opolskie | 33% | 48% | 97% |
| podkarpackie | 38% | 56% | 92% |
| podlaskie | 50% | 54% | 81% |
| pomorskie | 34% | 43% | 96% |
| śląskie | 38% | 44% | 95% |
| świętokrzyskie | 32% | 66% | 85% |
| warmińsko-mazurskie | 30% | 35% | 85% |
| wielkopolskie | 55% | 55% | 92% |
| zachodniopomorskie | 38% | 36% | 95% |
Gminy miejskie, wiejskie i miejsko-wiejskie
| Rodzaj gminy | Zbadanych | Odnośnik do deklaracji | Deklaracja z datą z 2026 |
|---|---|---|---|
| gminy miejskie | 279 | 88% | 38% |
| gminy miejsko-wiejskie | 688 | 86% | 31% |
| gminy wiejskie | 1 324 | 85% | 27% |
| Rodzaj gminy | Cyberbezpieczeństwo | Adres e-Doręczeń | Przekierowanie na HTTPS |
|---|---|---|---|
| gminy miejskie | 33% | 38% | 91% |
| gminy miejsko-wiejskie | 39% | 50% | 90% |
| gminy wiejskie | 40% | 54% | 89% |
Jeżeli prowadzą Państwo stronę urzędu miasta, a nie gminy wiejskiej, skala zadań jest inna: więcej jednostek podległych, obszerniejszy BIP i redakcja rozproszona między wydziały. Opisaliśmy to w tekście czym strona urzędu miasta różni się od strony gminy.
Strony, które spełniły wszystkie kryteria
Sześć kryteriów: strona działa przez HTTPS bez błędu certyfikatu i przekierowuje na nie z adresu http://; ma na stronie głównej odnośnik do deklaracji dostępności w strukturze ministerstwa; deklaracja ma datę przeglądu albo sporządzenia z 2026 r.; strona główna ma odnośnik do informacji o cyberbezpieczeństwie; strona podaje adres do e-Doręczeń; robots.txt wpuszcza Google. W pomiarze wszystkich stron spełniły je strony 106 gmin. Każdą z nich otworzyliśmy drugi raz w przeglądarce i na liście zostawiliśmy tylko te, na których przeglądarka także widzi oba odnośniki: do deklaracji dostępności i do informacji o cyberbezpieczeństwie. Na liście są 102 gminy. To zestawienie stron, które mają w porządku podstawy wymagane przepisami, a nie ranking wyglądu.
- dolnośląskie: Kunice, Legnica
- kujawsko-pomorskie: Bądkowo, Czernikowo, Dobrzyń nad Wisłą, Fabianki, Golub-Dobrzyń (miasto), Książki, Lipno (miasto), Nowe, Wielgie, Wielka Nieszawka, Włocławek (gmina wiejska), Zbójno
- lubelskie: Komarówka Podlaska, Końskowola, Parczew, Potok Wielki, Radzyń Podlaski (gmina wiejska), Radzyń Podlaski (miasto), Sosnowica, Stoczek Łukowski (miasto)
- lubuskie: Babimost, Kłodawa, Lubsko, Szczaniec, Trzciel
- łódzkie: Bełchatów (miasto), Głowno (gmina wiejska), Głowno (miasto), Góra Świętej Małgorzaty, Kowiesy, Moszczenica, Piotrków Trybunalski, Rawa Mazowiecka (miasto), Sadkowice, Słupia, Sulejów
- małopolskie: Gorlice (miasto), Gromnik, Krynica-Zdrój, Libiąż, Nowy Sącz, Rabka-Zdrój, Słopnice, Spytkowice (powiat wadowicki), Trzebinia, Wojnicz, Zabierzów
- mazowieckie: Jedlińsk, Radziejowice, Siennica, Sulejówek, Żabia Wola
- opolskie: Byczyna, Chrząstowice, Tarnów Opolski, Zębowice
- podkarpackie: Brzostek, Dydnia, Harasiuki, Narol
- podlaskie: Goniądz, Orla, Rajgród
- pomorskie: Kobylnica, Mikołajki Pomorskie, Ostaszewo
- śląskie: Jaworze, Lubliniec, Mysłowice, Przyrów, Strumień, Świerklany
- świętokrzyskie: Działoszyce, Imielno, Końskie, Rytwiany, Wilczyce
- warmińsko-mazurskie: Braniewo (miasto), Bratian, Elbląg (gmina wiejska), Gołdap
- wielkopolskie: Chocz, Chodów, Czermin, Czerniejewo, Gizałki, Miejska Górka, Pogorzela, Poznań, Tuliszków, Wielichowo, Wronki, Września, Wyrzysk, Zagórów
- zachodniopomorskie: Recz, Rymań, Siemyśl, Stara Dąbrowa, Tuczno
Jak sprawdzić stronę swojej gminy w kwadrans
- Czy w stopce jest odnośnik „Deklaracja dostępności” i czy deklaracja ma datę przeglądu z bieżącego roku?
- Czy strona główna prowadzi do informacji o cyberbezpieczeństwie i do sposobu zgłaszania incydentów?
- Czy adres zaczynający się od http:// przekierowuje na https:// bez ostrzeżenia przeglądarki?
- Czy w zakładce kontaktowej jest adres do e-Doręczeń?
- Czy strona zapisuje ciasteczka statystyk dopiero po kliknięciu zgody? Widać to w narzędziach przeglądarki, w zakładce z ciasteczkami, zaraz po pierwszym wejściu.
- Czy w pliku /robots.txt nie stoi „Disallow: /” pod „User-agent: *” i czy blokada robotów AI jest decyzją, a nie przypadkiem?
- Czy pod adresem /.well-known/security.txt jest plik z adresem do zgłoszeń?
Jeśli chcą Państwo poznać wynik strony swojego urzędu w każdym z tych punktów, prosimy o wiadomość przez formularz kontaktowy z nazwą gminy. Wynik prześlemy bezpłatnie. Przy budowie i przebudowie stron internetowych dla jednostek samorządu każdy z tych elementów wdrażamy od pierwszego dnia.
Najczęstsze pytania
Czy gmina spoza listy najlepszych ma złą stronę?
Nie. Lista obejmuje strony, które spełniły jednocześnie sześć kryteriów wynikających z przepisów i z podstaw bezpieczeństwa. Strona może być dobra i nie podawać na przykład adresu do e-Doręczeń w zakładce kontaktowej. Kryteria nie oceniają wyglądu ani jakości treści.
Czy brak odnośnika na stronie głównej oznacza, że gmina nie ma deklaracji dostępności?
Nie musi. Deklaracja może leżeć w BIP albo głębiej w serwisie. Ustawa wymaga jednak, żeby odnośnik był dostępny podczas nawigacji po stronie (art. 10 ust. 8), dlatego sprawdzaliśmy stronę główną tak, jak widzi ją odwiedzający.
Skąd wiadomo, czy deklarację przejrzano w 2026 roku?
Z daty w samej deklaracji: z pola daty ostatniego przeglądu w strukturze ministerstwa, a gdy go nie ma, z daty przeglądu albo sporządzenia zapisanej w tekście. Brak daty z 2026 r. nie dowodzi, że przeglądu nie było. Pokazuje tylko, że deklaracja go nie dokumentuje.
Czy test automatyczny wystarczy do deklaracji dostępności?
Nie. Automat wykrywa część błędów, na przykład brak tekstu alternatywnego albo zbyt niski kontrast. Nie oceni, czy opis zdjęcia jest trafny, czy formularz da się wypełnić samą klawiaturą ani czy dokumenty PDF są dostępne. Do deklaracji potrzebna jest ocena całej strony, najlepiej z udziałem osób z niepełnosprawnościami.
Czy strona gminy musi podawać adres do e-Doręczeń?
Ustawa o doręczeniach elektronicznych tego nie nakazuje. Adres jest jawny w bazie adresów elektronicznych, ale podanie go w zakładce kontaktowej oszczędza mieszkańcom i firmom szukania.
Czy gmina musi mieć plik security.txt?
Żaden przepis tego nie nakazuje. To standard RFC 9116, w którym strona podaje adres do zgłaszania luk w zabezpieczeniach. Ustawa o krajowym systemie cyberbezpieczeństwa wymaga natomiast, żeby jednostka umożliwiła zgłaszanie zagrożeń i incydentów, a security.txt to najprostszy sposób, by zgłaszający trafił pod właściwy adres.
Czy mogę dostać wynik strony mojej gminy?
Tak. Prosimy o wiadomość przez formularz kontaktowy z nazwą gminy. Prześlemy wynik we wszystkich punktach badania, bez opłat.
Źródła i dane
- Krajowy rejestr urzędowego podziału terytorialnego kraju TERYT, zbiór TERC, GUS (eTERYT), stan na 1 stycznia 2026 r.
- Wykaz stron internetowych podmiotów publicznych, minister cyfryzacji (gov.pl, dostępność cyfrowa), stan na 30 kwietnia 2026 r.
- Ustawa o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych, tekst jednolity Dz.U. 2023 poz. 1440, art. 10, 11, 14 i 19.
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252, art. 9 ustawy.
- Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221, art. 399.
- Ustawa o doręczeniach elektronicznych, tekst jednolity Dz.U. 2026 poz. 3.
- Decyzja wykonawcza Komisji (UE) 2018/1523 ustanawiająca wzór oświadczenia w sprawie dostępności.
- RFC 9116, format pliku security.txt; axe-core 4.13.0 (Deque Systems), reguły WCAG 2.1 na poziomie A i AA.
Cytując wyniki, prosimy o podanie źródła: badanie stron internetowych gmin, dlasamorzadu.pl, pomiar z 23 września 2026 r.