Jeśli ostatnio otworzyłeś w Edge albo Chrome mapę strony swojej witryny, mogłeś trafić na komunikat, że XSLT zostanie usunięte z przeglądarki. Brzmi to groźnie, ale od razu uspokoję: Twoja mapa strony działa, Google i Bing czytają ją tak samo jak wcześniej. Znika coś innego, technologia, która przez 27 lat po cichu zamieniała surowy kod w czytelną tabelkę. W tym artykule wyjaśnię, czym było XSLT, dlaczego przeglądarki się z nim żegnają i czy musisz cokolwiek zrobić.
Czym jest XSLT i gdzie je widziałeś
XSLT to język, który zamienia dokument XML w inny format, najczęściej w zwykłą stronę HTML. Działa jak tłumacz: dostaje surowe dane i arkusz z regułami, a na wyjściu daje coś, co człowiek jest w stanie przeczytać.
Przeciętny właściciel strony spotyka go w jednym miejscu: w mapie strony. Plik sitemap.xml jest pisany dla robotów wyszukiwarek, więc w surowej postaci to ściana znaczników. Wtyczki takie jak Yoast SEO, a także sam WordPress w swojej wbudowanej mapie, dołączają do niej arkusz XSL. Dzięki niemu po otwarciu mapy w przeglądarce widzisz schludną tabelkę z adresami i datami modyfikacji.
Nasz blog nie jest tu wyjątkiem. Mapa hitme.pl/blog/sitemap_index.xml ładuje arkusz main-sitemap.xsl z Yoasta, dokładnie tak jak miliony innych stron na WordPressie. Tak wygląda dziś po otwarciu w przeglądarce:
27 lat w pigułce
XSLT jest z nami dłużej niż większość technologii, których dziś używamy do budowy stron:
| Kiedy | Co się stało |
|---|---|
| marzec 1999 | Internet Explorer 5 wprowadza własną wersję XSLT, opartą jeszcze na szkicu standardu |
| 16 listopada 1999 | W3C zatwierdza XSLT 1.0 jako oficjalną rekomendację |
| koniec 2000 | Netscape 6 dostaje wbudowaną obsługę, później dołączają Safari, Opera i Chrome |
| 2007 i 2017 | wychodzą XSLT 2.0 i 3.0, z wyrażeniami regularnymi i obsługą JSON |
| 17 listopada 2026 | Chrome wyłącza XSLT w wersji stabilnej |
Jest w tej historii piękna symetria. Standard zatwierdzono 16 listopada 1999, a Chrome wyłącza go 17 listopada 2026, równo 27 lat i jeden dzień później.
I jeszcze jeden szczegół, który dobrze tłumaczy, dlaczego do tego doszło: nowszych wersji, 2.0 i 3.0, nie wdrożyła żadna przeglądarka. Wszystkie do dziś obsługują wyłącznie XSLT 1.0 z 1999 roku. Technologia rozwijała się dalej, tylko już poza przeglądarkami, na serwerach i w systemach firmowych.
Dlaczego przeglądarki się z nim żegnają
Powody są dwa i się uzupełniają.
Bezpieczeństwo. Przeglądarki oparte na Chromium przetwarzają XSLT biblioteką libxslt, napisaną w C i C++ wiele lat temu. Taki kod jest podatny na błędy pamięci, które w najgorszym razie pozwalają atakującemu wykonać własny kod. Google w swojej dokumentacji przywołuje konkretne luki znalezione w tej bibliotece, na przykład CVE-2025-7425. Co więcej, im rzadziej używany fragment kodu, tym mniej uwagi dostaje od osób, które go łatają.
Znikome użycie. Według danych Chrome XSLT występuje przy około 0,02% wczytań stron. Ryzyko dotyczy więc wszystkich użytkowników, a korzyść garstki stron. Rolę XSLT w przeglądarce dawno przejęły JSON i biblioteki JavaScript, które robią to samo wygodniej.
Dlatego Google mówi wprost: usunięcie XSLT zmniejsza powierzchnię ataku przeglądarki dla wszystkich.
Kiedy i w których przeglądarkach znika XSLT
Najdalej zaszedł Chrome, a reszta rynku idzie w tym samym kierunku:
| Przeglądarka | Stan na koniec września 2026 |
|---|---|
| Chrome | ostrzeżenia w konsoli od wersji 142 (październik 2025), wyłączenie w wersji stabilnej Chrome 158, 17 listopada 2026; firmy i wybrane strony mogą je jeszcze włączyć do sierpnia 2027 (Chrome 176) |
| Edge | opiera się na Chromium, więc idzie tą samą drogą; od wersji 147 ma politykę XSLTEnabled do testów, a Microsoft podaje termin usunięcia jako „przyszłe wydanie” |
| Firefox | Mozilla dodała już ostrzeżenie w konsoli i politykę firmową, trwają prace nad wyłączeniem XSLT w wersji Nightly; daty dla wersji stabilnej jeszcze nie ma |
| Safari | WebKit popiera usunięcie XSLT, na razie wyłączył je w trybie Lockdown |
Komunikat, który widzisz w Edge, to właśnie ta zapowiedź. Nie oznacza to błędu na Twojej stronie.
XSLT znika. Co to znaczy dla Twojej strony?
Mapa strony: nic nie musisz robić
To najważniejsza informacja. Wyszukiwarki nigdy nie korzystały z arkusza XSL. Googlebot i Bingbot czytają sam XML, a arkusz był wyłącznie dla człowieka, który otworzy mapę w przeglądarce.
Po wyłączeniu XSLT zobaczysz więc po prostu surowy XML zamiast tabelki. Bez błędu, bez czerwonych komunikatów. Indeksowanie, Google Search Console i pozycje w wynikach wyszukiwania zostają bez zmian.
Jeśli chcesz sprawdzić, czy Google widzi Twoją mapę, nie patrz na tabelkę w przeglądarce. Patrz do Search Console, co opisaliśmy krok po kroku w poradniku jak dodać mapę strony do Google Search z WordPress.
WordPress i wtyczki SEO
Zmiana dotyczy zarówno map generowanych przez wtyczki SEO, jak i wbudowanej mapy WordPressa (wp-sitemap.xml).
Twórcy WordPressa już nad tym pracują. W zgłoszeniu #65593 od lipca 2026 leżą dwie propozycje zmian: jedna usuwa arkusz XSL z wbudowanej mapy, a druga dodatkowo pozwala wyświetlić mapę jako zwykłą stronę HTML, generowaną na serwerze, po dopisaniu do jej adresu końcówki .html. Na razie żadna nie trafiła do WordPressa, ale kierunek jest jasny. Wtyczki SEO najpewniej pójdą podobną drogą, więc przy zwykłej stronie wystarczy trzymać WordPressa i wtyczki aktualne.
Jeśli komunikat Ci przeszkadza już teraz, w przypadku wbudowanej mapy WordPressa arkusz da się wyłączyć dwoma filtrami, wp_sitemaps_stylesheet_url i wp_sitemaps_stylesheet_index_url, zwracając w nich false. Kod dopisuje się w pliku functions.php motywu potomnego albo we wtyczce na własne fragmenty kodu. Jak bezpiecznie edytować ten plik, pokazaliśmy w poradniku o edycji functions.php w WordPress. To czysto kosmetyczna zmiana: bez niej wszystko działa tak samo.
Kto naprawdę musi się tym zająć
Kłopot mają strony i systemy, które na XSLT w przeglądarce opierają coś więcej niż podgląd mapy. Typowo są to:
- starsze systemy firmowe i intranety, które wyświetlają raporty z XML,
- kanały RSS i Atom ostylowane arkuszem XSL, żeby dało się je czytać w przeglądarce,
- panele urządzeń sieciowych i aplikacje, których nikt nie aktualizował od lat.
Dla nich dokumentacja Chrome wskazuje trzy drogi: przenieść transformację na serwer i wysyłać do przeglądarki gotowy HTML, użyć polyfillu, czyli implementacji XSLT w JavaScripcie, albo przejść na JSON i nowoczesny front. Jeśli nie wiesz, czy Twoja aplikacja korzysta z XSLT, najprościej sprawdzić to w Edge: politykę XSLTEnabled można wyłączyć testowo i zobaczyć, co przestanie działać.
A co dalej z XML?
Warto rozdzielić dwie rzeczy, które łatwo pomylić. XML nie znika. Mapy stron, kanały RSS i cała wymiana danych w tym formacie działają dalej. Znika tylko przetwarzanie XSLT wewnątrz przeglądarki. Poza nią XSLT ma się dobrze i nadal pracuje w wielu systemach po stronie serwera.
To też kolejny krok w trendzie, który obserwujemy od lat. Przeglądarki pozbywają się starego, rzadko używanego kodu, bo każdy taki fragment to potencjalna furtka dla atakujących. Tak odchodziły wtyczki Flash i Java, a teraz przyszła kolej na XSLT. Przeglądarka ma być mniejsza, szybsza i bezpieczniejsza, a starsze technologie przenoszą się tam, gdzie da się je kontrolować, czyli na serwer.
Jeśli chcesz ładnie pokazać strukturę swojej witryny ludziom, a nie tylko robotom, lepszym pomysłem niż ostylowany XML jest zwykła strona z mapą serwisu. O tym, jak ją przygotować, piszę w artykule mapa internetowa strony: jak ją wykonać.
Żegnaj, XSLT. Byłeś z nami od czasów Internet Explorera 5 i przez te lata zrobiłeś kawał dobrej, niewidocznej roboty.
Zobacz także
