История повторяется с завидной регулярностью. Сайт делал знакомый программист, потом штатный админ, потом агентство. Каждый заводил доступы на себя. В какой-то момент связь теряется, а вместе с ней — возможность что-то поменять на собственном сайте. Иногда доходит до выкупа домена у бывшего исполнителя.

Предотвращается это одним вечером работы. Разбираем, что именно должно быть у вас.

Домен — самое важное

Домен не «принадлежит сайту», он принадлежит тому, на кого оформлен у регистратора. Если там указан подрядчик, юридически сайт его, и суд встанет на его сторону.

Что проверить: зайдите в личный кабинет регистратора и убедитесь, что администратор домена — вы или ваша компания, а контактная почта — ваша, а не webmaster@подрядчик.ру. Если доступа в кабинет нет — это первая задача.

Отдельно: включите автопродление и проверьте, чья карта к нему привязана. Домен, слетевший из-за неоплаты, могут перехватить в тот же день.

Хостинг

Договор с хостером должен быть на вашу компанию, а оплата идти с вашего счёта. Частая схема, когда агентство держит десяток клиентских сайтов на своём аккаунте: расстались — сайт остался у них, и выгрузить его без их доброй воли нельзя.

Полный список доступов

Соберите в одном месте и держите в актуальном состоянии:

• Регистратор домена — логин и пароль.
• Панель хостинга, а также доступ к файлам и базе данных.
• Админка сайта — с ролью администратора, а не редактора.
• Почта на домене, включая ящики сотрудников.
• Яндекс Метрика и Вебмастер — вы должны быть владельцем, а не гостем.
• Рекламные кабинеты.
• Репозиторий с исходным кодом, если разработка велась в нём.
• SSL-сертификат, если он платный.
• Сервисы: СМС-шлюз, платёжный шлюз, чат, CRM.

Проверять надо не наличие пароля, а факт входа. Регулярно всплывает, что записанный пароль давно не работает.

Владелец, а не соадминистратор

Тонкий момент в Метрике, Вебмастере и рекламных кабинетах: есть владелец и есть пользователь с правами. Владельца сменить нельзя, а вот отобрать права у пользователя — легко. Если владелец аккаунта — подрядчик, вся статистика в любой момент может стать недоступной.

Как выдавать доступы правильно

Не отдавайте свой главный логин. Правильная схема:

• Каждому исполнителю — своя учётная запись с нужными правами.
• Права по задаче: контент-менеджеру не нужен доступ к базе данных.
• Пароли — через менеджер паролей, а не в переписке.
• После завершения работ учётная запись отключается, а не остаётся «на всякий случай».

Отдельные учётки дают ещё и журнал: видно, кто и что менял.

Что делать, если человек уже ушёл

1. Проверьте, входите ли вы в кабинет регистратора. Если нет — обращайтесь к регистратору с документами компании: при совпадении реквизитов доступ восстанавливают.
2. Смените пароли везде, куда можете войти: хостинг, админка, почта, сервисы.
3. Удалите чужие учётные записи в админке — их часто оставляют.
4. Проверьте пересылку почты: бывает, что письма тихо копируются на сторонний адрес.
5. Снимите бэкап сайта и базы к себе, независимо от хостинга.
6. Проверьте код на «закладки» — скрытые ссылки или доступ, оставленный на будущее.

Что сделать сейчас, за один вечер

Зайдите в кабинет регистратора и проверьте владельца домена. Убедитесь, что можете войти в хостинг и админку. Заведите таблицу с доступами и положите её туда, где она не потеряется вместе с ноутбуком. Этого достаточно, чтобы худший сценарий стал невозможен.

Мы делаем такую ревизию в рамках технического аудита: проверяем, всё ли оформлено на вас, где остались чужие учётные записи, и отдаём готовую таблицу доступов. Часто это самая полезная часть отчёта.