Кому принадлежит ваш сайт: доступы, которые должны быть у владельца бизнеса

Сайт принадлежит вам на деле, только когда на вашу компанию оформлены домен и хостинг, у вас есть учётная запись администратора, копия кода и базы данных, а счётчики аналитики созданы в вашем аккаунте. Если хотя бы один из этих доступов записан на подрядчика или бывшего сотрудника, сайтом управляет он, а не вы. Проверить это можно за вечер, а исправить — обычно за несколько дней, пока отношения с исполнителем рабочие. Ниже — полный список доступов, как проверить, на кого они оформлены, как их забрать, где хранить и что прописать в договоре.

Почему сайт может вам не принадлежать

Компания решила сменить подрядчика по сайту. Новая студия просит доступы. Выясняется: домен зарегистрирован на личный аккаунт бывшего фрилансера, который не отвечает; хостинг оплачивался с карты маркетолога, уволившегося год назад; пароль от админки знал только он же. Сайт работает, но компании он не принадлежит. Мы принимаем такие проекты регулярно, и восстановление контроля порой занимает больше времени, чем разработка нового сайта.

Злого умысла здесь обычно нет. Исполнитель зарегистрировал домен на себя, потому что так было быстрее, сотрудник завёл счётчик в личном аккаунте, потому что корпоративного не было. Проблема обнаруживается через годы — когда нужно срочно что-то поменять, а человека уже нет на связи.

Какие доступы должны быть у владельца

Список конечный, и каждый пункт в нём критичен. В таблице — что даёт каждый доступ и на кого он должен быть оформлен.

Самое важное в списке — домен. Его нельзя восстановить из резервной копии, а всё остальное — можно: файлы переносятся на другой хостинг, счётчик создаётся заново, админка восстанавливается. На кого и как оформлять адрес с самого начала, мы разобрали в статье о том, как выбрать домен для сайта.

Как проверить, на кого оформлен домен и остальные доступы

Начните с домена: введите его в нашем сервисе проверки домена или на любом whois-сервисе. Для .ru владелец-юрлицо показывается как организация, физлицо скрыто, но регистратор виден. Если регистратор вам незнаком, а в вашей почте нет писем от него — домен оформлен не на вас. Если же владельцем указана ваша компания, а вход в аккаунт утерян, напишите регистратору с документами компании: доступ восстановят.

1. Домен. Попробуйте войти в аккаунт у регистратора. Если доступа нет, выясните, у кого он и кто указан администратором.
2. Хостинг. Посмотрите, кому приходят счета и уведомления хостера и с чьей карты идёт оплата. Войдите в панель управления сами.
3. Админка. Откройте список пользователей: сколько в нём администраторов и чьи это адреса. Часто там находятся учётные записи людей, которые давно не работают с сайтом.
4. Код и копии. Спросите подрядчика, где хранится код и когда сделана последняя резервная копия. Попросите показать, как из неё восстановить сайт.
5. Аналитика. В Метрике и Вебмастере посмотрите, в чьём аккаунте создан счётчик и подтверждены права на сайт. Гостевой доступ и владение — разные вещи.
6. Сроки. Выпишите даты окончания домена, хостинга и сертификата и проверьте, на какую почту приходят напоминания.

Последний пункт не формальность: если напоминания идут на ящик, который никто не читает, можно пропустить оплату. Что происходит дальше, описано в статье про продление домена.

Как забрать доступы у подрядчика: пошагово

Лучшее время для этого — пока сотрудничество идёт нормально и делить нечего. Просьба «давайте наведём порядок с доступами» в спокойной обстановке воспринимается как обычная рабочая задача.

1. Составьте список по таблице выше и отправьте подрядчику. Нормальный исполнитель отдаёт всё без вопросов — это ваша собственность.
2. Просите не пароли, а передачу владения: домен переоформить, в панели хостинга сменить контакт и почту, в админке создать вам учётную запись администратора, в Метрике передать права владельца.
3. Для передачи домена заведите собственный аккаунт у регистратора: смена администратора оформляется через регистратора по заявлениям обеих сторон.
4. После получения смените все пароли и отключите учётные записи подрядчика, если сотрудничество завершено. Если продолжается — оставьте ему отдельный доступ с нужными правами.
5. Сделайте полную копию сайта и базы и положите в своё хранилище. Даже если у вас есть доступ к хостингу.
6. Зафиксируйте акт передачи: что передано, когда. При споре это единственный документ.

По-хорошему переоформление домена занимает день: подрядчик подаёт заявку на смену владельца, вы подтверждаете. Копию сайта стоит не только получить, но и проверить — как это делать и где хранить, мы писали в статье про резервное копирование сайта.

Что делать, если подрядчик пропал или отказывается

Порядок такой: сначала регистратор и хостер с документами компании, затем претензия по договору, если он был. Клиентский случай: студия закрылась, домен был на её аккаунте, договор не содержал пункта о принадлежности домена. Восстановили через регистратора по документам о товарном знаке за три недели. Без товарного знака шансов было бы меньше.

Если у вас зарегистрирован товарный знак, совпадающий с доменом, позиция в споре заметно сильнее. Как связаны эти вещи, рассказано в статье про домен и товарный знак.

Где и как хранить доступы

Не в переписке и не в файле на рабочем столе директора. Менеджер паролей с корпоративным хранилищем: доступ у двух–трёх ответственных, история изменений, возможность отключить сотрудника одним действием. Основные аккаунты — регистратор, хостинг, Метрика — на общей корпоративной почте, которую читают минимум двое, а не на личной почте сотрудника.

• Отдельный пароль для каждого сервиса. Длинный и случайный — такой проще всего создать в генераторе паролей.
• Двухфакторная аутентификация на аккаунтах регистратора, хостинга и почты: даже украденный пароль не даст войти.
• Личные учётные записи. У каждого сотрудника и подрядчика — своя, с минимально нужными правами. Общий логин «admin» на всех не позволяет понять, кто что сделал.
• Порядок при увольнении. Учётную запись отключают в день ухода, общие пароли меняют.
• Ревизия раз в полгода. Кто имеет доступ, все ли эти люди ещё работают с сайтом, не истекает ли что-нибудь.

Лишние и забытые учётные записи — один из обычных путей взлома. Остальные меры собраны в статье о том, как защитить сайт от взлома.

Что прописать в договоре с подрядчиком

Три пункта: домен и хостинг оформляются на заказчика; исходный код и все материалы передаются заказчику по завершении работ и принадлежат ему; по окончании сотрудничества подрядчик передаёт все доступы и удаляет свои. Это не проявление недоверия, а нормальная практика, и добросовестная студия сама предложит такие условия.

Кому принадлежат права на дизайн, тексты и программный код, определяется формулировками договора, и если о правах в нём ничего не сказано, возможен спор. Поэтому перед подписанием покажите договор юристу: пусть проверит условия о передаче прав, исходных материалов и доступов. На что ещё смотреть в договоре и на этапах работы, мы разбирали в статье о том, как заказать сайт под ключ.

Отдельный случай — сайт на конструкторе. Код такого сайта забрать нельзя: он работает только на платформе. Здесь важно, чтобы аккаунт конструктора и подписка были оформлены на вас, а не на дизайнера, который собирал страницы.

Частые ошибки

• Домен «временно» оформили на исполнителя — и забыли на годы.
• Аккаунты заведены на личную почту сотрудника. Он уходит — уходит и возможность восстановить пароль.
• Хостинг оплачивает подрядчик со своей карты. Вы не знаете, когда истекает срок и оплачен ли он вообще.
• Один пароль на всё и у всех. Утечка в одном месте открывает все остальные.
• После расставания с подрядчиком пароли не сменили. У постороннего человека остаётся полный доступ к сайту.
• У компании нет собственной копии сайта. Всё хранится только на хостинге, к которому нет доступа.
• Доступы знает один человек. Отпуск, болезнь или увольнение — и сайт некому обслуживать.

Чек-лист: проверка за один вечер

• Администратор домена — ваша компания или её владелец.
• У вас есть вход в аккаунт регистратора и в панель хостинга.
• Уведомления о продлении приходят на почту, которую читают.
• В админке есть ваш администратор, лишние учётные записи отключены.
• Свежая копия файлов и базы данных лежит в вашем хранилище.
• Счётчики Метрики и права в Вебмастере принадлежат аккаунту компании.
• Пароли хранятся в менеджере паролей, доступ к нему есть у двоих-троих.
• В договоре с подрядчиком прописана передача кода, прав и доступов.

Коротко

Домен, хостинг, админка, код, аналитика и подключённые сервисы должны быть оформлены на компанию, а подрядчики — работать через отдельные доступы. Проверьте это сейчас, пока всё спокойно: забрать доступы у исполнителя, с которым вы на связи, несравнимо проще, чем разыскивать его через два года.

Мы в CasperLab оформляем домены и хостинг на клиента с первого дня, а код храним в репозитории, к которому у клиента есть доступ владельца. Если вы не уверены, что ваш сайт принадлежит вам, — проверьте по списку выше сегодня. А если что-то оказалось не на вас, поможем вернуть. Когда вернуть не получается и проще сделать сайт заново с правильным оформлением, бюджет можно прикинуть в калькуляторе стоимости сайта.