Доступы и исходники: что забрать у подрядчика

В каком виде доступ считается полученным

Правило одно: доступ получен, когда вы вошли сами. Скриншот из чужого кабинета, пароль, продиктованный по телефону, и фраза «всё у нас, не волнуйтесь» доступом не считаются. Проверка одного сервиса занимает минуту.

• Аккаунт заведён на вашу почту, а не на почту подрядчика. Это видно по тому, куда приходит письмо для сброса пароля.
• Вы вошли в кабинет из своего браузера и увидели там то, что ожидали: домен, файлы сайта, статистику.
• Вы сменили пароль после входа. Если это что-то сломало у подрядчика, значит, он работал под вашим аккаунтом.
• Второй фактор — код из приложения или сообщение — привязан к вашему телефону.

Передача доступов — это не пересылка паролей, а смена владельца аккаунта. Пароль можно прислать второй раз, владельца — нет.

Что получить по домену и DNS

Домен идёт первым, потому что он единственный ничем не заменяется. Нужен вход в кабинет того регистратора, где обслуживается адрес, и ваше имя либо наименование вашего ИП в поле «администратор». Как устроено это поле и как сменить администратора — в статье «На кого регистрировать домен». У нас домен в зоне .ru на первый год входит в любой тариф и регистрируется сразу на заказчика.

Отдельно получают управление DNS — набор записей, который решает, с какого хостинга открывается сайт и куда уходит почта. Записи ведутся у регистратора, в панели хостинга или в отдельном сервисе, и доступ нужен туда, где их правят фактически. Признак, что здесь всё в порядке: вы можете сменить хостинг, ни у кого не спрашивая разрешения.

Где лежит сайт и что забрать с хостинга

Здесь несколько разных вещей, и одна другую не заменяет.

• Кабинет у поставщика хостинга: там оплата, срок, резервные копии и кнопка восстановления.
• Панель управления с файлами сайта и отдельный доступ для их передачи, если он выдаётся не вместе с панелью.
• Архив файлов сайта целиком, скачанный на ваш диск. Если проект лежит в системе контроля версий — права владельца репозитория, а не приглашение гостем.
• Выгрузка базы данных, если на сайте есть админка, каталог или заявки, которые хранятся на самом сайте.

Зачем копия, если есть панель. Панель — доступ к одной живой версии: она ломается от неудачной правки и исчезает вместе с неоплаченным хостингом. Архив на вашем диске не зависит ни от того, ни от другого: с него новый подрядчик поднимет сайт за вечер. В нашей «Базе» резервные копии входят в обслуживание.

Что дают админка сайта и почта на домене

Админка есть не у каждого сайта: одностраничник её обычно не требует, а каталог, блог и заявки без неё не ведутся. Если она есть, нужен пользователь с полными правами на ваше имя, а не общий логин вида admin, под которым заходят ещё трое. Проверяется просто: если вы не можете создать и удалить второго пользователя, у вас не админка, а права редактора.

Почта на домене забывается чаще остального, хотя по последствиям идёт сразу за доменом: к ящикам привязаны регистрации в сервисах, кабинеты банков и восстановление паролей. Нужны два доступа — к управлению адресами, где их создают и удаляют, и к самим ящикам, которые уже работают.

Кто владелец счётчика Метрики и кабинета Вебмастера

Яндекс Метрика входит в любой наш тариф, но важно не наличие счётчика, а роль в нём: у счётчика есть владелец, а есть гость. Если счётчик создан на аккаунте подрядчика, а вам выдан гостевой доступ, в день отзыва прав вы потеряете всю накопленную статистику: перенести историю посещений нельзя, можно только начать считать заново. С Вебмастером то же — там лежат данные о том, как сайт видит поиск: запросы, ошибки обхода, карта сайта.

Правильный порядок: счётчик и кабинет Вебмастера создаются на ваш аккаунт с первого дня, а подрядчик получает гостевой доступ. Если сделано наоборот, при сдаче просите перевести счётчик на себя, а права в Вебмастере подтвердите сами: для подтверждения нужен файл на сайте или запись в DNS, а доступ к тому и другому у вас уже есть. Зачем эти кабинеты нужны дальше, разобрано в статье «Как продвигать сайт после запуска».

Что ещё забрать письмом, кроме доступов

Эта часть не мешает сайту работать, поэтому про неё и не спрашивают — до того дня, когда понадобится листовка в той же типографике. Собрать список проще при сдаче, пока подрядчик помнит, что куда подключал.

• Логотип в векторе, иконки и обработанные фотографии. Дизайн-макеты в формате редактора — отдельный разговор до начала работы: в составе наших тарифов исходники макетов не названы.
• Перечень шрифтов с видом лицензии на каждый: бесплатная бессрочная или платная и на срок.
• Подтверждения лицензий на купленные изображения. Если покупал подрядчик со своего аккаунта, лицензия выдана ему — спросите, что в ней написано про использование другим лицом.
• Сервис рассылки или приёма заявок, онлайн-запись, онлайн-оплата, связь с программой учёта — всё, что подключалось отдельной работой.
• Онлайн-чат, виджет обратного звонка, карта на странице контактов: у карты тоже есть ключ, заведённый на чей-то аккаунт.
• Рекламные кабинеты, соседние домены с переадресацией, платный сертификат защищённого соединения — если такое есть.

Вопрос формулируется одной строкой: «Перечислите все сервисы, в которых для моего сайта заведены аккаунты, и укажите, на какую почту каждый». Ответ нужен письмом: по нему видно и состав, и то, кто всё это время платил. Кому что принадлежит по закону — отдельная тема; здесь важна практика: просить надо файлы, а не заверения в переписке. Что ещё стоит спросить письменно, собрано в статье «Какие вопросы задать разработчику».

Куда записать доступы, чтобы не потерять

Пароли не живут в переписке: её читает любой, у кого в руках оказался ваш телефон или ящик; история чата теряется при смене устройства; а через год из трёх присланных паролей не понять, какой действующий. Поэтому присланный в чат пароль меняют при первом входе, а не оставляют как есть.

• Менеджер паролей — программы этого класса хранят записи в зашифрованном виде, позволяют завести общий раздел для сотрудников и показывают, когда запись меняли. Неуязвимым хранилище от этого не становится: всё держится на одном главном пароле и втором факторе к нему. Конкретные названия не советуем: выбирать надо по тому, где хранятся данные и что будет с доступом, когда подписка кончится.
• Разные пароли у регистратора, хостинга и админки. Один пароль на все сервисы означает, что утечка в любом из них открывает остальные.
• Опись отдельным документом: сервис, адрес входа, почта аккаунта, ответственный, дата следующего платежа. Паролей в описи быть не должно — только указание, где они лежат.
• Почта, на которую заведено всё, — рабочая и ваша: не ящик сотрудника и не личный. Второй фактор привязан к телефону, который не уйдёт из компании вместе с человеком, а коды восстановления лежат отдельно.

Самые полезные строки в описи — даты платежей регистратору и за хостинг. Всё остальное ломается от чьих-то действий, а пропущенный платёж останавливает сайт сам, без участия людей.

Что меняется через три месяца

Домен .ru на первый год и хостинг на первые три месяца входят у нас в любой тариф, от «Старта» за 24 900 ₽ до «Магазина» за 179 900 ₽; состав видно на странице цен. Дальше хостинг продлевает владелец сайта: аккаунт на вашу почту, карта ваша, письма о сроке приходят вам. Либо это берёт на себя обслуживание. «База» за 4 900 ₽ в месяц — хостинг и продление домена, две правки в месяц, резервные копии, отслеживание доступности. «Актив» за 9 900 ₽ в месяц — всё то же, правки без ограничения, до четырёх новых страниц и отчёт по поиску и посещаемости. Разница не в удобстве, а в том, кто помнит про дату: сайт, за который никто не заплатил, выключается молча.

Перечень из этой статьи работает лучше всего не при сдаче, а в начале: отправьте его письмом до аванса и попросите напротив каждой строки указать, на какую почту будет заведён аккаунт. У добросовестного подрядчика ответ занимает десять минут, у остальных не получается вовсе — и выясняется это тогда, когда вы ещё ничего не заплатили.