Сайт сдан, всё работает, разработчик занят другим проектом. Через год приходит письмо о продлении домена, и выясняется, что кабинет регистратора оформлен на подрядчика, хостинг оплачивается с его карты, а пароль от панели знает только он. Сайт формально ваш, но управлять им вы не можете.
Это не про недоверие к исполнителю. Люди меняют работу, теряют телефоны и забывают пароли. Ниже список того, что должно быть оформлено на вас до запуска, и как дать разработчику доступ, не отдавая ему ключи от всего.
Домен
Домен главнее всего остального. Хостинг можно сменить за вечер, код можно пересобрать, а адрес, который знают клиенты и поисковики, заменить нечем. Поэтому администратором домена у регистратора должны быть вы или ваша компания, а не студия и не знакомый программист.
- Кабинет регистратора открыт на вашу почту, которую вы читаете
- В данных домена указаны вы или ваша компания
- Вы знаете дату продления и кто за него платит
- Включено автопродление или стоит напоминание в календаре
Если разработчику нужно поменять DNS-записи, это делается через доступ к управлению DNS или через делегирование на его сервер имён. Передавать ради этого весь кабинет регистратора не нужно.
Хостинг или VPS
Аккаунт у хостинг-провайдера открыт на вас, счёт оплачивается с вашей карты или со счёта компании. Разработчик получает отдельный доступ: своего пользователя в панели, FTP или SSH под своим ключом. Ваш основной пароль он знать не должен, и ему это не нужно для работы.
С VPS то же самое. Если на сервере стоит панель вроде aaPanel, у вас должны быть адрес панели, логин и понимание, где лежит root-доступ к самому серверу. Сервер, который знает только один человек, превращается в проблему в тот день, когда этот человек не отвечает.
Код и репозиторий
Код сайта или бота должен где-то храниться помимо самого сервера. Обычно это репозиторий на GitHub или похожем сервисе. Хорошо, когда репозиторий лежит в вашем аккаунте или организации, а разработчик добавлен туда участником. Если он ведёт код у себя, договоритесь, что при сдаче репозиторий передаётся вам, и проверьте, что передача состоялась.
Архив, присланный в мессенджере, тоже лучше, чем ничего. Но через полгода никто не скажет, та ли это версия, что работает на сервере.
Почта, формы и боты
Заявки с сайта уходят на почту или в Telegram. Ящик, через который сайт отправляет письма, должен быть на вашем домене или в вашем аккаунте. Чат, куда падают заявки, создаёте вы и добавляете туда бота, а не наоборот.
Telegram-бот привязан к аккаунту, через который его создали в BotFather. Лучше, если это ваш аккаунт или аккаунт компании. Токен бота храните как пароль. Если он попал не туда, его перевыпускают в BotFather, и старый перестаёт работать.
Аналитика и поиск
Яндекс Метрика, Яндекс Вебмастер, Google Search Console и Google Analytics подключаются к вашему аккаунту. Разработчика добавляют пользователем с нужными правами. Если счётчик или подтверждение сайта оформлены на чужой аккаунт, история посещений и запросов уйдёт вместе с этим аккаунтом.
Список доступов
Один документ, в котором перечислено всё, что относится к сайту. Не пароли, а места: где это живёт, на кого оформлено, у кого есть доступ и когда продление.
- Домен: регистратор, владелец, дата продления
- Хостинг или VPS: провайдер, тариф, кто платит
- Панель и сервер: адрес, кому выдан доступ
- Репозиторий: где лежит, кто участник
- Почта для форм и чат для заявок
- Бот: аккаунт создателя и где хранится токен
- Аналитика и вебмастера: чей аккаунт, кто добавлен
Сами пароли храните в менеджере паролей, а не в переписке. Чат с подрядчиком через год превращается в поиск по сотне сообщений.
Когда исполнитель меняется
Если вы прощаетесь с разработчиком, пройдите по тому же списку в обратную сторону. Удалите его пользователя из панели хостинга и из репозитория, уберите его SSH-ключ с сервера, смените пароли, которые он знал, и перевыпустите токен бота, если он у него был. Это обычная гигиена, а не обвинение.
Что проверить при сдаче
- Вы сами вошли в кабинет регистратора и видите там домен
- Вы сами вошли в хостинг или панель сервера
- Репозиторий открывается под вашим аккаунтом
- Тестовая заявка с сайта пришла туда, где её прочитают
- Бот отвечает, а вы знаете, с какого аккаунта он создан
- Список доступов заполнен и лежит у вас
Пока хотя бы один пункт не проверен вашими руками, проект сдан наполовину. Это занимает час, а экономит недели, когда что-то сломается или придётся сменить подрядчика.
Откуда в смете строки про домен и хостинг, разобрано в заметке про стоимость сайта. Как устроен бот, которому нужен токен и рабочий чат, смотрите в тексте про бота для заказов. Запустить проект так, чтобы всё осталось у вас, можно через контакты.