Четыре слоя владения: что именно вы передаёте
Сайт — это не папка с файлами, а четыре независимых контура. Потеря любого останавливает работу или стирает данные, поэтому проверять нужно все четыре, а не только вход в админку.
| Слой | Что проверять | Где обычно спрятано |
|---|---|---|
| Домен | Аккаунт регистратора, email администратора, запрет переноса, NS-серверы | Личный кабинет студии, почта менеджера |
| Хостинг | Панель, SSH/SFTP, cron, DNS-зона, почтовые ящики | Общий аккаунт студии на 20 клиентских сайтов |
| Движок | Админка CMS, база данных, лицензии платных модулей | Старый email разработчика |
| Сервисы | Метрика, Вебмастер, реклама, платежи, SMS, сертификат | Аккаунты, оформленные на подрядчика |
Правило, по которому проверяется передача: к концу дня вы открываете каждый из четырёх контуров со своего email. Доступ, который «дали на время» под своим логином, — не владение, а одолжение: его отзывают одной кнопкой, и вы узнаете об этом от клиента, а не от подрядчика.
Домен: актив, который теряют чаще всего
Переделать вёрстку можно за неделю, вернуть домен, ушедший в свободные, — почти никогда: его выкупают за часы. Поэтому домен проверяется первым.
- Аккаунт регистратора. Домен должен лежать на вашем аккаунте, а в поле администратора стоять ваш email. Проверяется запросом whois: смотрите admin contact и registrar.
- Запрет переноса. В whois должно быть состояние clientTransferProhibited. Если его нет — включите в панели регистратора одной галочкой, это защита от угона.
- Код авторизации (authinfo / EPP). Запрашивайте заранее, до расторжения договора. Многие регистраторы выдают его только владельцу аккаунта и только на почту администратора — то есть подрядчику, а не вам.
- Дата продления. Домен в зоне .ru продлевается раз в год, это 200–900 ₽ в зависимости от регистратора. Смена подрядчика в октябре и домен до декабря — типовая ситуация, в которой сайт гаснет в новогодние праздники.
- NS-серверы. Выпишите текущие значения (например ns1.timeweb.ru и ns2.timeweb.ru). При переезде на новый хостинг их придётся менять, и старые значения — единственный способ быстро откатиться, если что-то пойдёт не так.
Автопродление с карты подрядчика — ловушка с отложенным срабатыванием: домен живёт ровно до первого отказа банка. Ставьте напоминание за 30 дней до даты продления и оплачивайте сами.
Хостинг, DNS и почта
Здесь теряется не сайт, а его окружение: почта, поддомены, сертификат. Забирайте не «логин и пароль», а полный набор.
- Панель управления (ISPmanager, cPanel, Plesk) — с правами владельца, а не «пользователя сайта».
- SSH или SFTP — отдельный аккаунт на ваше имя. Пароль, созданный подрядчиком, меняйте сразу: старый он помнит.
- Cron-задачи — посмотрите список. Там часто висят чужие скрипты, парсеры и «маячки» разработчика.
- DNS-зона целиком — экспортируйте файл. В ней живут записи почты, подтверждения домена и поддомены, о которых вы не знаете.
- Почтовые ящики — все, включая info@ и директорский. Плюс записи SPF, DKIM и DMARC: без них письма с вашего домена уходят в спам, а после переезда их забывают перенести в первую очередь.
- Бэкапы — где лежат, как часто снимаются, как восстановить. Если бэкапы делает только подрядчик на своём диске, у вас их нет.
Проверка на месте: создайте тестовый ящик test@вашдомен, отправьте письмо на внешнюю почту и посмотрите, не попало ли оно в спам. Это две минуты, которые выявляют сломанный DKIM.
Админка сайта, база и лицензии
Стандартная ошибка — забрать один аккаунт администратора и на этом остановиться. Внутри CMS почти всегда остаются другие входы.
- Все учётные записи с правами администратора. Зайдите в список пользователей и удалите или понизьте до редактора все незнакомые. Учётка вида dev или admin с прежней почтой — это открытая дверь.
- Дамп базы данных — и обязательно проверенный: разверните его локально или на тестовом поддомене. Дамп, который не разворачивается, равен нулю.
- Платные модули и темы. Лицензии на конструкторы страниц и плагины часто привязаны к аккаунту разработчика. После передачи обновления перестают приходить, и через полгода сайт ломается на несовместимости версий.
- Файлы и права. Запросите архив сайта целиком, а не только то, что видно в файловом менеджере.
- Секреты в коде. Токены бота, ключи платёжной системы, пароли к SMTP обычно лежат в конфиге открытым текстом. Их нужно не переносить, а перевыпустить.
Аналитика, поисковики и реклама
Это слой, о котором вспоминают последним, а стоит он дороже всего: статистика за два года и накопленный траст домена не восстанавливаются.
- Яндекс.Метрика — счётчик должен быть в вашем аккаунте, а вам выдан доступ администратора. Иначе вместе с подрядчиком уйдут цели, отчёты и вся история посещений.
- Яндекс.Вебмастер и Search Console — подтверждение прав на домен. Права подтверждаются файлом или DNS-записью, поэтому сделать это нужно до смены NS.
- Рекламные кабинеты — Директ, РСЯ. Проверьте, на чьей карте списываются деньги и чей счёт указан плательщиком.
- Яндекс.Бизнес и карточки на картах — отдельная учётка, к сайту отношения не имеющая, но заявки оттуда идут исправно.
- Вебвизор и записи звонков — если пользовались коллтрекингом, данные хранятся у сервиса и к аккаунту привязаны навсегда.
Приёмка за один день: порядок действий
Порядок важен: сначала то, что нельзя быстро восстановить, потом остальное. На всё уходит 3–4 часа, если подрядчик на связи.
- 09:00. Выгрузите полный бэкап: файлы, база, DNS-зона. Проверьте, что архив открывается и весит примерно столько, сколько должен.
- 09:30. Переведите домен на свой аккаунт регистратора или смените контакт администратора на свой email.
- 10:00. Смените пароли: панель хостинга, SSH, админка CMS, FTP. Заодно включите двухфакторную аутентификацию везде, где она есть.
- 10:30. Удалите лишних администраторов в CMS и всех пользователей, которых не узнаёте.
- 11:00. Перевыпустите секреты: токен Telegram-бота через @BotFather, ключи платёжной системы, пароль SMTP. Старые отзовите.
- 11:30. Подтвердите права в Вебмастере и Search Console, добавьте себя администратором в Метрику.
- 12:00. Проверьте сквозной путь: заполните форму заявки, позвоните по номеру с сайта, откройте сайт с телефона.
- 12:30. Подпишите акт приёма-передачи с перечнем переданного — по пунктам, с датами.
Отдельно проверьте сертификат: он живёт 90 дней, и автопродление часто настроено на сервере подрядчика. Если хостинг меняется, продление молча перестаёт работать.
Если доступ уже потерян
Порядок зависит от того, на кого оформлены домен и хостинг.
- Домен на вас, доступ у подрядчика. Регистратор восстановит доступ по паспорту и договору — это стандартная процедура, занимает от суток. Пишите в поддержку с просьбой сменить контакт администратора.
- Домен на подрядчика. Требуйте переоформления письменно, со ссылкой на договор. Дальше — претензия, затем суд. Пока идёт спор, сайт работает, но продлевать его будет он.
- Хостинг подрядчика. Заберите файлы и базу, пока он на связи. Если уже нет — поднимайте копию из архива или из кэша поисковиков и запускайте на новом домене.
Если переделать проще, чем вызволять: лендинг — от 15 000 ₽ за 4–5 дней, многостраничный сайт — от 29 000 ₽ за 6–7 дней, проект под ключ — от 55 000 ₽. Посмотрите портфолио и тарифы, а лучше сразу напишите в контакты — разберём, что у вас на руках. Поддержка 30 дней после запуска входит в работу: за это время все доступы спокойно переоформляются на вас.
Что сделать на этой неделе
- Запросите у текущего подрядчика письменный перечень доступов по четырём слоям из первой таблицы — не «всё есть», а списком.
- Проверьте whois домена: чей email в admin contact и включён ли запрет переноса.
- Снимите свой бэкап сайта и базы, не полагаясь на бэкапы студии.
- Заведите отдельный почтовый ящик вида admin@вашдомен и перенесите на него регистрацию во всех сервисах.
- Включите двухфакторную аутентификацию на домене, хостинге и в админке.
- Пропишите в договоре с новым подрядчиком пункт: доступы оформляются на заказчика, передача — в течение 3 рабочих дней по акту.
- Поставьте напоминания за 30 дней до продления домена и за 14 дней до окончания сертификата.
Ещё по теме — другие статьи блога: про хостинг, сроки и типовые ошибки при заказе сайта.