Я занимаюсь веб-разработкой для небольших компаний, и довольно часто ко мне приходят заказчики, чьи сайты когда-то делал кто-то другой. Первый разговор почти всегда начинается одинаково. Я прошу доступ к хостингу, а владелец отвечает, что данные надо запрашивать у условного Сергея, который делал сайт. Дальше варианты. Сергей отвечает через неделю, или не отвечает совсем, или выясняется, что хостинг все эти годы оплачивал бывший маркетолог с личной карты. Сайт работает, а на простой вопрос «чей он» уверенного ответа ни у кого нет. В этой статье расскажу о том, что владелец бизнеса должен знать о своем веб-ресурсе и контролировать сам, без подрядчика, и как это проверить примерно за час.
Чек-лист: как найти слабые места сайта
В сентябре я проверил 36 сайтов небольших компаний из разных отраслей. Сайты чужие, я к ним отношения не имею. Картина получилась такая:
- У 27 сайтов из 36 домен оформлен на частное лицо.
- У каждого третьего на страницах не указаны реквизиты компании (ИНН, ОГРН), то есть, посетителю непонятно, кто владелец.
- У пяти нет политики обработки персональных данных, хотя формы заявок есть.
- У четырех сертификат безопасности заканчивался меньше чем через месяц.
Я не поленился и перепроверил сертификаты через неделю – картина осталась прежней, до конца срока осталось еще меньше дней. Все сертификаты бесплатные, а такие обычно продлеваются сами, примерно за месяц до конца. Раз не продлились, значит, автоматика не сработала, и, думаю, в этих компаниях об этом пока никто не знает. Узнают, скорее всего, когда браузер начнет показывать посетителям красный экран «подключение не защищено».
Сами по себе эти цифры еще не беда. Беда начинается, когда что-то ломается, а человека, который знает, где что лежит, рядом уже нет. Ниже семь вопросов, ответы на которые, по-хорошему, должны быть записаны у владельца, а не храниться в голове у разработчика.
1. На кого оформлен домен?
Юридически, адрес сайта принадлежит тому, кто записан у регистратора. Регистратору домена, строго говоря, неважно – кто все эти годы платил и что написано в договоре с подрядчиком, разговаривать он будет с владельцем по документам. Если домен оформлен на частное лицо и это лицо – основатель компании, все в порядке. Плохо, когда это бывший сотрудник, фрилансер или директор веб-студии, с которой вы расстались не очень тепло. Без личного участия владельца вернуть домен сложно, а спор через суд может растянуться на месяцы.
Как проверить? Если у вас есть личный кабинет у регистратора, домен должен быть виден там. Если кабинета нет, используйте сервис whois (это открытый справочник доменов): вводите адрес сайта и смотрите строку о владельце. Для доменов .ru там будет указано либо название организации, либо частное лицо, и рядом дата, до которой домен оплачен. Имени частного лица справочник не покажет. Поэтому, если вы не помните, чтобы регистрировали домен сами, разберитесь, на чей паспорт он оформлен.
2. Чей хостинг и до какого числа все оплачено?
Это сервер, на котором сайт лежит физически: файлы, база с заявками и товарами, копии. Владелец определяется аналогично – на чей аккаунт услуга заведена у хостинговой компании. Довольно часто сайт живет на аккаунте студии-разработчика. Им так удобнее, когда в одной панели десятки клиентов, а у владельца сайта своего входа туда нет вообще. Пока все хорошо, этого никто не замечает. Но человек с доступом к этой панели может выключить сайт, перенести его или удалить вместе с копиями, а договора с хостингом у вас нет.
Как проверить? Спросите у подрядчика, у какой компании лежит сайт, и попробуйте войти в панель сами. Если входа нет, выясните, на кого заведен аккаунт. Если на подрядчика, у многих хостингов есть передача сайта или всего аккаунта другому клиенту, обычно это заявка в поддержку от обеих сторон. Другой путь: завести аккаунт на компанию и перенести сайт туда.
Заодно посмотрите сроки. У сайта обычно три регулярных платежа (домен, хостинг и платный сертификат), напоминания о каждом приходят тому, кто услугу заводил. Если письма уходят на ящик менеджера, который уволился, вы узнаете о проблеме в самый неудобный момент. Дату окончания домена показывает whois, срок сертификата браузер показывает по значку слева от адреса сайта, срок хостинга видно в той самой панели. Все три даты стоит занести в календарь с напоминанием за месяц, а оплату перевести на карту компании.
3. У кого пароли от сайта?
Один из моих клиентов осознал важность этого вопроса на собственном неприятном опыте. Сайт компании, размещенный на популярном движке, много лет наполнялся через одну учетную запись администратора. А потом мы зафиксировали, что с помощью пароля в админку зашел кто-то незнакомый. Никакого подбора и хитрых уязвимостей, пароль просто утек с чьего-то компьютера. Мы немедленно создали двух новых администраторов, поставили пару своих дополнений и удалили старую учетную запись.
Вывод для владельца тут простой. Сколько людей когда-либо знали пароль от админки, столько у сайта и дверей: бывший контент-менеджер, прошлый подрядчик, фрилансер, который пару лет назад менял баннер. У каждого этот пароль где-то сохранен на компьютере, за безопасность которого вы не отвечаете.
Как проверить? Откройте в админке раздел с пользователями или попросите подрядчика прислать список. Посмотрите, кого вы не знаете или кто у вас больше не работает. Передайте материалы из этих аккаунтов другому пользователю. Удалите ненужные учетные записи. Себе заведите отдельную учетную запись, одну общую на всех держать не стоит. После расставания с подрядчиком пароли меняются в тот же день.
4. Где лежат копии сайта?
Это как запасной ключ от квартиры: пока все хорошо, никто о нем не вспоминает. Нужно знать, где хранятся копии страниц, медиатека с изображениями и видео, другие файлы.
Как проверить? Спросите у подрядчика или у хостинга: как часто делаются копии, сколько дней они хранятся и где лежат, на том же сервере или отдельно? Когда из копии последний раз что-нибудь восстанавливали? Копия, из которой ни разу не пробовали восстановиться, это пока надежда, а не копия.
5. Куда уходят заявки с сайта?
Расскажу про себя, чтобы было честно. В августе я переделывал собственный сайт и убрал старую систему управления содержимым. Одна из форм заявок после этого продолжала работать как ни в чем не бывало: человек оставлял контакты, заявка сохранялась на сервере, посетитель видел «спасибо». А вот уведомление мне на почту и в мессенджер уходило по старому внутреннему адресу, которого больше не существовало. Так продолжалось почти месяц, и заметил я это случайно, когда дорабатывал ту же форму. Потерь не случилось только потому, что этой формой в те недели пользовался только я сам.
Форма, которая показывает посетителю «заявка отправлена», вполне может никуда ее не отправлять. Посетитель доволен, в почте пусто, а владелец думает, что затишье.
Как проверить? Раз в месяц отправляйте заявку сами себе со всех форм сайта, с телефона и с компьютера, и смотрите, пришла ли она, куда и через сколько минут. Отдельно посмотрите, на чей ящик она приходит. Если это почта менеджера, который уволился полгода назад, возможно, это и есть причина потерь клиентов. Заодно проверьте, есть ли под формой галочка согласия на обработку персональных данных и ссылка на политику. Тут речь уже про штрафы по закону.
6. На чей аккаунт заведены аналитика и кабинеты поисковиков?
Кабинеты, где видно, сколько людей пришло на сайт и по каким запросам его находят, рекламный кабинет, карточка компании на картах. Все это заводится на чей-то аккаунт, и довольно часто это аккаунт подрядчика. Когда вы расстаетесь, вместе с ним уходит история посещаемости за несколько лет, и новому исполнителю не с чем сравнивать.
Как проверить? Зайдите в каждый кабинет под своим аккаунтом. Если зайти нечем, попросите подрядчика выдать вам полный доступ, а себе оставить гостевой. Это делается за пару минут, пароль никому передавать не нужно.
7. Что будет с сайтом, если подрядчик завтра исчезнет?
Представьте, что разработчик перестал выходить на связь. Сможете ли вы в течение часа поменять телефон на сайте, продлить домен, найти свежую копию и выдать доступ новому исполнителю? Если на все ответ «да», у вас порядок. Если хотя бы одно «не знаю», это задача на ближайшую неделю. Обычно вопрос решается без ссоры: добросовестному подрядчику передать доступы несложно. А если он начинает тянуть время или объяснять, что «так не принято», это тоже ответ, только уже на вопрос, стоит ли продолжать работать вместе.
Кому можно не беспокоиться о данных
- Если вы сами сделали сайт-визитку на конструкторе, большая часть списка уже закрыта: домен, оплата и пароли и так на вас. Проверьте заявки, этого достаточно.
- Если в ближайшее время вы будете заказывать новый сайт, старый можно не трогать. Но разговор с новым исполнителем лучше начать с обсуждения вопросов из списка.
После проверки должен получиться следующий результат:
- Домен оформлен на вас или компанию, вход к регистратору у вас.
- Хостинг заведен на компанию, в его панель вы входите сами.
- Даты окончания домена, хостинга и сертификата в календаре, платит карта компании.
- В админке нет незнакомых пользователей, у вас своя учетная запись.
- Копии делаются каждый день, хранятся месяц, из них хоть раз восстанавливали.
- Тестовая заявка со всех форм дошла за несколько минут, под формами есть согласие.
- Аналитика и кабинеты поисковиков открываются под вашим аккаунтом.
- Если подрядчик пропадет, вы за час пустите на сайт нового человека.
Также читайте:
