Короткий ответ: никогда не отправляйте пароли открытым текстом в мессенджере или почте. Создавайте для подрядчика отдельную учётную запись с минимально нужными правами, передавайте данные через менеджер паролей или одноразовую ссылку, а после завершения работ закрывайте доступ и меняйте пароли. Свои главные аккаунты (домен, хостинг, почту, банк) подрядчику не отдавайте никогда.
Доступы — самое чувствительное, что вы передаёте при работе над сайтом. Через админку можно изменить любые данные, через хостинг скачать базу клиентов, через домен перехватить весь сайт. Большинство подрядчиков честные, но риск создаёт не злой умысел, а небрежность: пароль в открытой переписке, один общий логин на всех, забытый доступ после окончания проекта. Ниже правила, которые закрывают эти риски.
Главные ошибки при передаче доступов
- Пароль текстом в мессенджере. Он остаётся в переписке навсегда, виден на всех устройствах, где открыт чат, и в резервных копиях.
- Свой основной логин вместо отдельного. Подрядчик заходит под вами, и вы не можете отличить его действия от своих или отозвать доступ без смены пароля.
- Максимальные права по умолчанию. Подрядчику для вёрстки нужна админка сайта, но не доступ к банковскому кабинету хостинга.
- Один пароль на всё. Утечка в одном месте открывает всё остальное.
- Доступ остаётся после работ. Проект закончился два года назад, а учётная запись подрядчика всё ещё действует.
Принцип минимальных прав
Каждому человеку даётся доступ только к тому, что нужно для его задачи, и только на время работы. Если подрядчик делает дизайн, ему не нужен хостинг. Если он правит сайт, ему не нужен домен. Если он настраивает рекламу, ему нужны права в рекламном кабинете, а не пароль от вашей почты.
| Что нужно сделать | Какой доступ достаточно дать | Чего не давать |
|---|---|---|
| Дизайн и вёрстка | Макеты, файлы, тестовый сервер | Хостинг, домен, почту |
| Правки на сайте WordPress | Отдельный пользователь админки с ролью «Администратор» или «Редактор» | Ваш личный логин, доступ к хостингу |
| Перенос или настройка сервера | Отдельный доступ SSH или панели хостинга | Аккаунт у регистратора домена |
| Настройка DNS | Делегирование доступа или временный доступ к управлению DNS | Платёжные данные регистратора |
| Аналитика | Гостевой доступ в Метрике и Search Console | Пароль от Яндекс-аккаунта |
| Реклама | Представитель в рекламном кабинете | Доступ к платёжному аккаунту |
Как передавать правильно
1. Отдельная учётная запись для подрядчика
Почти везде можно создать нового пользователя: в админке WordPress («Пользователи» → «Добавить»), на хостинге (дополнительный пользователь или SSH-ключ), в Метрике (предоставить доступ по логину), в рекламных кабинетах (представитель). Отдельная учётная запись даёт три вещи: вы видите, что делал именно этот человек, вы можете отозвать доступ без смены своих паролей, и вы можете ограничить права.
2. Менеджер паролей вместо мессенджера
Менеджеры паролей (Bitwarden, 1Password, KeePass и подобные) позволяют передавать записи с логином и паролем безопасно: получатель видит данные в зашифрованном хранилище, а не в переписке. Есть функция совместного доступа и возможность отозвать запись. Для разовой передачи подойдут сервисы одноразовых ссылок: данные доступны один раз и потом удаляются. Если ни то, ни другое недоступно, пароль отправляется в одном канале, а логин в другом, и сразу после входа пароль меняется.
3. Двухфакторная аутентификация
Включите её на всех важных аккаунтах: регистратор, хостинг, почта, Яндекс и Google. Если подрядчику нужен доступ, выдайте отдельную учётную запись с собственной двухфакторкой, а не делитесь кодами из вашего телефона.
4. Сложные уникальные пароли
Минимум 14–16 символов, генерируются менеджером паролей, не повторяются на разных сервисах. Пароль «Company2024!» не защищает ни от чего.
5. Журнал: кто и когда получил доступ
Ведите короткий список: что выдано, кому, когда, до какой даты. Таблица на пять строк закрывает вопрос «у кого есть доступ к нашему сайту». Когда проект закончен, вы проходите по списку и закрываете всё.
6. Смена паролей и закрытие доступа после работ
Когда проект сдан и принят, удалите учётную запись подрядчика, смените пароли, которые вы ему давали, отзовите приглашения в Метрике, рекламных кабинетах и облаке. Это занимает двадцать минут. Если планируется сопровождение, оставьте только нужное, с ограниченными правами.
Что нельзя передавать никому
- Пароль от личной почты, на которую зарегистрированы все аккаунты. Тот, у кого есть почта, может сбросить любой пароль.
- Аккаунт банка, платёжные данные, коды из СМС.
- Главный аккаунт регистратора домена. Как организовать это правильно, написано в статье домен и хостинг на себя, а не на подрядчика.
- Личные аккаунты соцсетей. Для управления группой или страницей есть роли администратора и редактора.
Что должен делать подрядчик
Безопасность — общая ответственность. Хороший исполнитель:
- Сам не просит ничего лишнего и объясняет, зачем нужен каждый доступ.
- Предлагает безопасный способ передачи и не принимает пароли в открытом виде.
- Не хранит ваши пароли в рабочих чатах и заметках на общем компьютере.
- Работает через отдельную учётную запись и не меняет пароли главных аккаунтов без согласования.
- После окончания проекта подтверждает, что доступы удалены.
Если исполнитель настаивает на пароле от вашего основного аккаунта, требует «админа на всё» или не понимает, зачем вам вообще этот вопрос, подумайте, стоит ли ему доверять. Как проверить исполнителя заранее, в статье как проверить подрядчика по сайту. Полный список мер защиты самого сайта — в чек-листе безопасности сайта.
Как поступаю я
Для работы с клиентскими проектами мне достаточно отдельного пользователя в админке и, если нужен перенос или настройка сервера, отдельного доступа. Доступ к вашей почте, регистратору и банку я не прошу. После завершения работ я подтверждаю письменно, что доступы закрыты, а вы можете проверить это по журналу. Исходники и резервные копии передаются вам.
Часто задают вопросы
Что делать, если подрядчик получил доступ к основному аккаунту?
Смените пароль и включите двухфакторную защиту, проверьте активные сессии и авторизованные приложения, посмотрите журнал действий, если он есть. Дальше создайте подрядчику отдельную учётную запись и работайте через неё.
Безопасно ли отправлять пароль в Telegram?
Обычные чаты Telegram не используют сквозное шифрование по умолчанию, сообщения хранятся на серверах и остаются в истории. Для паролей это плохо. Используйте менеджер паролей или одноразовую ссылку, а при отсутствии альтернативы меняйте пароль сразу после использования.
Нужно ли менять пароли после каждого проекта?
Те, что вы выдавали, да. Если вы использовали отдельную учётную запись подрядчика, достаточно удалить её. Остальные пароли меняйте по графику (раз в полгода-год) и при подозрении на утечку.
Кому нужен доступ к хостингу?
Тем, кто переносит сайт, настраивает сервер, обновляет окружение или восстанавливает из резервной копии. Для правки текстов и вёрстки хостинг не нужен, достаточно админки сайта.
Как проверить, у кого есть доступ к моему сайту?
Откройте список пользователей в админке (для WordPress «Пользователи»), посмотрите дополнительные учётные записи на хостинге, приглашения в Метрике и Search Console. Удалите всех, кого не узнаёте, и тех, кто закончил работу.
Готовитесь передать проект подрядчику и хотите сделать это безопасно? Напишите мне, и я подготовлю список нужных доступов и подскажу безопасный порядок. Условия работы — на странице «Цены».
