Достъпите до сайта: кой има паролите и какво става при раздяла

Когато пускате фирмения сайт, мислите за дизайна, текстовете и клиентите. В бързината паролата за администрацията отива при първия нает програмист, при маркетолога на свободна практика и при новата служителка в офиса. Проблемът излиза наяве, когато някой от тях си тръгне, а вие не знаете кои врати към бизнеса ви са останали отключени.

Една обща парола за всички е най-големият риск

В малкия бизнес картината е позната: има един администраторски профил, а паролата му пътува по имейл, във Viber или стои на лепящо листче до монитора. Когато някой нов има нужда от достъп, получава същите данни. В момента това пести време. След година никой не помни кой ги знае.

Когато всички влизат с едно име, губите следата кой какво е направил. Ако една сутрин заварите изтрити продукти или сменени цени, няма как да разберете дали е грешка на стажанта, умисъл на напуснал колега или чужда атака. В историята на системата всичко стои от името на единствения администратор.

А когато трябва да спрете достъпа на един човек, единственият начин е да смените общата парола и да я пратите наново на всички останали. На практика това се отлага и бивши служители пазят достъп месеци наред.

Собственост и достъп за работа са две различни неща

Агенцията или програмистът се нуждаят от достъп, за да работят по сайта. Собственик на профилите в домейна, хостинга, Google Search Console, Google Анализ и рекламните акаунти трябва да сте вие - с фирмен имейл, до който само вие имате постоянен контрол. Външните хора се канят като потребители със собствените си имейли и се махат с един клик, когато работата приключи.

Защо това е важно и как да проверите на чие име е домейнът ви, сме описали подробно в статията кой притежава домейна и хостинга ви и защо това е важно. Тук продължаваме с другата половина: какво става с паролите, когато хората си тръгват.

Кои достъпи да държите в своите ръце

• Домейн и хостинг: оттам се изтрива целият сайт, спират се фирмените имейли или домейнът се насочва другаде.
• Администрацията на сайта (WordPress, OpenCart, Shopify и т.н.): там са продуктите, цените и поръчките на клиентите.
• Google Анализ, Search Console, пикселът на Meta: в тях е историята на посещенията ви. Загубен достъп значи загубена история.
• Рекламните акаунти в Google Ads и Meta: към тях е вързана фирмената карта. Чужд неконтролиран достъп там струва пари буквално.

Когато служител напусне

При напускане обикновено се връщат служебният лаптоп и телефонът. Забравя се, че човекът още влиза в десетки фирмени системи от личния си телефон, където паролите са запомнени в браузъра.

Дори раздялата да е приятелска, това е риск. Личният телефон може да бъде откраднат или заразен и тогава чужд човек влиза в сайта ви с напълно истинска парола. При лоша раздяла рискът е по-пряк: изтрити клиенти, сменени цени, публикации, които вредят на името ви.

Затова в деня на напускането, не седмица по-късно:

1. Изтрийте или изключете личния му профил в сайта и във всяка система, в която е имал свой.
2. Сменете всяка парола, която е знаел - включително тези в мениджъра на пароли, до които е имал достъп. Махането му от споделената папка спира бъдещия достъп, но не изтрива от паметта му това, което вече е видял.
3. Проверете кой е получавал кодовете за двуфакторна защита. Ако те идват на неговия телефон, преместете ги на ваш.
4. Прегледайте пренасочванията на пощата му: в кутията на напусналия идват запитвания от клиенти и те трябва да стигат до някой, който ще отговори.

Когато се разделяте с агенция или програмист

Смяната на фирмата, която поддържа сайта, е нормална стъпка. Тя минава гладко, ако от началото сте имали собствен профил с най-високите права (Owner или Super Admin), а изпълнителят - отделен профил, който можете да изключите сами.

Ако всички ключове са у него, позицията ви е слаба. Случва се стар изпълнител да не предава архива на сайта или да бави прехвърлянето на домейна, докато не се уредят спорни сметки. Затова преди да обявите края на сътрудничеството, си осигурете пълно резервно копие на сайта, записано извън неговите сървъри, и проверете, че можете да влезете навсякъде сами.

Всеки вижда само това, което му трябва

В сигурността това се нарича принцип на минималните права: всеки има достъп само до това, което е нужно за работата му. Човекът, който пише статии за блога, не трябва да е администратор. За него има роля „Автор“ или „Редактор“, с която пише и редактира текстове, но не инсталира добавки, не пипа настройките и не изтрива потребители.

Същото важи и за външните специалисти. Който прави SEO, има нужда от текстовете и заглавията, не от поръчките на клиентите ви или от настройките на сървъра. По-малко права значи по-малко случайни грешки, които свалят сайта.

Пет неща за един следобед

Не е нужно да сте технически човек, за да подредите достъпите. Започнете оттук:

1. Прегледайте списъка с потребители в администрацията на сайта и махнете всички, които вече не работят с вас.
2. Ако паролата на главния администратор е споделяна, сменете я с дълга, уникална парола и я пазете в мениджър на пароли.
3. Дайте на всеки служител и външен партньор отделен профил с ролята, която му трябва. Обща парола между няколко души - никога.
4. Включете двуфакторната защита навсякъде, където я има: при влизане се иска и код от телефона. Тя спира голяма част от опитите за влизане с изтекла или открадната парола.
5. Влезте при регистратора на домейна и проверете, че собственикът е вашата фирма, а имейлът за контакт е ваш.

Мениджърът на пароли във фирмата

Една и съща лесна парола навсякъде е най-честата слабост. Десетки сложни пароли пък никой не може да помни. Мениджърът на пароли решава и двете: всички пароли стоят на едно шифровано място, отключено с една силна главна парола.

Бизнес версиите позволяват споделяне по папки: счетоводителят вижда достъпите за счетоводството, маркетологът - за рекламите. Някои дават и възможност служителят да влиза в даден сайт, без паролата да му се показва. Когато човек напусне, го махате от папките с един клик. Помнете обаче точка 2 от списъка по-горе: всичко, което той е виждал, се сменя.

Законът също пита кой има достъп

Сайтът ви почти сигурно събира лични данни: запитвания от формата за контакт, абонати, поръчки. Общият регламент за защита на данните (GDPR) изисква да ги пазите с подходящи технически и организационни мерки, а контролът кой има достъп до тях е точно такава мярка.

Ако напуснал служител изнесе списъка с клиенти, защото никой не е спрял достъпа му, отговорността е на фирмата. В България надзорът е Комисията за защита на личните данни. Редовният преглед на потребителите и спирането на достъпа в деня на напускане са евтина защита и показват на клиентите, че гледате сериозно на данните им. Ако искате някой да поеме тази грижа изцяло, тя е част от сигурността на сайта, която поддържаме за клиентите си.

Темисигурност на сайтауправление на достъпипаролилични данни