„Mój developer przestał odpowiadać” – jak przejąć stronę WordPress bez dramatu

Mail bez odpowiedzi. Telefon, który dzwoni i nikt nie odbiera. Ostatnia wiadomość sprzed sześciu tygodni: „jutro to poprawię”. Strona może nawet dalej działać, tylko Ty nie masz do niej dostępu i nie wiesz, gdzie ona właściwie stoi. Do tego dochodzi uczucie, o którym mało kto mówi na głos: wstyd, że oddało się kontrolę nad wizytówką firmy i nie zauważyło tego przez dwa lata.

Ta sytuacja jest częsta i, wbrew pierwszemu wrażeniu, uporządkowana. Zacznij od jednego ustalenia: „moja strona” to nie jest jedna rzecz, tylko trzy osobne rzeczy, u trzech dostawców, z trzema osobnymi tytułami dostępu. Można mieć jedną bez dwóch pozostałych i większość ludzi dowiaduje się o tym w momencie, w którym jesteś teraz.

Poniżej: co ustalić najpierw, osobna procedura dla domeny, hostingu i WordPressa, czego przy przejęciu robić nie należy i jak wygląda pierwszy tydzień u nowego wykonawcy. Czego tu nie ma: porad prawnych. O prawach do domeny, kodu i treści rozstrzyga umowa albo prawnik, nie poradnik.

Zrób to, zanim cokolwiek zmienisz. Pierwsze cztery punkty zajmują kwadrans i ustawiają całą resztę.

1. Sprawdź datę wygaśnięcia domeny w bazie WHOIS. Jest jawna. To jedyny twardy termin w tej sprawie.
2. Znajdź faktury za domenę i hosting z ostatnich dwóch lat. Od kogo, na jaki podmiot, z jakiego konta szła płatność. To Twój najmocniejszy materiał do rozmowy z dostawcami.
3. Ustal, na jaki adres e-mail zarejestrowano domenę i konto hostingowe. Jeśli to Twój adres, dużą część problemu masz już rozwiązaną.
4. Sprawdź, czy masz jakiekolwiek konto w WordPressie. Wejdź na twojadomena.pl/wp-login.php i użyj „Nie pamiętasz hasła?” na swój adres. Przyszła wiadomość? Masz konto.
5. Ustal, gdzie stoi poczta firmowa – na tym samym serwerze co strona czy w osobnej usłudze. Od tego zależy kolejność późniejszych zmian.
6. Spisz, co jeszcze wisi na tej stronie: Analytics, Search Console, wizytówka Google, konto reklamowe, bramka płatności, newsletter, integracje z kurierami i księgowością. Każde to osobne konto.
7. Sprawdź umowę – czy pada w niej cokolwiek o dostępach, o tym, na kogo rejestrowane są usługi, i o zakończeniu współpracy.
8. Napisz do wykonawcy jedną wiadomość na piśmie, z terminem. Rzeczowo, bez zarzutów, z listą tego, o co prosisz. Przyda się w każdej dalszej rozmowie, także z dostawcami.
9. Na razie niczego nie zmieniaj. Dopóki nie wiesz, kto jest abonentem domeny i właścicielem konta hostingowego, każdy ruch jest po ciemku.

Kiedy mówisz „moja strona”, masz na myśli jedną rzecz. Technicznie i formalnie są to trzy niezależne usługi u trzech dostawców:

Między nimi jest hierarchia i to ona decyduje o kolejności działań. Kto ma hosting, ma też WordPressa, bo baza z kontami użytkowników leży na jego serwerze. Kto ma domenę, decyduje, dokąd adres kieruje, nawet jeśli pliki stoją u kogoś innego. Ale kto ma wyłącznie konto administratora WordPressa, nie ma ani jednego, ani drugiego.

Cztery układy z praktyki:

• Wszystko na Ciebie, wykonawca miał tylko dostępy. Najlepszy scenariusz: odzyskujesz hasła u dostawców i wymieniasz poświadczenia.
• Domena na Ciebie, hosting na wykonawcę. Masz adres, nie masz treści.
• Hosting na Ciebie, domena na wykonawcę. Masz treść, nie masz adresu.
• Wszystko na wykonawcę, a Ty płaciłeś fakturę „za stronę”. Najtrudniejszy i najczęstszy. Tu zaczyna się rozmowa o umowie i dokumentach.

Zacznij od bazy WHOIS. Dla domen .pl prowadzi ją NASK pod adresem dns.pl/whois; przy domenach globalnych służy wyszukiwarka rejestratora albo baza ICANN Lookup. Z linii poleceń:

Pierwsze pokazuje wpis w rejestrze. Drugie mówi, czyje serwery nazw obsługują domenę, co zwykle od razu wskazuje hosting. Trzecie pokazuje, dokąd trafia poczta – zapisz tę informację osobno, bo wróci w sekcji o rzeczach, których nie należy robić.

To ostatnie zaskakuje najczęściej. Zgodnie z przepisami o ochronie danych osobowych NASK nie publikuje w WHOIS danych abonentów będących osobami fizycznymi; dane podmiotów, które osobami fizycznymi nie są, bywają widoczne. Puste pole nie znaczy więc „domena niczyja” ani „domena Twoja”, tylko tyle, że abonentem jest osoba fizyczna.

Praktyczny wniosek: WHOIS rzadko odpowie na pytanie „czy to moja domena”. Odpowie na nie rejestrator, którego nazwę właśnie z tego wpisu wyciągnąłeś. Napisz do niego z firmowego adresu, podaj domenę, nazwę firmy i NIP, dołącz faktury i zapytaj o dwie rzeczy: czy Twoja firma figuruje jako abonent oraz jaka jest procedura odzyskania dostępu. Nie prosisz o cudze dane, tylko o swój status i o procedurę.

Dwie rzeczy warto znać, zanim ułożysz kolejność kroków. Zmiana abonenta (cesja) to procedura rejestratora, wymagająca wniosku i zgody obu stron. Przeniesienie domeny do innego rejestratora wymaga kodu autoryzacyjnego (authinfo), który dotychczasowy rejestrator wydaje abonentowi. Przy domenach globalnych zmiana danych abonenta bywa objęta czasową blokadą transferu wynikającą z polityki ICANN, więc kolejność „najpierw cesja, potem transfer” potrafi kosztować tygodnie czekania. Zapytaj o to rejestratora, zanim zaplanujesz przenosiny.

Najpierw ustal, gdzie strona stoi. Serwery nazw podpowiadają dostawcę DNS, ale serwer WWW bywa gdzie indziej:

Drugie polecenie, wykonane na adresie IP zwróconym przez pierwsze, poda operatora, do którego ten adres należy. Bywają źródła prostsze i skuteczniejsze: nazwa dostawcy na fakturach, stopka wiadomości systemowych ze strony, panel, do którego kiedyś dostałeś link.

Potem piszesz do hostingu. Zgłoszenie, na które wsparcie odpowie konkretnie, wygląda mniej więcej tak:

Dzień dobry, domena przyklad.pl korzysta z Państwa hostingu. Prowadzę firmę Przykład sp. z o.o. (NIP 000-000-00-00), na którą wystawiane były faktury za tę usługę; dwie ostatnie załączam. Nie mam dostępu do panelu, a osoba, która zakładała konto, nie odpowiada od 5 tygodni. Proszę o informację, na jaki podmiot zarejestrowane jest konto, oraz o procedurę potwierdzenia mnie jako właściciela i odzyskania dostępu. Kontakt: imię i nazwisko, telefon, adres e-mail.

Co dalej, zależy od tego, na kogo założone jest konto:

• Konto na Twoją firmę. Zwykła procedura odzyskania dostępu: hosting zweryfikuje dane właściciela i dane do faktur, po czym ustawi nowe hasło.
• Konto na wykonawcę. Hosting nie przekaże dostępu bez zgody właściciela konta i nie jest to złośliwość – ta sama zasada chroni Twoje konta przed obcymi. Zostaje rozmowa z wykonawcą, a jeśli nie działa, droga formalna.
• Konto resellerskie. Wykonawca kupuje hosting hurtowo i odsprzedaje miejsce klientom, więc firma hostingowa w ogóle Cię nie zna. Rozpoznasz to po tym, że faktury wystawia wykonawca, nie hosting.

Kolejność jest zawsze ta sama: najpierw domena i hosting, WordPress na końcu. Konta użytkowników leżą w bazie danych, baza leży na serwerze, więc kto ma serwer, ten ma konta.

Mając dostęp do hostingu, odzyskanie konta administratora jest formalnością. Trzy drogi, od najprostszej:

1. Przypomnienie hasła. Jeśli adres e-mail konta administratora należy do Ciebie, wystarczy „Nie pamiętasz hasła?” na ekranie logowania.
2. Zmiana hasła w bazie. W phpMyAdmin otwórz bazę WordPressa i tabelę wp_users, znajdź swojego użytkownika i podmień wartość w kolumnie user_pass, wybierając z listy funkcję MD5. WordPress przy pierwszym logowaniu przepisze hasło na aktualny algorytm. Wcześniej zrób kopię bazy.
3. WP-CLI, jeśli hosting daje SSH. Najszybsza droga, gdy nie wiesz nawet, jakie konta istnieją:

Bez dostępu do hostingu w WordPressie nie ma czego odzyskiwać: z zewnątrz da się tylko przypomnieć hasło na adres, który do Ciebie należy.

Po wejściu do panelu sprawdź nie wygląd strony, tylko listę w Użytkownicy: ile jest kont z rolą administratora, na jakie adresy i kiedy założone. To lista osób, które dziś mogą zrobić z Twoją stroną wszystko – dodać kod, zmienić przekierowania, zobaczyć dane klientów.

W umowie szukasz trzech rzeczy: na kogo rejestrowane są domena i hosting, co dzieje się z dostępami po zakończeniu współpracy oraz co ustalono w sprawie praw do projektu graficznego, kodu na zamówienie i treści.

Jeśli umowy nie ma, zostają dokumenty rozproszone: oferta, na którą odpowiedziałeś, korespondencja z ustaleniami, faktury i potwierdzenia przelewów. Zbierz je w jedno miejsce, chronologicznie.

Dwie rzeczy warto rozdzielić. Faktura „za wykonanie strony internetowej” jest dowodem zapłaty za usługę; co na jej podstawie przeszło na Ciebie, to osobne pytanie, a odpowiedź zależy od tego, co ustalono na piśmie. Podobnie z domeną: w rejestrze figuruje jeden abonent, a to, kto opłacał przedłużenia, jest informacją obok, nie zamiast.

Nie kopiuj strony „na dziko” i nie stawiaj jej równolegle. Postawienie kopii pod nowym adresem wygląda na sprytne obejście problemu, a jest wejściem w spór o prawa do motywu, kodu na zamówienie, zdjęć i treści, zanim ktokolwiek ustalił, komu przysługują. Dodatkowo dwie identyczne strony pod dwoma adresami szkodzą Twojej widoczności w wyszukiwarce.

Nie zmieniaj DNS w ciemno. Przestawienie domeny na nowy serwer bez przepisania rekordów MX zatrzymuje pocztę firmową w tej samej minucie, w której strona wstaje pod nowym adresem. Wiadomości nie „poczekają”: część odbije się do nadawców, część zniknie. O tej awarii dowiadujesz się od klientów, którzy myślą, że ich ignorujesz.

Nie kasuj starego hostingu, dopóki nowa kopia nie jest sprawdzona. Sprawdzona znaczy: strona główna, podstrony z menu, formularz z realnym testem wysyłki, koszyk i płatność, przekierowania ze starych adresów, poczta. Opłać stary hosting jeszcze na jeden okres – to najtańsze ubezpieczenie w tej operacji.

Nie zostawiaj starych dostępów aktywnych po przejęciu. Konta administratora, konta FTP, klucze SSH, hasło do bazy, tokeny API w wtyczkach, dostępy do Analytics, wizytówki Google i bramki płatności. Dopóki którykolwiek żyje, przejęcie jest niepełne, a Ty masz ten sam problem co miesiąc temu, tylko z inną osobą po drugiej stronie.

Nie pozwól, żeby domena wygasła w trakcie sporu. Wszystko inne da się cofnąć, spowolnić albo powtórzyć. Wygaśnięcie domeny jest jedynym krokiem, po którym adres może przejąć osoba postronna, a odzyskanie go bywa niemożliwe za żadne pieniądze.

Gdy dostępy wracają, zaczyna się część techniczna. Tak wygląda ona u nas i ta kolejność ma znaczenie: przegląd, potem lista napraw, dopiero potem stała opieka. Abonament z obietnicą czasu reakcji na stronę, której nikt nie obejrzał, to obiecywanie czegoś, czego się nie zna.

Dzień 1: własna kopia zapasowa. Pełny zrzut plików i bazy, poza serwerem, na którym stoi strona. Kopia „na hostingu” znika razem z hostingiem, więc przy przejęciu warta jest tyle, co jej brak. To pierwsza czynność, przed diagnozą i przed jakąkolwiek poprawką.

Dzień 1: wymiana wszystkich haseł i kluczy. Hasła: panel hostingu, FTP i SSH, baza danych, konta administratora. Klucze: sole w wp-config.php. Ich podmiana unieważnia wszystkie trwające sesje, także tę, o której nie wiesz, że istnieje:

Gotowy komplet generuje oficjalna usługa WordPressa (api.wordpress.org/secret-key/1.1/salt/). Osobno idą klucze API zapisane w wtyczkach: płatności, kurierzy, newsletter, księgowość, analityka. One nie zmieniają się razem z hasłem do panelu.

Dni 1–2: przegląd, czyli co właściwie dostałeś. Wersje WordPressa, PHP, motywu i wtyczek. Które wtyczki są płatne i na czyje konto licencjonowane – licencja na koncie poprzedniego wykonawcy oznacza brak aktualizacji od dnia, w którym przestał odpowiadać. Czy w plikach jest kod spoza wtyczek (mu-plugins, wstawki w functions.php). Czy istnieje działający backup i czy ktokolwiek próbował go odtworzyć.

Dni 2–3: stan bezpieczeństwa. Nieznane pliki PHP, przekierowania dopisane w .htaccess, konta administratora, których nikt nie zakładał, wtyczki spoza oficjalnego katalogu. Przejęcie po kimś, kto zniknął, to najgorszy moment na odkrycie, że strona jest zainfekowana od pół roku i najlepszy, żeby to sprawdzić.

Dni 3–5: lista napraw w trzech koszykach. Rzeczy grożące awarią albo włamaniem w tym miesiącu; dług techniczny do rozłożenia w czasie; rzeczy, które działają i których nie trzeba ruszać. Bez tego podziału przegląd kończy się listą czterdziestu pozycji, z której nie zrobi się żadna.

Dni 5–7: rejestr dostępów, a na nim dopiero stała opieka – aktualizacje na kopii, codzienne backupy poza serwerem, monitoring dostępności.

Rejestr dostępów to jeden plik odpowiadający na pytanie „co na kim wisi”:

Sześć zasad, dzięki którym ta historia się nie powtórzy:

1. Domena i hosting rejestrowane na Twoją firmę. To różnica między „mam wykonawcę” a „mam wykonawcę i mam swoją stronę”.
2. Adres e-mail w rejestratorze i w hostingu to skrzynka firmowa, dostępna niezależnie od strony. Adres w domenie, którą właśnie odzyskujesz, jest bezużyteczny; prywatna skrzynka jednej osoby też.
3. Wykonawca dostaje własne, imienne konto administratora, nie współdzielone „admin” z hasłem krążącym w mailach. Zakończenie współpracy to wtedy jedno kliknięcie.
4. Hasła w menedżerze haseł, nie w arkuszu. Rejestr mówi, gdzie co jest; sekrety trzymasz osobno.
5. Termin przedłużenia domeny w kalendarzu, niezależnie od automatycznego przedłużania. Karta płatnicza wygasa wcześniej niż domena.
6. Zdanie o dostępach w umowie – co dostajesz na koniec współpracy i w jakim terminie. To jedno z siedmiu pytań, które warto zadać wykonawcy, zanim powierzysz mu stronę.

Część tej listy da się przejść wieczorami: WHOIS, faktury, mail do rejestratora i do hostingu. Są jednak sytuacje, w których samodzielne działanie kosztuje więcej, niż oszczędza.

• Strona zarabia i przestój ma cenę. Przejęcie to moment, w którym najłatwiej o kilkugodzinną przerwę z jednego źle ustawionego rekordu DNS.
• Poczta firmowa stoi w tej samej domenie. Odzyskanie strony kosztem trzech dni bez poczty nie jest sukcesem.
• W plikach jest coś, czego tam nie wgrywałeś. To już nie jest przejęcie, tylko dwa problemy naraz.
• Nie wiesz, co robi kod pisany na zamówienie. Wyłączenie „niepotrzebnej” wtyczki potrafi zabrać integrację z płatnościami albo formularz, z którego przychodzą zapytania.
• Sprawa idzie w spór. Wtedy dzielą się role: prawnik bierze tytuły i roszczenia, wykonawca stronę techniczną.

U nas przejęcie zaczyna się od przeglądu (wersje, wtyczki, kopie zapasowe, stan bezpieczeństwa), potem powstaje lista tego, co wymaga naprawy, i dopiero na końcu wchodzi stała opieka nad stroną: aktualizacje testowane na kopii, codzienne kopie zapasowe z retencją, monitoring dostępności i certyfikatu. Przy wyjściu z umowy przekazujemy kopie zapasowe i wszystkie dostępy – czyli dokładnie to, czego zabrakło poprzednio.

Nad samym modelem współpracy warto się przy okazji zastanowić – osobno rozpisaliśmy, czym różni się freelancer od firmy w tym, co w tej historii okazało się najważniejsze: ciągłości, dokumentacji i dostępach.

„Moja strona” to domena, hosting i konto administratora WordPressa: trzy osobne usługi, u trzech dostawców, z trzema tytułami dostępu. Odzyskiwanie idzie w tej kolejności, bo kto ma serwer, ma WordPressa, a kto ma domenę, decyduje, dokąd prowadzi adres. Zacznij od daty wygaśnięcia domeny i od faktur, potem pisz do dostawców: rejestrator i hosting mają na takie sprawy procedury, których wykonawca nie zastąpi.

Nie kopiuj strony przed ustaleniem praw, nie ruszaj DNS bez sprawdzenia poczty, nie kasuj starego hostingu przed testem nowej kopii, nie zostawiaj starych dostępów przy życiu. A jeśli sprawa dotyczy praw do domeny, kodu albo treści, to pytanie do prawnika.

Jeśli techniczną stronę przejęcia ma zrobić ktoś, kto robi to regularnie, napisz do nas przez formularz kontaktowy. Zaczynamy tak samo za każdym razem: własna kopia zapasowa pierwszego dnia, wymiana wszystkich haseł i kluczy, przegląd stanu strony, lista napraw, spisany rejestr dostępów. Dopiero potem, jeśli ma to sens, stała opieka – pakiety zaczynają się od 349 zł netto miesięcznie, z umową bezterminową i miesięcznym wypowiedzeniem, więc następnym razem to Ty decydujesz, kiedy się rozstajecie.

Źródła:

• WHOIS – wyszukiwarka domen .pl, NASK: https://www.dns.pl/whois
• WHOIS FAQ (publikowanie danych abonenta), NASK: https://www.dns.pl/whois/FAQ
• Reset your password – dokumentacja WordPress.org: https://wordpress.org/documentation/article/reset-your-password/
• Roles and Capabilities – dokumentacja WordPress.org: https://wordpress.org/documentation/article/roles-and-capabilities/
• wp user create – dokumentacja WP-CLI: https://developer.wordpress.org/cli/commands/user/create/
• Editing wp-config.php (klucze i sole) – WordPress Developer Resources: https://developer.wordpress.org/advanced-administration/wordpress/wp-config/
• WordPress.org Secret Key Service: https://api.wordpress.org/secret-key/1.1/salt/
• Transfer Policy – ICANN: https://www.icann.org/resources/pages/transfer-policy-2016-06-01-en