Kto jest właścicielem domeny, hostingu i strony? Co ustalić z wykonawcą

Firma może zapłacić za stronę, a mimo to nie mieć kontroli nad domeną, hostingiem, licencjami lub plikami. Powodem zwykle nie jest techniczna sztuczka, lecz niejasna umowa i konta założone na dane wykonawcy. Przed rozpoczęciem projektu ustal własność każdego składnika osobno.

Krótka odpowiedź: domena i hosting firmy powinny być utrzymywane na koncie, do którego firma ma niezależny dostęp, z jej aktualnymi danymi i adresem e-mail. Umowa z wykonawcą powinna osobno regulować prawa do projektu, kodu, tekstów, zdjęć i licencji. Po wdrożeniu klient powinien otrzymać spis usług, kont, terminów odnowień oraz bezpiecznie przekazane dostępy.

Ten materiał ma charakter informacyjny i wymaga przed publikacją przeglądu prawnego. Nie zastępuje analizy konkretnej umowy.

„Właściciel strony” może oznaczać kilka różnych rzeczy

Potoczne zdanie „strona jest moja” nie wyjaśnia, co dokładnie kontrolujesz. Witryna składa się m.in. z:

• prawa do korzystania z nazwy domenowej;
• usługi hostingu i poczty;
• projektu graficznego;
• kodu wykonanego na zamówienie;
• systemu zarządzania treścią;
• motywu, wtyczek, fontów i innych licencji;
• tekstów, zdjęć, wideo i logo;
• baz danych i danych użytkowników;
• kont analitycznych, map, reklam i narzędzi dla webmasterów.

Każdy element może mieć innego właściciela, abonenta albo licencjobiorcę. Dlatego jedno ogólne zdanie w ofercie nie wystarcza.

Domena: najbezpieczniej na dane firmy

Domena nie jest zwykle kupowana jak rzecz na własność bezterminowo. Rejestrujesz prawo do posługiwania się nazwą na określonych zasadach i odnawiasz je. Dokładne pojęcia zależą od końcówki oraz regulaminu rejestru i rejestratora.

Praktyczna zasada dla firmy jest prosta:

• abonentem domeny powinna być firma lub osoba, która faktycznie prowadzi działalność;
• konto powinno używać e-maila kontrolowanego przez firmę;
• firma powinna znać rejestratora i termin odnowienia;
• wykonawca może otrzymać ograniczony dostęp techniczny, ale nie powinien być jedyną osobą zdolną odzyskać konto;
• dane do odzyskiwania i uwierzytelnianie wieloskładnikowe powinny pozostać pod kontrolą firmy.

Jeśli wykonawca rejestruje domenę w Twoim imieniu, poproś przed startem o informację, kto zostanie wpisany jako abonent i jak konto zostanie przekazane.

Hosting i poczta: konto firmy, opieka wykonawcy

Hosting może być rozliczany bezpośrednio przez firmę albo odsprzedawany w ramach opieki. Oba modele mogą działać, lecz ich konsekwencje powinny być jawne.

W modelu bezpośrednim firma ma konto u dostawcy, opłaca faktury i nadaje wykonawcy dostęp administracyjny lub techniczny. Ułatwia to zmianę opiekuna.

W modelu zarządzanym wykonawca utrzymuje wiele stron na swoim koncie. Może to upraszczać obsługę, ale umowa powinna wyjaśniać:

• czy i w jakim terminie można przenieść stronę;
• co klient otrzyma po zakończeniu współpracy;
• jak pobrać kopię plików, bazy i poczty;
• czy są opłaty migracyjne;
• co stanie się po braku płatności;
• kto odpowiada za kopie i odtwarzanie;
• gdzie znajdują się dane i kto jest ich dostawcą.

Skrzynka używana do zarządzania domeną nie powinna istnieć wyłącznie w tej samej domenie bez dodatkowego sposobu odzyskania. Awaria DNS lub wygaśnięcie domeny mogłyby odciąć również możliwość odzyskania konta.

Projekt, kod i treści: zapisz prawa w umowie

Zapłata faktury nie zawsze automatycznie oznacza przeniesienie wszystkich autorskich praw majątkowych. Sposób korzystania z utworu, pola eksploatacji, moment przejścia praw albo rodzaj licencji powinny zostać opisane przez prawnika w umowie dopasowanej do projektu.

Rozdziel co najmniej:

1. Elementy wykonane specjalnie dla klienta — np. indywidualny projekt, teksty i fotografie.
2. Komponenty wykonawcy używane wielokrotnie — np. biblioteka bloków lub własny framework.
3. Oprogramowanie zewnętrzne — np. WordPress, wtyczka, motyw, font lub zdjęcie stockowe, używane według własnej licencji.
4. Materiały klienta — logo, opisy, zdjęcia i znaki, za które odpowiada klient.

Umowa powinna odpowiadać, czy możesz modyfikować projekt, zlecić rozwój innej osobie, przenieść instalację i nadal używać płatnych komponentów po zakończeniu opieki.

WordPress jest otwarty, ale dodatki mogą mieć osobne zasady

Sam WordPress jest oprogramowaniem open source. Nie oznacza to jednak, że każda grafika, font, wtyczka premium albo dostęp do aktualizacji jest bezwarunkowo „na zawsze”.

Przy każdym płatnym dodatku ustal:

• nazwę produktu i jego zastosowanie;
• kto kupuje licencję;
• na czyim koncie jest przypisana;
• czy licencja jest jednorazowa czy odnawiana;
• co przestanie działać po wygaśnięciu;
• czy klient może przejąć odnowienie;
• czy cena opieki zawiera dalszy dostęp do aktualizacji.

Brak aktualizacji może z czasem tworzyć ryzyko bezpieczeństwa. Nie wybieraj komponentu tylko dlatego, że pierwszy rok jest w cenie.

Konta zewnętrzne, o których łatwo zapomnieć

Przy przekazaniu sprawdź również:

• Google Search Console;
• narzędzie analityczne i menedżer tagów;
• profil firmy w mapach;
• Bing Webmaster Tools;
• konto systemu zgód;
• usługę wysyłającą formularze lub SMTP;
• mapy, system rezerwacji i czat;
• CDN oraz ochronę DNS;
• repozytorium kodu;
• bibliotekę zdjęć i pliki źródłowe;
• narzędzia do monitorowania dostępności.

Firma powinna być właścicielem organizacji lub konta, a wykonawca — zaproszonym użytkownikiem z rolą potrzebną do pracy. Wspólne logowanie jednym hasłem utrudnia późniejsze odebranie dostępu i ustalenie, kto wykonał zmianę.

Jakie dostępy odebrać po wdrożeniu?

Nie przesyłaj haseł w otwartym e-mailu ani w dokumencie, który będzie latami leżał w skrzynce. Użyj menedżera haseł lub jednorazowego, bezpiecznego kanału przekazania. Po odbiorze zmień hasła tymczasowe i włącz uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne.

Minimalny pakiet zależy od modelu współpracy, ale może obejmować:

Nie każdy klient potrzebuje pełnych uprawnień serwerowych do codziennej pracy. Powinien jednak wiedzieć, gdzie są dane i na jakich warunkach odzyska pełną kontrolę.

Protokół przekazania: co powinien zawierać?

Protokół nie musi ujawniać samych haseł. Może potwierdzać, że określone konta przekazano osobnym bezpiecznym kanałem. Uwzględnij:

• nazwę projektu i datę;
• listę domen, serwerów i usług;
• właściciela każdego konta;
• listę zaproszonych administratorów;
• terminy oraz koszty odnowień;
• licencje i ich ograniczenia;
• miejsce kopii zapasowych;
• przekazane instrukcje;
• otwarte błędy lub prace do wykonania;
• datę końca gwarancji lub wsparcia;
• osoby potwierdzające odbiór.

Czerwone flagi przed podpisaniem umowy

Zatrzymaj się i wyjaśnij sytuację, gdy:

• wykonawca nie chce powiedzieć, na kogo zarejestruje domenę;
• wszystkie usługi mają być na prywatnym e-mailu wykonawcy bez drogi przejęcia;
• oferta obiecuje „pełną własność”, ale nie definiuje składników;
• nie otrzymujesz nazwy używanych płatnych dodatków;
• przeniesienie strony ma być niemożliwe, choć wcześniej tego nie wyjaśniono;
• nie ma zasad zakończenia współpracy i eksportu danych;
• wykonawca żąda jednego wspólnego hasła do wszystkich usług;
• nie wiadomo, kto odpowiada za odnowienia i kopie.

Nie każda niejasność oznacza złą intencję. Jest jednak powodem, by uzyskać odpowiedź na piśmie przed wpłatą.

Co zrobić, jeśli domena jest już na wykonawcę?

Najpierw zbierz dokumenty: faktury, umowę, korespondencję, dane domeny i potwierdzenia płatności. Nie rozpoczynaj od groźby lub samodzielnej próby przejęcia konta.

Poproś o:

1. wskazanie rejestratora i obecnego abonenta;
2. zmianę danych abonenta albo procedurę transferu;
3. kod autoryzacyjny, jeśli wymaga go transfer danej domeny;
4. zachowanie konfiguracji DNS podczas przenosin;
5. pisemne potwierdzenie terminu i odpowiedzialności.

Procedura różni się zależnie od końcówki domeny i dostawcy. W sporze dotyczącym praw do nazwy lub wykonania umowy potrzebna może być indywidualna pomoc prawna.

Najbezpieczniejszy model współpracy

Firma jest właścicielem głównych kont i rozliczeń, a wykonawca otrzymuje osobny dostęp potrzebny do pracy. Umowa opisuje prawa do każdego typu materiału, licencje zewnętrzne i zasady wyjścia. Po wdrożeniu powstaje protokół, a konta są zabezpieczone 2FA.

Taki model nie oznacza, że klient musi sam administrować serwerem. Pozwala korzystać z opieki technicznej bez uzależnienia istnienia firmy w internecie od jednego loginu i jednej osoby.