Jak bezpiecznie udostępnić wykonawcy dostęp do hostingu i odebrać go po zakończeniu prac

Wykonawca poprawiający stronę internetową może potrzebować dostępu do plików, bazy danych, systemu CMS albo wybranych ustawień hostingu. Najprostszym rozwiązaniem wydaje się przesłanie mu loginu i hasła do głównego panelu.

Jest to jednak dostęp, który często pozwala zarządzać nie tylko jedną stroną, ale również pocztą firmową, domenami, kopiami zapasowymi, bazami danych i innymi usługami znajdującymi się na koncie.

Bezpieczniejsze rozwiązanie polega na utworzeniu osobnego dostępu przeznaczonego wyłącznie do konkretnego zlecenia. Wykonawca powinien otrzymać tylko te uprawnienia, które są mu rzeczywiście potrzebne, a po zakończeniu prac konto należy usunąć lub zablokować.

Najpierw trzeba ustalić, do czego wykonawca potrzebuje dostępu

Określenie „potrzebuję dostępu do hostingu” jest zbyt ogólne. Czasami wykonawca musi jedynie zmienić kilka plików strony. Innym razem potrzebuje bazy danych, konfiguracji domeny albo możliwości tworzenia kopii zapasowej.

Przed przekazaniem danych warto zapytać:

• jakie dokładnie prace będą wykonywane;
• czy potrzebny jest dostęp do panelu hostingu;
• czy wystarczy osobne konto do plików;
• czy potrzebny jest dostęp do bazy danych;
• czy zmiany obejmują pocztę, domenę albo DNS;
• czy wykonawca będzie instalował nowe oprogramowanie;
• jak długo dostęp ma pozostać aktywny;
• czy prace mogą zostać wykonane na kopii strony.

Nie należy udostępniać głównego konta administratora

Główne konto do panelu hostingu zwykle ma najszersze uprawnienia. Może pozwalać na usuwanie stron, zmianę haseł, tworzenie skrzynek e-mail, pobieranie kopii danych, zarządzanie bazami i modyfikowanie ustawień technicznych.

Przekazanie takiego konta utrudnia również późniejsze ustalenie, kto wykonał konkretną zmianę. Jeśli z jednego loginu korzysta właściciel firmy, pracownik i zewnętrzny programista, historia logowania nie wskazuje jednoznacznie osoby odpowiedzialnej.

Osobne konto dla wykonawcy pozwala:

• ograniczyć zakres dostępnych funkcji;
• rozpoznać działania konkretnej osoby;
• zablokować dostęp bez zmieniania danych właściciela;
• ustalić oddzielne hasło i dodatkowe zabezpieczenia;
• usunąć konto natychmiast po zakończeniu prac.

Zasada najmniejszych uprawnień

Podstawową zasadą bezpiecznego udostępniania usług jest przyznanie najmniejszego zakresu uprawnień potrzebnego do wykonania zadania. Dostęp nie powinien być nadawany „na wszelki wypadek”.

Wykonawca odpowiedzialny za pliki jednej strony może otrzymać dostęp tylko do jej katalogu. Osoba zajmująca się bazą danych nie musi jednocześnie zarządzać pocztą. Grafik edytujący treści w systemie CMS nie potrzebuje konta pozwalającego instalować rozszerzenia albo usuwać innych administratorów.

Panel hostingu, CMS i domena to różne dostępy

Właściciele stron często traktują wszystkie dane logowania jako jeden „dostęp do strony”. W rzeczywistości można wyróżnić kilka niezależnych poziomów:

• konto u rejestratora domeny;
• panel hostingu;
• dostęp do plików strony;
• dostęp do bazy danych;
• konto administratora w systemie CMS;
• panel zarządzania pocztą;
• zewnętrzne usługi DNS;
• repozytorium kodu;
• narzędzia analityczne i reklamowe.

Do prostych zmian w treści często wystarczy konto w systemie CMS. Do poprawy kodu potrzebny może być dostęp do plików. Panel hostingu jest potrzebny dopiero wtedy, gdy zadanie obejmuje ustawienia serwera, wersję PHP, certyfikat lub zadania automatyczne.

Osobne konto w panelu hostingu

Niektóre panele hostingowe pozwalają utworzyć dodatkowego użytkownika i przypisać mu określoną rolę. Można w ten sposób udostępnić zarządzanie plikami albo bazą bez przekazywania głównego hasła.

Podczas tworzenia konta warto nadać mu nazwę wskazującą wykonawcę lub projekt. Ułatwi to późniejsze rozpoznanie dostępu.

Trzeba sprawdzić, jakie uprawnienia faktycznie obejmuje dana rola. Nazwa „użytkownik techniczny” nie gwarantuje, że konto nie ma dostępu do poczty, kopii zapasowych albo wszystkich domen.

Osobne konto do plików strony

Jeżeli wykonawca ma tylko przesłać lub zmienić pliki, nie zawsze potrzebuje panelu administracyjnego hostingu. Można utworzyć osobne konto do transferu plików i ograniczyć jego katalog do wybranej strony.

W przypadku kilku witryn znajdujących się na jednym hostingu jest to szczególnie ważne. Osoba pracująca nad jednym serwisem nie powinna widzieć plików pozostałych stron.

Jeżeli hosting umożliwia korzystanie z SFTP, warto wybrać ten protokół zamiast zwykłego FTP. Jeśli dostępne jest tylko rozwiązanie oparte na FTP, należy korzystać z wersji szyfrowanej, czyli FTPS.

Nie każde dodatkowe konto obsługuje SFTP

Możliwości zależą od konfiguracji hostingu. W niektórych panelach dodatkowe konto plikowe może działać wyłącznie jako FTP lub FTPS, natomiast połączenie SFTP wymaga konta z dostępem SSH.

Nie należy włączać dostępu do powłoki serwera tylko po to, aby wykonawca mógł użyć konkretnego programu. Dostęp SSH daje zwykle znacznie większe możliwości niż samo przesyłanie plików.

Dostęp do bazy danych powinien być ograniczony

Zmiana strony może wymagać dostępu do bazy danych. Nie oznacza to jednak, że trzeba przekazywać główne konto administratora wszystkich baz znajdujących się na serwerze.

Jeżeli panel na to pozwala, warto utworzyć osobnego użytkownika przypisanego tylko do jednej bazy. Powinien otrzymać wyłącznie uprawnienia potrzebne do wykonania zlecenia.

Po zakończeniu prac konto bazy należy usunąć albo zmienić jego hasło. Trzeba też pamiętać, że dane dostępowe mogą zostać zapisane w programie wykonawcy, historii poleceń albo pliku konfiguracyjnym.

Osobne konto w systemie CMS

Do aktualizacji tekstów, zdjęć i podstawowej konfiguracji często wystarczy konto w systemie zarządzania treścią. Nie każdy wykonawca potrzebuje najwyższej roli administratora.

Osoba wprowadzająca artykuły może otrzymać rolę redaktora. Wykonawca odpowiedzialny za sklep może potrzebować dostępu do zamówień i produktów, ale niekoniecznie do instalowania wtyczek i zarządzania użytkownikami.

Jeśli najwyższe uprawnienia są konieczne, powinny zostać nadane tylko na czas prac.

Kopia zapasowa przed rozpoczęciem prac

Przed przekazaniem dostępu trzeba wykonać aktualną kopię strony, bazy danych i ważnych ustawień. Kopia powinna być możliwa do przywrócenia, a nie jedynie widoczna na liście w panelu.

Warto sprawdzić:

• kiedy wykonano ostatni backup;
• czy obejmuje pliki i bazę danych;
• jak długo kopie są przechowywane;
• czy można pobrać je poza serwer;
• jak wygląda procedura przywracania;
• czy wykonawca ma możliwość usuwania istniejących kopii.

Przynajmniej jedna kopia powinna znajdować się poza miejscem, w którym prowadzone są prace.

Najbezpieczniej pracować na kopii testowej

Jeżeli zmiany są rozbudowane, warto utworzyć kopię testową strony. Wykonawca może wtedy modyfikować kod, wtyczki i bazę bez bezpośredniego wpływu na działający serwis.

Środowisko testowe nie powinno jednak stać się publicznie dostępną kopią zawierającą dane klientów, zamówienia i formularze.

Przed przeniesieniem zmian na właściwą stronę trzeba sprawdzić, które elementy mają zostać skopiowane.

Hasło powinno być unikalne i tymczasowe

Dla konta wykonawcy należy utworzyć nowe hasło, które nie jest wykorzystywane w żadnej innej usłudze. Nie powinno to być główne hasło właściciela firmy ani jego lekko zmieniona wersja.

Jeśli panel umożliwia uwierzytelnianie wieloskładnikowe, warto je włączyć.

Po zakończeniu zlecenia osobne konto najlepiej usunąć. Sama zmiana hasła jest potrzebna wtedy, gdy wykonawca korzystał ze wspólnego konta albo poznał dane używane przez inne systemy.

Jak bezpiecznie przekazać dane?

Najlepszym rozwiązaniem jest udostępnienie danych za pomocą menedżera haseł, jednorazowego sekretu albo innego narzędzia pozwalającego ograniczyć czas dostępu.

Przekazanie loginu i hasła oddzielnymi kanałami można potraktować wyłącznie jako rozwiązanie awaryjne. Nie zapewnia ono pełnej ochrony, jeśli oba kanały są dostępne na tym samym przejętym urządzeniu.

Nie należy wysyłać hasła w publicznej grupie komunikatora, dokumencie współdzielonym ze wszystkimi pracownikami ani arkuszu przechowywanym bez dodatkowego zabezpieczenia.

Dostęp do domeny i DNS tylko wtedy, gdy jest konieczny

Część prac wymaga dodania rekordu DNS, zmiany serwerów nazw albo potwierdzenia własności domeny. Są to działania mające wpływ nie tylko na stronę, ale często również na pocztę firmową.

Jeżeli zmiana jest niewielka, wykonawca może przesłać dokładne dane rekordu, a właściciel lub administrator wprowadzi je samodzielnie.

Nie należy przekazywać kodów potrzebnych do transferu domeny ani zmieniać danych właściciela na dane wykonawcy.

Poczta firmowa wymaga szczególnej ochrony

Panel hostingu może umożliwiać tworzenie skrzynek, zmianę haseł, ustawianie przekierowań i odczytywanie konfiguracji poczty.

Wykonawca strony zwykle nie potrzebuje dostępu do poczty. Jeżeli ma skonfigurować wysyłkę formularza, można utworzyć osobną skrzynkę techniczną albo przekazać wyłącznie dane potrzebne do konkretnego połączenia.

Po zakończeniu prac należy sprawdzić, czy nie pozostawiono nowych przekierowań, dodatkowych kont lub zmienionych adresów odbiorców formularzy.

Instalowanie rozszerzeń i zewnętrznych usług

Wykonawca może chcieć zainstalować wtyczkę, moduł, system statystyk, narzędzie do kopii zapasowych albo połączyć stronę z zewnętrznym serwisem.

Przed instalacją warto ustalić:

• do czego służy narzędzie;
• jakie dane będzie przetwarzać;
• kto będzie właścicielem konta;
• czy usługa jest płatna;
• na jaki adres e-mail zostanie zarejestrowana;
• jak usunąć integrację po zakończeniu współpracy;
• czy tworzy dodatkowe klucze dostępowe.

Konto usługi wykorzystywanej przez firmę powinno należeć do firmy, a nie do prywatnego profilu wykonawcy.

Warto ustalić termin ważności dostępu

Dostęp powinien zostać utworzony tuż przed rozpoczęciem prac i usunięty po ich zakończeniu. Nie należy zakładać konta kilka miesięcy wcześniej ani pozostawiać go bezterminowo „na wypadek poprawek”.

W ustaleniach z wykonawcą warto zapisać:

• jakie konta zostaną udostępnione;
• do czego mogą być wykorzystywane;
• kto może z nich korzystać;
• czy dostęp może być przekazany podwykonawcy;
• kiedy konto zostanie zablokowane;
• jak wykonawca ma zgłaszać potrzebę dodatkowych uprawnień;
• jakie dane powinien usunąć po zakończeniu prac.

Rejestrowanie zmian

Przed rozpoczęciem prac warto zapisać aktualne ustawienia oraz listę aktywnych kont. Po zakończeniu łatwiej będzie zauważyć nowe elementy, które nie powinny pozostać.

Wykonawca powinien przekazać krótką informację o wykonanych działaniach, obejmującą między innymi:

• zmienione pliki i ustawienia;
• zainstalowane rozszerzenia;
• utworzone konta;
• dodane zadania automatyczne;
• nowe bazy i użytkowników baz;
• zmiany w DNS;
• zewnętrzne integracje;
• miejsce przechowywania kopii zapasowej.

Co zrobić po zakończeniu prac?

Odebranie dostępu nie powinno ograniczać się do usunięcia jednego konta w CMS. Trzeba przejrzeć wszystkie miejsca, do których wykonawca otrzymał dane lub w których mógł utworzyć własny dostęp.

Kontrola powinna objąć:

• dodatkowych użytkowników panelu hostingu;
• konta FTP, FTPS, SFTP i SSH;
• konta administratorów CMS;
• użytkowników baz danych;
• klucze SSH;
• tokeny API;
• konta w zewnętrznych usługach;
• repozytoria kodu;
• ustawienia DNS;
• przekierowania poczty;
• sesje zalogowanych urządzeń;
• konta testowe i kopie strony.

Jeżeli wykonawca znał główne hasło, należy je zmienić. Trzeba także zmienić wszystkie inne hasła, w których wykorzystano ten sam lub podobny ciąg znaków.

Usunięcie konta nie zawsze odbiera cały dostęp

Wykonawca mógł dodać klucz SSH, token do wdrażania plików, połączenie z repozytorium albo aplikację korzystającą z API.

Dlatego po zakończeniu współpracy trzeba sprawdzić także dostęp programowy. Nieużywane klucze i tokeny należy unieważnić, a aktywne integracje przypisać do kont kontrolowanych przez firmę.

Warto również zakończyć aktywne sesje logowania, jeśli panel oferuje taką funkcję.

Kontrola strony po wykonaniu zlecenia

Przed ostatecznym zamknięciem dostępu należy sprawdzić działanie serwisu. Kontrola powinna obejmować najważniejsze podstrony, formularze, logowanie, wysyłkę poczty, certyfikat i kopie zapasowe.

Warto również:

• sprawdzić listę nowych administratorów;
• usunąć zbędne pliki instalacyjne i testowe;
• wyłączyć tryb debugowania;
• usunąć publicznie dostępne kopie bazy;
• sprawdzić zadania automatyczne;
• przejrzeć ostatnie logowania;
• potwierdzić działanie backupu;
• zaktualizować wewnętrzną listę dostępów.

Stała opieka techniczna wymaga osobnych zasad

Inaczej wygląda jednorazowa poprawka, a inaczej stała obsługa strony. Przy długoterminowej współpracy konto wykonawcy może pozostać aktywne, ale nadal powinno być osobne, odpowiednio ograniczone i regularnie kontrolowane.

Co pewien czas warto sprawdzać, czy wykonawca nadal potrzebuje wszystkich uprawnień. Zakres prac może się zmienić, a dostęp nadany rok wcześniej nie musi być nadal uzasadniony.

Bezpieczny dostęp nie musi utrudniać współpracy

Tworzenie osobnych kont i ograniczanie uprawnień może wymagać kilku dodatkowych minut, ale pozwala uniknąć znacznie poważniejszych problemów.

Najważniejsze zasady są proste: nie udostępniać głównego konta, przyznawać tylko potrzebne uprawnienia, wykonać kopię zapasową, korzystać z szyfrowanych połączeń i usuwać dostęp po zakończeniu pracy.

Wykonawca powinien otrzymać narzędzia potrzebne do realizacji zadania, ale nie pełną kontrolę nad całym zapleczem firmy. Takie podejście zabezpiecza stronę, pocztę, domenę i dane klientów, a jednocześnie pozwala sprawnie prowadzić prace techniczne.