Разработчик пропал: как забрать сайт и передать его на поддержку

Разработчик третью неделю не отвечает, а на сайте нужно поменять телефон. Или вы решили сменить подрядчика и выяснили, что пароль от хостинга есть только у прежнего. Ниже — как проверить, на кого оформлены домен и хостинг, что делать, если домен оформлен на разработчика (с учётом правил украинских доменных зон), и что проверяет новая команда, когда вы передаёте сайт на поддержку.

Доступы к сайту: что должно быть у вас

У сайта больше десятка отдельных доступов. До разговора с разработчиком заполните таблицу и по каждой строке отметьте: доступ есть, доступа нет, не знаю.

Отдельно впишите подключённые к сайту сервисы: платёжный эквайринг, CRM, службы доставки, SMS-рассылки. Каждый работает через ключ или учётную запись, которую разработчик мог завести на себя.

Если домен и хостинг оформлены на вашу компанию, админка, база, файлы и Search Console возвращаются через них. Труднее всего, когда регистрант домена — разработчик.

Домен: на кого оформлен и как его вернуть

Что показывает WHOIS

Домены в украинских зонах (.ua, com.ua, kiev.ua и других) проверяйте через WHOIS на сайте Hostmaster — администратора домена .UA. Для .com и других международных зон есть официальный сервис ICANN Lookup (lookup.icann.org).

Важны три поля:

• registrar — регистратор, то есть компания, у которой обслуживается домен;
• expires — дата, до которой домен оплачен;
• nserver — DNS-серверы домена. По ним видно, где редактируются записи домена: у регистратора, у хостинга или в Cloudflare.

Данные регистранта скрыты, в поле будет «not published». Кто регистрант, скажет только сам регистратор — после обращения в его поддержку с документами компании.

Сначала проверьте дату окончания

Посмотрите поле expires до переписки с разработчиком. Просроченный домен опаснее подрядчика, который не отдаёт пароль: вместе с доменом пропадают почта, ссылки и позиции в поиске.

В зонах реестра Hostmaster (.UA, com.ua и другие) домен не исчезает в день окончания. По регламенту он ещё 30 суток остаётся в DNS в статусе автопродления. Если регистратор домен удалил, следующие 30 суток его можно восстановить через того же регистратора, затем домен удаляется окончательно. Для .UA заявку на восстановление подают не позже чем за 14 суток до конца этого срока: заявки проверяют вручную, и домен могут удалить раньше, чем заявку рассмотрят. У регистраторов на каждом этапе свои условия и цены, так что на этот запас не рассчитывайте.

Некоторые провайдеры принимают оплату без входа в аккаунт — у ukraine.com.ua это называется анонимной оплатой. Так домен продлевают, пока идут переговоры.

Если регистрант — вы

Логин и почта от кабинета регистратора остались у разработчика. Напишите в поддержку регистратора, приложите реквизиты ФОП или юрлица и документы о полномочиях. Регистратор сверит, что обращается настоящий регистрант, и вернёт доступ к кабинету. Затем смените почту в кабинете на корпоративную и включите двухфакторную аутентификацию.

Если регистрант — разработчик

Без участия разработчика такой домен к вам обычно не перейдёт (исключения — домен .UA при вашей торговой марке и спор по процедуре UA-DRP, о них ниже). Добровольная передача возможна двумя способами.

1. Смена регистранта у того же регистратора. Для .UA Hostmaster описывает переделегирование домена: нужны письменные заявления текущего и будущего регистрантов и заверенные копии документов о передаче прав на торговую марку или о лицензии на неё.
2. Перенос к другому регистратору. Регистратор выдаёт регистранту код трансфера (в регламенте Hostmaster — пароль доменного объекта, он же EPP-код). В реестре Hostmaster код действует 30 суток, потом его запрашивают заново. Перенос меняет только регистратора, регистрантом остаётся разработчик, поэтому сразу после переноса оформите смену регистранта на свою компанию (для .UA — с документами на торговую марку).

Особенность зоны .UA

Короткий домен вида company.ua делегируют только владельцу или лицензиату торговой марки, охраняемой в Украине, и написание домена должно совпадать с маркой. Для com.ua, kiev.ua и других публичных доменов такого требования нет.

Если марка принадлежит вашей компании, позиция у вас сильная. Например, ukraine.com.ua для передачи домена .UA просит заявление и нотариально заверенную копию свидетельства на торговую марку, связывается с текущим владельцем и переносит домен в ваш аккаунт, если тот не приведёт весомых возражений. Если марка оформлена не на вас, а домен .UA записан на разработчика, идите к юристу: разбираться придётся по документам на марку.

Для споров о доменах .UA, com.ua и ряда других украинских зон (kiev.ua, org.ua, многие региональные; полный список — на сайте Hostmaster) есть внесудебная процедура UA-DRP: споры рассматривает Центр арбитража и посредничества ВОИС, у заявителя должны быть права на торговую марку. Подходит ли она вам, скажет юрист.

Хостинг на разработчике: админка и код

Провайдер выдаёт доступ только владельцу аккаунта. База знаний ukraine.com.ua формулирует это прямо: получить доступ к хостингу или домену может только владелец услуг, посторонним не отдадут даже резервную копию сайта. Поэтому при любом доступе к хостингу резервную копию делайте сразу. Там же сказано: при переносе домена к вам хостинг остаётся у прежнего владельца.

Как выяснить, у кого хостинг:

• письма от провайдера, счета и платёжки в бухгалтерии — по ним видно, кто и куда платил;
• DNS-записи домена: A-запись указывает на IP-адрес сервера, по нему определяется провайдер;
• договор с разработчиком: иногда хостинг прописан в нём отдельной услугой.

Если хостинг ваш, а доступа в админку нет, пароль восстанавливается без разработчика. В WordPress ссылка «Забыли пароль?» поможет, только если почта администратора ваша. Иначе пароль меняют через базу данных, WP-CLI или FTP — способы перечислены в официальной инструкции WordPress. На других движках доступ администратора тоже восстанавливают через базу и файлы сайта. Правку базы поручите специалисту.

Если разработчик вёл проект в Git, в репозитории может лежать то, чего нет на сервере: исходники стилей и скриптов до сборки, история изменений, настройки выкладки на сервер. Передать репозиторий на GitHub может только администратор репозитория; история и обсуждения задач при этом сохраняются, старые ссылки перенаправляются на новый адрес. Если разработчик пропал совсем, а хостинг доступен, код забирают с сервера — без истории изменений.

Сайт на конструкторе (Tilda, Wix и подобных) хранится внутри аккаунта конструктора, и передать его может только тот, кто входит в этот аккаунт. В Tilda сайт передают из его настроек действием «Передать сайт на другой аккаунт», и только на оплаченный аккаунт. Если владелец аккаунта не отвечает, остаётся скопировать тексты и изображения с опубликованного сайта и собрать сайт заново — на конструкторе или на CMS.

Порядок действий, если доступы у разработчика

Этот порядок мы советуем, даже если разработчик, скорее всего, объявится через неделю.

1. Заполните таблицу из первого раздела. Запишите, что известно о каждом доступе, с датами.
2. Проверьте даты окончания домена и хостинга. Если осталось меньше месяца, продление важнее переговоров.
3. Не меняйте DNS. Смена DNS-серверов домена (поле nserver) без копии старых записей ломает почту, подтверждения прав в сервисах Google и SPF-запись, без которой письма с вашего домена чаще попадают в спам.
4. Сделайте резервную копию всего, до чего есть доступ. Файлы, база данных, выгрузка заказов и клиентов из админки, тексты и изображения. Храните её вне хостинга.
5. Отправьте разработчику письменный запрос. Его содержание — в следующем разделе.
6. Если ответа нет, обратитесь к регистратору и хостингу с документами — только по услугам, оформленным на вас. Пригодятся договор, акты, счета, оплаты с вашего счёта, переписка о работах, реквизиты компании. По аккаунту разработчика провайдер доступ не выдаст, остаются переговоры и юрист.
7. Подключите юриста, если разработчик отказывает или ставит условия. Требование «сначала доплатите» — уже спор, и вести его в мессенджере не стоит. Не платите «за возврат доступов» сразу: сверьтесь с таблицей и выясните, что на самом деле есть у разработчика. Бывает, у него только старый пароль от хостинга, а домен оформлен на вас.
8. Меняйте пароли и удаляйте чужие учётные записи только после резервной копии. После неудачной смены пароля провайдер или прежний владелец аккаунта может закрыть вам доступ, и копировать будет не из чего.

Если нет ничего — ни домена, ни хостинга, ни резервной копии, — сайт придётся собирать заново. Публичную часть (тексты, изображения, структуру адресов) можно взять с работающего сайта или из веб-архива archive.org. Заказы, клиентов и настройки закрытой части так не вернуть. Структуру адресов сохраните: без редиректов со старых страниц на новые позиции в поиске пропадут.

Как запросить передачу у разработчика

Разработчик часто пропадает без злого умысла: сменил работу, уехал, обиделся на задержку оплаты или забыл, что держит ваш домен. Поэтому первое письмо пишите спокойно и конкретно. Вместо «дайте доступы» перечислите, что нужно:

• домен: регистратор, логин от кабинета регистратора; если регистрант он — согласие на смену регистранта или код трансфера;
• хостинг: провайдер, доступ к панели хостинга, FTP/SFTP, SSH; если аккаунт его — свежая полная резервная копия сайта и базы;
• админка: адрес входа и учётная запись администратора на вашу почту;
• Google Search Console, Analytics, Tag Manager, Merchant Center: права владельца или администратора для вашего Google-аккаунта;
• рекламные кабинеты: права администратора для вашего аккаунта;
• репозиторий: передача в аккаунт компании или архив с историей;
• лицензии платных плагинов, тем и модулей;
• список нестандартных доработок, задач по расписанию (cron) и подключённых сервисов с их ключами;
• срок ответа — например, пять рабочих дней.

Отправьте письмо на электронную почту, даже если обычно общались в Telegram: переписка понадобится регистратору или юристу. Базу с данными клиентов просите передать архивом по защищённому каналу, а не вложением в мессенджер.

Юридических советов здесь нет намеренно: кому принадлежат права на код и дизайн, определяют ваш договор и закон. Если договориться не удаётся, покажите договор юристу до отправки претензий разработчику.

Search Console и Analytics без разработчика

Search Console. Владельцем ресурса становится любой, кто подтвердит права. Ресурс уровня домена подтверждается только через DNS-запись, поэтому сначала верните доступ к DNS. Google пишет прямо: после подтверждения прав прежних владельцев можно лишить статуса. Удалить прежнего владельца из списка недостаточно: пока на сайте или в DNS остаётся его проверочный код (HTML-файл в корне сайта, метатег в коде страницы, TXT-запись в DNS), его счётчик Google Analytics или контейнер Tag Manager, он может подтвердить права снова. Удалите его коды, чужие счётчик и контейнер замените своими.

Google Analytics 4. Пользователей добавляет только администратор. Если администратора с доступом нет, Google описывает процедуру восстановления: на сайт загружают файл analytics.txt с заданным текстом, адресом почты, идентификатором измерения (вида G-XXXXXXX) и датой, затем обращаются в поддержку через форму. Доказать нужно владение всеми сайтами и приложениями, которые отправляют данные в аккаунт Analytics, и связанными аккаунтами Google Ads; частичного подтверждения недостаточно. Новый ресурс на своём аккаунте создать можно, но история останется в старом.

Google Tag Manager. Для него такой процедуры нет, об этом сказано на той же странице. Если контейнер принадлежит разработчику, который не отвечает, создайте новый на своём аккаунте, настройте теги заново и замените код контейнера на сайте.

Приём сайта на поддержку: что проверяют

Сайт, который годами никто не обслуживал, может сломаться от первого обновления. Поэтому в первый день ничего не обновляют — сначала проверка.

Доступы и резервные копии

Команда убеждается, что все доступы из таблицы работают и оформлены на вас, затем проверяет резервные копии: где лежат, когда сделаны последние, разворачиваются ли. Архив, который ни разу не восстанавливали на тестовом сервере, может оказаться пустым или битым. Плагин резервного копирования, который складывает архивы в папку на том же сервере, тоже не защитит: при аварии сервера пропадут и сайт, и архивы.

Версии CMS, PHP и базы данных

Ориентиры на момент публикации:

• WordPress. Актуальный выпуск — 7.1.4; в ветке 7.1 wordpress.org поддерживает только последнюю версию. Рекомендуемая среда — PHP 8.3 и выше, MySQL 8.0+ или MariaDB 10.11+.
• PHP. Ветка 8.1 перестала получать исправления безопасности 31 декабря 2025 года, ветка 8.2 перестанет 31 декабря 2026 года. Подробно о сроках и действиях — в статье «PHP 8.1/8.2 без поддержки».

Сайт на PHP 7.4 и старой CMS не переводят на новые версии в первый день: план обновления составляют сразу, а выполняют после резервной копии и проверки на тестовой версии сайта.

Плагины, модули и чужие правки

Ищут:

• плагины и модули, которые давно не обновлялись или удалены из каталога;
• «нулёные» платные плагины — взломанные копии без лицензии: обновлений они не получают и нередко заражены;
• правки прямо в файлах ядра или родительской темы.

WordPress рекомендует вносить правки через дочернюю тему. Если разработчик правил родительскую тему напрямую, первое обновление темы сотрёт его правки, поэтому их сначала находят и переносят.

Безопасность

Проверяют список администраторов (неизвестные учётные записи встречаются часто), подозрительные файлы и странные редиректы. Отдельно смотрят журнал отладки: WordPress пишет его в файл wp-content/debug.log, а документация не рекомендует включать отладку на рабочем сайте. В журнале бывают пути к файлам и фрагменты данных, которые посторонним видеть не нужно. При заметных признаках взлома закажите полноценный аудит безопасности сайта.

Затем, как в шаге 8, меняют пароли администраторов, базы данных и FTP, удаляют учётные записи прежнего подрядчика, отзывают его SSH-ключи и ключи API в подключённых сервисах.

Сервер, почта и SEO-база

• Кому принадлежит сервер, хватает ли места на диске, какие задачи стоят в cron, когда истекает SSL-сертификат.
• Настроены ли SPF и DKIM для почты домена. Без них письма с сайта чаще попадают в спам.
• Куда уходят заявки с форм. Бывает, копия каждой заявки годами приходит на почту разработчика.
• Не закрыт ли сайт от индексации. В WordPress это галочка «Попросить поисковые системы не индексировать сайт» в разделе «Настройки → Чтение», после запуска её иногда забывают снять.
• robots.txt, карта сайта, редиректы, ошибки индексации в Search Console.
• Платёжный модуль: не остался ли в тестовом режиме после запуска.
• Тестовая заявка и тестовый заказ с телефона: приходит ли письмо, проходит ли оплата, не разъезжается ли мобильная версия. Скорость загрузки измеряют в Google PageSpeed Insights.

По итогам у вас должен появиться короткий документ: где лежит сайт, какие доступы у кого, что нашли, что исправить срочно, а что запланировать.

Доработать или переделать

Мы советуем дорабатывать, если сайт работает на распространённой CMS (например, WordPress), проблемы локальные, а сайт приносит заявки и держит позиции в поиске. Переделку стоит обсуждать в трёх случаях:

• сайт на самописной системе, исходного кода нет или без автора в нём не разобраться;
• CMS и PHP настолько старые, что обновление по объёму равно новой разработке;
• структура и дизайн больше не подходят бизнесу.

При переделке сохраните адреса страниц или настройте редиректы со старых на новые, иначе позиции в поиске пропадут.

Как не попасть в эту ситуацию снова

Правило одно: всё, что стоит денег или влияет на работу бизнеса, оформляется на компанию, а подрядчик получает доступ как пользователь.

• Домен регистрируйте на свою компанию или ФОП, кабинет регистратора — на корпоративную почту, которая останется у вас после ухода любого сотрудника.
• Хостинг или сервер арендуйте на свой аккаунт; разработчику выдайте отдельного пользователя или ключ, а не свой пароль.
• В админке у каждого человека своя учётная запись. При одной общей учётной записи admin нельзя понять, кто что изменил, и отключить одного человека без смены пароля для всех.
• Search Console, Analytics и Tag Manager создавайте со своего Google-аккаунта, подрядчику выдавайте права пользователя.
• Платные плагины и модули покупайте на свою почту.
• Пароли храните в менеджере паролей, у регистратора и хостинга включите двухфакторную аутентификацию.
• Раз в квартал проверяйте, что резервная копия существует, свежая и лежит не на том же сервере.
• В договоре перечислите, что подрядчик передаёт по завершении работ: код, доступы, документацию, резервные копии. Формулировки о правах на код согласуйте с юристом.

Если подрядчик против такой схемы, спросите, почему: технических причин держать домен и хостинг на себе у него нет.

Частые вопросы

Можно ли забрать домен, если разработчик не отвечает? Если регистрант — ваша компания или ФОП, да: доступ к кабинету вернёт регистратор по документам. Если регистрант — разработчик, обычно нужно его участие; исключения — домен .UA при вашей торговой марке и процедура UA-DRP. Пока идёт переписка, следите за датой expires и при возможности продлите домен анонимной оплатой.

Сколько ждать ответа, прежде чем действовать? Нисколько. Дату окончания домена проверяют и резервную копию делают в первый же день, параллельно с письмом.

Потеряем ли позиции в поиске при смене подрядчика? Сама смена подрядчика на позиции не влияет, пока домен и адреса страниц прежние. Риск появляется при переделке сайта или смене домена — тогда нужны редиректы со старых адресов на новые.

Как поможет RIVERIT

Берём на техническую поддержку сайты на WordPress, а также проекты на Laravel и Django. Серверы (VPS или выделенные) арендуются на ваш аккаунт: аккаунт и оплата остаются у вас, администрирование сервера берём на себя. В поддержку входят обновления CMS и плагинов (обычно раз в месяц), резервные копии, мониторинг сайта и домена и технический SEO; для клиентов на поддержке реакция — до 1 часа. Продление домена и хостинга в поддержку не входит: эти услуги оформлены на вашу компанию, и платите за них вы. Если при передаче найдутся следы взлома, займёмся восстановлением сайта после взлома и предложим аудит безопасности.