Kto powinien mieć dostęp do strony, domeny i konta reklamowego?

Firma powinna zachować kontrolę nad domeną, hostingiem i kluczowymi kontami, a wykonawcom nadawać osobne dostępy odpowiednie do zadania. Osoba publikująca treści nie musi zarządzać serwerem, a odbiorca raportu reklamowego nie potrzebuje pełnych uprawnień. Ustal właściciela każdego zasobu, możliwość odzyskania dostępu i sposób odebrania uprawnień po zakończeniu współpracy.

Autor publikacji: Darek · Publikacja: 5 listopada 2026, godz. 09:00

Strona działa, faktury są opłacane, reklama przynosi zapytania. Dopiero odejście pracownika albo zmiana agencji pokazuje, że nikt w firmie nie wie, kto ma dostęp do rejestratora domeny. Część kont powstała na prywatnych adresach, a jedno wspólne hasło krążyło między kolejnymi wykonawcami. Uporządkowanie tego stanu warto zacząć, zanim pojawi się awaria.

Ten poradnik pomaga podzielić odpowiedzialność i przygotować listę kontrolną. Opisuje zasady organizacji dostępów, nie audyt konkretnej strony. Przykłady są hipotetyczne. Nazwy oraz możliwości ról należy potwierdzić w używanej usłudze, ponieważ wtyczki, ustawienia organizacji i umowy mogą zmieniać dostępny zakres.

Czym różni się kontrola firmy od dostępu wykonawcy?

Firma powinna móc odzyskać zasób, zmienić wykonawcę i utrzymać ciągłość działania. Nie oznacza to, że właściciel ma codziennie logować się do każdego panelu. Oznacza, że znana jest odpowiedzialna osoba, dane rozliczeniowe są właściwe, a ścieżka odzyskiwania nie zależy wyłącznie od prywatnego telefonu lub skrzynki zewnętrznego specjalisty.

Wykonawca potrzebuje uprawnień do uzgodnionej pracy. Grafik może dostarczać materiały bez konta w WordPressie. Redaktor może publikować teksty bez instalowania wtyczek. Administrator techniczny może potrzebować szerszego dostępu, ale powinien korzystać z własnej tożsamości, a nie z hasła właściciela przekazanego wszystkim osobom w projekcie.

Spisz, kto podejmuje decyzję o nadaniu i odebraniu uprawnienia. Rozdziel osobę zatwierdzającą zakres od osoby wykonującej zmianę, jeśli firma ma taką możliwość. W małym zespole role mogą łączyć się u jednej osoby, lecz ustalenie nadal powinno być jasne. Ważne, aby prośba „potrzebuję dostępu” kończyła się określeniem celu i zakresu.

Jakie konta trzeba uwzględnić poza WordPressem?

Zacznij od domeny: kto jest abonentem, u jakiego rejestratora się znajduje, kto otrzymuje informacje o odnowieniu i kto może zmieniać ustawienia. Sama możliwość zalogowania się do strony nie daje kontroli nad domeną. Ustal również, kto zarządza DNS, czyli rekordami kierującymi ruch do strony i poczty. Te funkcje mogą znajdować się u różnych dostawców.

Następnie sprawdź hosting, kopie zapasowe i pocztę. Konto hostingowe może pozwalać na odczyt plików, bazy i skrzynek, dlatego nie przekazuj go automatycznie każdej osobie edytującej treść. Dowiedz się, czy dostawca umożliwia delegowanie wybranych funkcji. Jeśli nie, uzgodnij wykonanie potrzebnej czynności przez administratora zamiast rozsyłać główne hasło.

Osobno zinwentaryzuj reklamę, analitykę, narzędzia do zarządzania tagami i wyszukiwaniem. Dostęp do jednego systemu nie oznacza uprawnień do wszystkich powiązanych usług. Przejrzyj również zewnętrzne integracje i konta techniczne. Nie muszą mieć widocznego użytkownika w panelu WordPressa, a mimo to mogą odczytywać dane lub wykonywać zmiany.

Szerszy obraz elementów witryny pokazuje artykuł o tym, co kryje się pod powierzchnią strony internetowej. W przeglądzie dostępów każdy z tych elementów powinien mieć opiekuna i sposób przekazania obsługi.

Jak dobrać role w WordPressie?

WordPress rozdziela zadania za pomocą ról i uprawnień. Według oficjalnej dokumentacji ról WordPressa administrator pojedynczej witryny ma szeroki dostęp do jej ustawień, redaktor zarządza publikacjami także innych autorów, autor może publikować własne wpisy, a współpracownik przygotowuje własne treści bez samodzielnej publikacji. To punkt wyjścia, nie gwarancja identycznego działania każdej instalacji.

Dobierz rolę do realnego zakresu. Jeśli osoba ma przygotować szkic tekstu do akceptacji, uprawnienie administracyjne jest nieproporcjonalne. Jeśli ma aktualizować system i rozwiązywać awarie, sama rola autora nie wystarczy. Rozmawiaj o czynnościach: publikowanie, edycja cudzych materiałów, zarządzanie użytkownikami lub instalowanie oprogramowania.

Po nadaniu konta sprawdź jego zachowanie na zadaniu testowym. Potwierdź, że użytkownik może zrobić to, co uzgodniono, i nie otrzymał niepotrzebnych możliwości. Wtyczki potrafią dodawać własne role lub zmieniać istniejące uprawnienia. Dlatego nazwa roli w arkuszu nie zastępuje sprawdzenia aktualnej konfiguracji.

Jaki dostęp powinna otrzymać agencja Google Ads?

Najpierw ustal, czy agencja ma tylko analizować wyniki, prowadzić kampanie, czy również obsługiwać kwestie administracyjne. Google opisuje różnice w dokumentacji poziomów dostępu do Google Ads. Dostęp do odczytu, standardowy i administracyjny mają różny zakres; rozliczenia również wymagają sprawdzenia właściwych uprawnień.

W praktyce udzielaj dostępu przez mechanizm użytkowników lub właściwe połączenie konta menedżera. Firma powinna wiedzieć, kto ma dostęp administracyjny i jak zakończyć współpracę. Sam fakt, że kampanię prowadzi agencja, nie uzasadnia oddania jej wyłącznej kontroli nad kontem i odzyskiwaniem dostępu.

Odbiorcy miesięcznego raportu zwykle nie potrzebują możliwości zmiany kampanii. Z kolei specjalista od reklam może potrzebować dodatkowego, odrębnie ustalonego dostępu do analityki lub tagów, aby sprawdzić pomiar. Nie utożsamiaj tych uprawnień z dostępem do hostingu, poczty czy wszystkich treści strony. Każdy zakres powinien mieć uzasadnienie.

Dlaczego osobne konta są lepsze od wspólnego hasła?

Osobne konto pozwala odebrać dostęp jednej osobie bez zmiany sposobu logowania całego zespołu. Ułatwia też powiązanie działania z konkretną tożsamością, o ile dany system zapisuje odpowiednie zdarzenia. Wspólne hasło utrudnia odpowiedź na pytanie, kto wykonał zmianę i kto nadal może korzystać z dostępu.

Nie przesyłaj hasła właściciela w wiadomości do grupy ani nie zapisuj go w otwartym arkuszu projektu. Używaj zaproszeń i delegowania ról. Gdy usługa wymaga przechowywania sekretu technicznego, stosuj zatwierdzony firmowy menedżer haseł lub magazyn sekretów z ograniczonym dostępem. Rejestr uprawnień powinien wskazywać miejsce zarządzania, a nie zawierać sam sekret.

Kont integracyjnych również nie traktuj jako jednego wspólnego konta do wszystkiego. Jeśli usługa na to pozwala, rozdziel połączenia według przeznaczenia i nadaj tylko potrzebne prawa. Wtedy wyłączenie jednej integracji nie musi wymagać zmiany wszystkich pozostałych. Dostęp techniczny powinien mieć opiekuna tak samo jak konto człowieka.

Jak zadbać o drugi składnik i odzyskiwanie dostępu?

Włącz dostępne, odpowiednie zabezpieczenie logowania i sprawdź plan odzyskiwania. Google w instrukcji weryfikacji dwuetapowej opisuje różne metody, w tym klucze dostępu oraz klucze bezpieczeństwa. Nie przekazuj nikomu kodów weryfikacyjnych ani zapasowych w odpowiedzi na wiadomość lub telefon podszywający się pod pomoc techniczną.

Zapytaj, co stanie się po zgubieniu telefonu, odejściu pracownika lub niedostępności głównej skrzynki. Potrzebna jest metoda zgodna z możliwościami dostawcy i zasadami organizacji. Unikaj sytuacji, w której odzyskanie dostępu wymaga wejścia do tej samej skrzynki, która przestała działać z powodu awarii domeny.

Zabezpieczenia sprawdzaj w kontrolowany sposób, bez celowego blokowania jedynego administratora. Potwierdź, że firma zna ścieżkę pomocy dostawcy, dysponuje wymaganymi informacjami i ma uprawnioną osobę zastępującą. Nie twórz nadmiarowych kont administracyjnych bez uzasadnienia; celem jest ciągłość, nie mnożenie szerokich dostępów.

Co wpisać do rejestru dostępów?

Dla każdego zasobu zapisz nazwę usługi, cel, odpowiedzialną osobę w firmie, użytkowników, zakres praw i datę przeglądu. Dopisz, kto zatwierdził dostęp i kiedy powinien się skończyć. Przy współpracy projektowej termin zakończenia lub warunek odebrania uprawnień jest szczególnie pomocny.

Rejestr nie musi opisywać wszystkich szczegółów technicznych. Powinien pozwalać odpowiedzieć: kto ma dostęp, po co i kto potrafi go odebrać. Nie umieszczaj w nim haseł, tokenów, kodów odzyskiwania ani pełnych danych osobowych, jeśli nie są potrzebne do celu. Dostęp do samego rejestru również ogranicz do osób, które go utrzymują lub kontrolują.

Przegląd uruchamiaj po zmianie pracownika, wykonawcy lub zakresu obowiązków oraz w ustalonym rytmie okresowym. Szukaj kont bez właściciela, dawnych zaproszeń, nieużywanych integracji i szerokich uprawnień nadanych „na chwilę”. Samo odhaczenie przeglądu nie wystarczy: potwierdź aktualny stan w panelach usług.

Jak zakończyć współpracę bez utraty strony i danych?

Przed odłączeniem wykonawcy odbierz uzgodnione materiały, informacje o konfiguracji i listę zależności. Sprawdź, czy firma może zalogować się do kluczowych usług i czy właściwa osoba widzi potrzebne zasoby. Odbierz również informację o odnowieniach, licencjach i kopiach zapasowych. Sam komplet plików strony nie gwarantuje możliwości utrzymania jej działania.

Następnie odbierz zbędne uprawnienia: konta użytkowników, połączenia menedżerskie, integracje oraz inne mechanizmy wskazane w rejestrze. Jeżeli wcześniej współdzielono hasło, zaplanuj jego zmianę i sprawdź zależności. Nie usuwaj automatycznie konta autora razem z jego publikacjami; sposób zachowania treści wymaga świadomej decyzji w danym systemie.

Na końcu wykonaj odbiór podstawowych funkcji: strona, kontakt, pomiar lub kampanie w zakresie, którego dotyczyła zmiana. Zachowaj potwierdzenie odebrania dostępu i listę spraw pozostających u wykonawcy. Jeżeli występuje podejrzenie przejęcia konta, priorytety są inne niż przy spokojnym przekazaniu obsługi i potrzebna jest procedura reagowania na incydent.

Jak wygląda poprawne przekazanie dostępu w małej firmie?

Przykład hipotetyczny: dotychczasowa agencja kończy obsługę strony i reklam. Firma wyznacza opiekuna przekazania. Najpierw potwierdza kontrolę nad kontem rejestratora i poprawność danych abonenta domeny. Następnie sprawdza własny dostęp do hostingu, WordPressa i konta reklamowego. Nowa osoba techniczna otrzymuje osobne konto o uzgodnionym zakresie, a pracownik odpowiedzialny za publikacje rolę odpowiednią do pracy redakcyjnej. Każdy zasób ma swojego właściciela oraz wskazane zastępstwo.

Przed odebraniem poprzednich uprawnień firma porównuje listę kont z rzeczywistymi panelami. Sprawdza również połączenia agencji i integracje, ponieważ mogą działać niezależnie od zwykłego logowania użytkownika. Potwierdza dostęp do kopii oraz materiałów potrzebnych do dalszej obsługi. Jeśli domena albo konto jest formalnie związane z wykonawcą, samo utworzenie nowego loginu nie rozwiązuje sprawy: sposób przekazania wymaga osobnego wyjaśnienia z wykonawcą i dostawcą.

Odbiór kończy się krótkim zapisem: kto przejął zasób, jakie uprawnienia pozostały i które dostępy odebrano. Sprawdzenie obejmuje także osobne sesje lub klucze, jeśli używana usługa je udostępnia. Firma potwierdza działanie strony, dostarczenie kontrolnego zgłoszenia i dostęp do kampanii. Dopiero taki zestaw daje podstawę do zamknięcia przekazania. Sama deklaracja wykonawcy „wszystko oddane” pozostawia zbyt wiele niewiadomych.

Od jakiego kroku zacząć dzisiaj?

Ustal właścicieli domeny, hostingu, WordPressa i konta reklamowego. Następnie sprawdź, czy firma ma potwierdzony sposób odzyskania kontroli oraz czy każdy wykonawca korzysta z własnego dostępu. Nie zmieniaj wszystkiego jednocześnie. Rozpocznij od brakujących informacji i zbędnych uprawnień, których zależności są znane.

Jeżeli porządkujesz zaplecze witryny przy jej rozwoju, zobacz projektowanie stron internetowych w DigitalXperts. Do rozmowy przygotuj listę usług i ról, bez haseł. To pozwala ustalić zakres przekazania i odpowiedzialności przed rozpoczęciem zmian.

Dokumentację WordPress i Google oraz odnośniki sprawdzono 14 października 2026. Wskazówki dotyczą organizacji pracy; nie potwierdzają bezpieczeństwa konkretnej instalacji ani praw do zasobu wynikających z indywidualnej umowy.