Blog · 7 listopada 2026 · 10 min czytania

Strona po zmianie wykonawcy: lista dostępów, które musisz mieć (i jak sprawdzić, czy je masz)

Scenariusz powtarza się co tydzień: agencja podnosi cenę albo przestaje odbierać telefon, freelancer wyjeżdża, wspólnik odchodzi z firmy – i nagle okazuje się, że domena jest zarejestrowana na jego nazwisko, hosting opłacany z jego karty, a hasło administratora zna tylko on. Strona „jest Twoja”, bo za nią zapłaciłeś, ale nie masz do niej żadnego klucza. Ten tekst to lista kluczy: dziewięć warstw dostępu, które musisz mieć niezależnie od tego, kto stronę robi i utrzymuje, test na 15 minut, który pokazuje, których brakuje, i procedura przejęcia, gdy współpraca się kończy.

To nie jest porada prawna. Fragment o prawie autorskim opisuje stan prawny na listopad 2026 r. w uproszczeniu; w sporze z wykonawcą skonsultuj się z prawnikiem.

Mieć stronę a mieć dostęp do strony

Strona firmowa to nie jedna rzecz, tylko stos usług od różnych dostawców, z których każda ma własne konto, własne hasło i własnego „właściciela” w systemie. Kiedy wszystko działa, tego nie widać. Widać dopiero wtedy, gdy trzeba coś zmienić bez udziału osoby, która to konfigurowała. Zasada, która porządkuje całą resztę: każde konto, od którego zależy strona, powinno być założone na adres e-mail Twojej firmy i opłacane z Twojego konta. Wykonawca dostaje do niego dostęp – jako użytkownik, manager, współpracownik – a nie odwrotnie. Jeżeli dziś jest odwrotnie, to nie znaczy, że wykonawca jest nieuczciwy. Znaczy tylko, że przy rozstaniu każda z tych usług będzie wymagała jego dobrej woli.

Dziewięć warstw dostępu

Domena: jedyna warstwa, której nie da się odbudować

Hosting można zmienić w dzień, CMS zainstalować od nowa, konto Google założyć w pięć minut. Domeny nie da się „założyć od nowa” – jeśli abonentem jest ktoś inny, to on decyduje, dokąd prowadzi adres z Twoich wizytówek, i on dostaje przypomnienia o odnowieniu. Dlatego to pierwsza rzecz do sprawdzenia.

• Abonent to ten, kto jest wpisany w rejestrze, nie ten, kto płaci faktury. Dla domen .pl rejestr prowadzi NASK i – jak pisze na swojej stronie – zmiany dotyczące domeny wykonuje się wyłącznie na wniosek abonenta. Przeniesienie obsługi do innego rejestratora wymaga kodu authinfo, który abonent pobiera od obecnego rejestratora, i potwierdzenia linkiem z e-maila wysłanego do abonenta; sam transfer nie zmienia abonenta, zmienia tylko firmę obsługującą domenę. Jeśli abonentem jest wykonawca, bez jego udziału nie ruszysz ani obsługi, ani danych abonenta.
• Konto u rejestratora powinno być na e-mail firmowy, do którego masz dostęp niezależnie od tej domeny (rejestrator pisze tam o wygasaniu; jeśli skrzynka jest w tej samej domenie, po jej wygaśnięciu nie dostaniesz nawet ostrzeżenia).
• Po zmianie abonenta domeny globalnej (.com, .net i inne objęte polityką ICANN) rejestrator musi nałożyć 60-dniową blokadę przeniesienia do innego rejestratora (może pozwolić z niej zrezygnować, ale tylko przed zmianą). ICANN przyjął w czerwcu 2026 r. zmiany, które mają tę blokadę znieść, ale nie mają jeszcze daty wdrożenia – na dziś planuj kolejność: najpierw zmiana abonenta, potem ewentualna przeprowadzka, albo odwrotnie, ale z dwumiesięcznym odstępem.
• Data wygaśnięcia jest publiczna (WHOIS). Wpisz ją do kalendarza firmowego, nie tylko w pamięć wykonawcy. Nasz Monitor sprawdza ją codziennie i pisze 30, 14 i 7 dni przed końcem.

CMS: jedno konto administratora to za mało, dwa obce to za dużo

W WordPressie i większości systemów administrator może wszystko: tworzyć innych administratorów, zmieniać im e-maile i hasła, instalować wtyczki, usuwać treści. To znaczy dwie rzeczy. Po pierwsze, musisz mieć własne konto administratora – na firmowy e-mail, z włączonym logowaniem dwuskładnikowym – a nie „konto, do którego wykonawca da Ci hasło”. Po drugie, musisz znać listę pozostałych administratorów, bo każdy z nich może Ci to konto odebrać. Lista użytkowników z kontami byłych pracowników agencji, praktykantów i „test” to norma na stronach utrzymywanych od kilku lat; przy przejęciu zostawiasz swoje konto i konto aktualnego opiekuna, resztę degradujesz lub usuwasz.

Osobny temat to licencje płatnych wtyczek i motywów. Agencje często kupują licencję deweloperską „na wiele stron” i rejestrują na swoje konto. Strona działa, ale aktualizacje bezpieczeństwa przychodzą tylko tak długo, jak długo agencja opłaca licencję i strona jest na jej liście. Po rozstaniu wtyczka zostaje – bez aktualizacji. Sprawdź w panelu, które składniki są płatne, i albo przepisz licencje na siebie, albo zaplanuj ich wykup.

Google: kto jest właścicielem, a kto tylko użytkownikiem

W Search Console właścicielem jest każdy, kto zweryfikował stronę – tagiem w kodzie, rekordem DNS albo plikiem na serwerze – i może dodawać innych. Google pisze to wprost: żeby usunąć zweryfikowanego właściciela, trzeba usunąć jego znacznik ze strony – inaczej „usunięty właściciel będzie mógł ponownie zweryfikować własność”. Listę użytkowników i nieużywane znaczniki znajdziesz w Ustawieniach, w sekcji „Użytkownicy i uprawnienia” (widzą ją tylko właściciele); jeśli weryfikacja szła przez Analytics lub Tag Managera, trzeba odebrać uprawnienia także tam. W Profilu Firmy w Google (wizytówka w Mapach) są właściciele i menedżerowie: menedżer robi prawie wszystko, ale nie może dodawać ani usuwać użytkowników, a usuwać innych właścicieli mogą tylko właściciele. Profil ma dokładnie jednego właściciela głównego, który może przekazać tę rolę dalej – upewnij się, że to konto firmy, nie agencji marketingowej sprzed trzech lat. Analytics i Tag Manager mają własne listy użytkowników z rolą administratora; przejrzyj je przy okazji. Jak sprawdzić, czy wizytówka i strona mówią to samo, opisaliśmy osobno.

Czyja to właściwie strona? Prawo autorskie w trzech zdaniach

Zapłacenie faktury za „wykonanie strony” nie przenosi automatycznie praw autorskich do projektu graficznego, kodu motywu czy tekstów. Ustawa o prawie autorskim wymaga, by umowa o przeniesienie autorskich praw majątkowych była zawarta na piśmie pod rygorem nieważności i wymieniała pola eksploatacji, których dotyczy; jeśli z umowy nie wynika wyraźnie, że prawa przechodzą, przyjmuje się, że wykonawca udzielił jedynie licencji – a licencja, w której nie postanowiono inaczej, uprawnia do korzystania z utworu przez pięć lat. W praktyce: bez pisemnego zapisu o przeniesieniu praw możesz używać strony, ale jej przerobienie przez kogoś innego, przeniesienie na nowy motyw z zachowaniem grafik czy użycie projektu w innym miejscu może wymagać zgody byłego wykonawcy. Do tego dochodzą zdjęcia stockowe i czcionki – licencje bywają kupione na konto agencji i obejmują „jej klientów” tylko na czas współpracy. Przy nowej umowie wpisz przeniesienie praw (albo szeroką licencję) do kodu i grafik, przekazanie plików źródłowych i listę licencji zewnętrznych. Przy starej – zapytaj, co dokładnie jest w umowie, zanim zaczniesz przebudowę.

Jak przejąć dostępy bez wojny

1. Zrób listę z tabeli powyżej, zanim powiesz wykonawcy o rozstaniu. Wypełnij to, co wiesz; resztę oznacz jako „do przekazania”.
2. Poproś o przekazanie, nie o hasła. Do każdej usługi niech wykonawca doda Twoje firmowe konto z najwyższą rolą (właściciel / administrator / abonent). Przekazywanie haseł e-mailem to zły pomysł z obu stron: Ty nie wiesz, kto jeszcze je zna, on nie ma dowodu, że je oddał.
3. Zmień to, co trzeba było przekazać hasłem (FTP, baza, panel hostingu bez kont wielu użytkowników) natychmiast po przejęciu i zapisz w menedżerze haseł firmy.
4. Odbierz uprawnienia dopiero wtedy, gdy nowy opiekun potwierdzi, że wszystko działa – kolejność „najpierw dostęp dla nowego, potem odebranie staremu” oszczędza tygodnia przestoju. Przy okazji usuń konta, których nikt nie rozpoznaje.
5. Zakończ dokumentem: lista przekazanych dostępów z datą, potwierdzenie przekazania kopii plików i bazy, lista licencji i co się z nimi dzieje. Jedna strona A4, podpisana przez obie strony, załatwia 90 % późniejszych sporów.

Gdy wykonawca nie współpracuje, kolejność działań wynika z warstw: jeśli domena jest Twoja, masz w ręku najważniejszy klucz – możesz przekierować ją na nowy hosting, odzyskać dostęp do kont Google przez e-mail w domenie i odbudować resztę. Jeśli domena jest na niego, zacznij od pisemnego wezwania do zmiany abonenta (umowa, faktury i korespondencja pokazujące, że domena była kupowana dla Twojej firmy, są tu dowodem) i rozmowy z rejestratorem o procedurze sporu. Hosting i CMS odtworzysz z kopii – o ile ją masz; dlatego punkt 5 tabeli nie jest opcjonalny.

Test na 15 minut

• Sprawdź WHOIS swojej domeny: rejestrator, data wygaśnięcia. Zaloguj się do panelu rejestratora. Jeśli nie wiesz, gdzie – to już jest wynik testu.
• Otwórz ostatnią fakturę za hosting. Kto jest nabywcą? Czy znasz adres panelu?
• Zaloguj się do CMS i otwórz listę użytkowników. Ilu administratorów? Czyje e-maile? Czy Twoje konto ma rolę administratora?
• Otwórz Search Console → Ustawienia → Użytkownicy i uprawnienia oraz Profil Firmy → Użytkownicy. Kto jest właścicielem?
• Policz, ile z dziewięciu warstw zależy wyłącznie od jednej osoby spoza firmy. Każda taka warstwa to zadanie na ten miesiąc.

Co sprawdzamy w Webskanie

Dostępów do kont nie widać z zewnątrz, więc nie sprawdzimy, czy je masz. Widzimy za to skutki ich braku. Audyt pogłębiony rozpoznaje platformę i wersje oprogramowania widoczne w nagłówkach (nieaktualizowany CMS po odejściu opiekuna to typowy obraz), sprawdza certyfikat TLS i jego wystawcę, nagłówki bezpieczeństwa, przekierowania domeny i to, czy pod adresem strony nie leżą publicznie dostępne kopie, zrzuty bazy i pliki konfiguracyjne pozostawione przy przeprowadzce. Webskan Monitor codziennie sprawdza datę wygaśnięcia domeny i certyfikatu, pisze 30, 14 i 7 dni przed końcem domeny, alarmuje, gdy strona zacznie przekierowywać w inne miejsce lub przestanie odpowiadać – czyli dokładnie wtedy, gdy po rozstaniu z wykonawcą coś cicho wygasło.

Źródła

• Ustawa z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. 2025 poz. 24), tekst w systemie ELI Sejmu – art. 41 ust. 2 (pola eksploatacji), art. 53 (forma pisemna pod rygorem nieważności), art. 65 (domniemanie licencji), art. 66 ust. 1 (pięć lat)
• NASK, Transfer domeny .pl – kod authinfo od obecnego rejestratora, potwierdzenie przez abonenta, transfer nie zmienia abonenta
• ICANN, Transfer Policy (wersja z 21 lutego 2024 r., sekcja II.C.2: 60-dniowa blokada po zmianie abonenta) oraz uchwała Zarządu ICANN z 7 czerwca 2026 r. przyjmująca rekomendacje przeglądu polityki transferów
• Google Search Console – Centrum pomocy, Zarządzanie właścicielami, użytkownikami i uprawnieniami – usuwanie właściciela wymaga usunięcia znacznika weryfikacyjnego
• Profil Firmy w Google – Centrum pomocy, Dodawanie i usuwanie właścicieli i menedżerów – jeden właściciel główny, uprawnienia menedżera
• WordPress, Roles and Capabilities – administrator: create_users, edit_users, promote_users, install_plugins
• Webskan: Kopia zapasowa strony: co naprawdę masz, Certyfikat SSL wygasa, Profil Firmy w Google a Twoja strona, Co sprawdzić po wdrożeniu nowej strony