Администрирование сайта

Администрирование сайта — это не только «зайти в панель и поменять текст». Это управление доступами, ролями, обновлениями, бэкапами, DNS и связью с хостингом так, чтобы редакторы могли работать с контентом, а критичные настройки не трогали случайно или злонамеренно. Хаос в доступах дорого стоит: уволенный подрядчик с единственным admin-аккаунтом, стажёр с правами установки плагинов, общий пароль от FTP в переписке трёхлетней давности.

Реестр доступов: что хранить и у кого

• Регистратор домена, DNS, почта для продления
• Хостинг / облако, биллинг, SSH, панель управления
• CMS: учётки по ролям, не один «общий админ»
• Сторонние сервисы: CRM, рассылки, аналитика, платежи
• Дата последней ротации паролей и кто инициировал

Роли: редактор не должен быть админом

Минимально достаточная модель: редактор публикует материалы и меняет медиа в рамках шаблона; менеджер контента управляет структурой разделов; технический администратор — плагины, пользователи, интеграции; суперадмин — один-два человека у заказчика. Чем шире права у контент-команды, тем выше риск, что случайное обновление плагина «для иконки» положит checkout.

1. Выдать редактору роль без установки плагинов и правки темы
2. Отдельные учётки для подрядчиков с сроком действия и пометкой в реестре
3. Запретить shared-аккаунты; при уходе сотрудника — отключение, а не смена пароля «для всех»
4. Логировать входы в админку там, где платформа это позволяет

Календарь обновлений

Обновления ядра, модулей и PHP лучше планировать, а не реагировать на панику «вышла критическая уязвимость». Ежемесячное окно обслуживания согласуется с бизнесом: не в день старта акции. В календаре фиксируются версии до и после, список проверенных сценариев и ответственный за откат. Срочные патчи безопасности проходят ускоренный, но тот же чек-лист — экономия на проверке оборачивается инцидентом.

Бэкапы как часть администрирования

• Автоматические бэкапы файлов и БД с хранением вне основного сервера
• Проверка восстановления на тестовом окружении
• Понимание, что не входит в бэкап (например, внешние медиа на CDN)
• Процедура «как восстановить за 30 минут» в одном документе

Передача сайта новому подрядчику или сотруднику

При передаче создают новые учётки, проверяют список активных сессий, отключают старые API-ключи интеграций и выдают секреты через менеджер паролей, а не файлом в почте. Юридически важно, чтобы владелец домена и хостинга оставался у заказчика — иначе «администрирование» превращается в зависимость от одного человека.

Журналы и соответствие требованиям

Если сайт собирает персональные данные, администрирование включает сроки хранения логов, политику cookies и актуальность текстов согласия на формах. Технически это означает: не копить бесконечно логи с IP и телефонами, ограничить доступ к выгрузкам заявок, шифровать бэкапы при передаче. Редакторы не должны скачивать базу клиентов «для удобства» в Excel на личный ноутбук — такие практики ломают и безопасность, и доверие при проверках.

Аккуратное администрирование не видно на главной странице, но именно оно определяет, переживёт ли сайт смену команды, всплеск трафика и очередное обновление без потери заявок.

Аудит админки раз в полгода

Даже при хороших ролях со временем накапливаются лишние плагины, тестовые страницы в индексе, неиспользуемые учётки интеграций и устаревшие cron-задачи. Полугодовой аудит занимает несколько часов: пройти список пользователей, отключить мёртвые расширения, проверить robots и noindex на служебных URL, сверить список доменов в сертификатах. Это дешевле, чем разбирать последствия «кто-то включил индексацию для /test/ три месяца назад».

1. Список активных плагинов/модулей и дата последнего обновления каждого
2. Проверка открытых директорий и прав на upload
3. Сверка DNS-записей с фактическим хостингом после любых переездов
4. Удаление или архивация черновых сайтов на поддоменах dev/stage