U heeft een bureau of freelancer gevonden die uw website gaat onderhouden, aanpassen of doormeten. Dan komt de mail: “Kun je ons even de inloggegevens sturen?” En daar begint het ongemak. U wilt de samenwerking niet meteen moeilijk maken, maar u weet ook dat u zojuist gevraagd wordt om de sleutels van uw digitale voordeur op te sturen.
Het goede nieuws: toegang geven aan een webbureau kan prima veilig, zonder dat het gedoe wordt. Het vraagt alleen dat u vooraf drie minuten nadenkt over wát u geeft, in plaats van alles in één keer weg te geven. Hieronder tien punten die u afloopt, en het punt dat de meeste ondernemers pas missen als de samenwerking eindigt.
Eerst: er zijn drie soorten toegang, niet één
Bureaus vragen vaak in één adem om “de gegevens van de website”. In werkelijkheid zijn dat drie gescheiden dingen, met heel verschillende gevolgen als ze in verkeerde handen komen.
- Het WordPress-beheerderspaneel. Hiermee beheert iemand inhoud, plugins en instellingen. Voor de meeste werkzaamheden is dit genoeg.
- De hosting. Toegang tot het serverpaneel, FTP/SFTP en de database. Nodig voor verhuizingen, herstelwerk en diepere ingrepen. Hiermee kan iemand ook uw e-mail herconfigureren.
- De domeinnaam. Het account bij uw registrar. Hiermee kan iemand uw domein verhuizen of naar een andere server laten wijzen. Dit geeft u eigenlijk nooit weg.
Vraag dus altijd terug: waar heeft u precies toegang toe nodig, en waarvoor? Een goed bureau beantwoordt die vraag zonder aarzeling. Wie geïrriteerd reageert op een redelijke vraag over toegang, is waarschijnlijk ook geen prettige partner als er iets misgaat.
De checklist
1. Maak een apart account, deel nooit uw eigen account. Ga naar Gebruikers → Nieuwe gebruiker en maak een account op naam van het bureau, met hun eigen e-mailadres. Zo ziet u in de logboeken wie wat heeft gedaan en kunt u later precies dat ene account intrekken. Uw eigen wachtwoord blijft van u.
2. Geef de laagste rol die het werk mogelijk maakt. Voor onderhoud en updates is beheerder nodig. Voor iemand die alleen teksten of blogs verzorgt is redacteur genoeg. Welke rol bij welke taak hoort staat in een apart artikel; de kern is dat u niet standaard beheerder uitdeelt.
3. Stuur het wachtwoord niet per e-mail of WhatsApp. Laat WordPress de uitnodigingsmail versturen, of gebruik een deelfunctie van een wachtwoordmanager met een vervaldatum. Berichtenapps bewaren gegevens jarenlang op telefoons waar u geen zicht op heeft.
4. Zet tweestapsverificatie aan, ook voor hun account. Een externe partij logt in vanaf wisselende locaties en netwerken. Juist daar is een tweede factor waardevol. Vraag ernaar; professionele partijen doen dit uit zichzelf.
5. Maak een back-up voordat iemand begint. Niet uit wantrouwen, maar omdat de eerste ingreep in een onbekende site het meeste risico draagt. Controleer dat u die back-up ook zelf kunt terugzetten, los van de partij die aan het werk gaat.
6. Geef hostingtoegang alleen als het echt nodig is, en dan met een eigen account. De meeste hostingpartijen kennen subaccounts of technisch beheerders. Maak er een aan in plaats van uw hoofdaccount te delen. Kan uw hostingpartij dat niet, dan is dat op zichzelf een reden om eens rond te kijken.
7. Geef geen toegang tot uw domeinregistrar. Moet er een DNS-record aangepast worden, laat het bureau dan precies opschrijven welk record, welk type en welke waarde, en voer het zelf in. Dat kost u vijf minuten en houdt uw domein onder eigen controle.
8. Leg de werkafspraken kort vast. Wie mag wat wijzigen zonder overleg, wat gaat eerst langs u, en op welke manier wordt gemeld dat er iets veranderd is. Eén A4 of een mail met de afspraken volstaat; het gaat erom dat het ergens staat.
9. Regel een verwerkersovereenkomst als er persoonsgegevens in het spel zijn. Bij een website met formulieren, klantaccounts of bestellingen komt de externe partij bij gegevens van uw klanten. De AVG vraagt dan om afspraken op papier. Een serieus bureau heeft daar een standaarddocument voor liggen.
10. Noteer wat u heeft weggegeven. Een eenvoudig lijstje: welke accounts, bij welke systemen, aangemaakt op welke datum, voor welke partij. Zonder dat lijstje weet u over anderhalf jaar niet meer wat er allemaal openstaat.
Het punt dat men vergeet: intrekken
De samenwerking eindigt, het project is af, of het bureau draagt over aan een opvolger. Dan blijft het account bijna altijd staan. Wij komen bij websites die we overnemen geregeld drie of vier beheerdersaccounts tegen van partijen die er al jaren niet meer bij horen. Niemand die het kwaad bedoelt, maar het zijn wel evenzovele openstaande deuren.
Maak van beëindigen een handeling in plaats van iets wat vanzelf gebeurt. Concreet: verwijder of degradeer het WordPress-account, trek het hostingsubaccount in, verander wachtwoorden die u ooit gedeeld heeft, en controleer of er nog SSH-sleutels of API-koppelingen actief zijn. Kijk ook even bij Plugins of er onderhoudssoftware van het bureau in de site zit die na hun vertrek zonder licentie komt te staan.
Vraag daarnaast om een overdracht: waar staan de back-ups, welke premium plugins zijn er, op wiens naam staan de licenties, en zijn er aanpassingen in de code gedaan die een opvolger moet weten. Dat is een redelijk verzoek en bij een nette partij een kwestie van één document.
Een kort voorbeeld uit de praktijk
Een installatiebedrijf uit Zwolle liet een marketingbureau een campagne bouwen. Het bureau kreeg beheerderstoegang en zette daarbij drie plugins neer voor landingspagina’s en tracking. Na afloop van de campagne stopte de samenwerking, maar de plugins bleven, de licenties liepen af en het bureauaccount bleef actief.
Anderhalf jaar later gaf een verlopen plugin een foutmelding op het contactformulier. Bij het uitzoeken bleek dat niemand wist waarom die software er stond. De oplossing was niet ingewikkeld: uitzoeken, verwijderen, account intrekken. Maar het had drie weken aan gemiste offerteaanvragen gekost, simpelweg omdat er nooit was afgesloten wat ooit was geopend.
Tot slot
Loop de checklist bij uw volgende samenwerking van boven naar beneden af; het kost een kwartier. Werkt u al met een externe partij, doe dan vandaag punt tien met terugwerkende kracht: open uw gebruikerslijst en schrijf op welke accounts van buitenstaanders zijn en of ze er nog horen te zijn.
Vraagt u zich af hoe een partij zelf met uw gegevens omgaat, dan zijn dat goede vragen om vooraf te stellen: waar staan de back-ups, wie kan erbij, en hoe wordt toegang ingetrokken bij vertrek van een medewerker. Wij beschrijven onze eigen werkwijze bij het vaste beheer dat wij leveren, en u mag die vragen aan elke partij stellen. En bewaar wat u uitdeelt op één plek: een wachtwoordmanager voor uw bedrijf maakt zowel het geven als het intrekken een stuk eenvoudiger.
