Chcesz zmienić agencję, bo obecna nie dowozi wyników, ale boisz się, że przy próbie odejścia "przypadkiem" zniknie Twoja baza danych albo stracisz dostęp do domeny? Większość klientów orientuje się, że nie posiada kluczowych haseł dopiero w momencie, gdy relacje z wykonawcą stają się napięte. Jeśli nie chcesz zostać zakładnikiem własnego kodu, musisz wyciągnąć od starej agencji konkretną paczkę danych, zanim przelejesz im ostatnią fakturę. Brak odpowiedniego przygotowania na tym etapie to najprostsza droga do paraliżu decyzyjnego i operacyjnego, który może trwać tygodniami, generując straty rzędu tysięcy złotych dziennie, zwłaszcza w sektorze e-commerce.
Dostęp do serwera i plików: To nie tylko login do FTP
Wielu właścicieli firm myśli, że posiadanie loginu do klienta FTP załatwia sprawę. To błąd, który może Cię kosztować dni przestoju. Jeśli Twoja strona stoi na hostingu agencji (tzw. resellerskim), rzadko dostaniesz pełne uprawnienia administratora. Musisz dążyć do uzyskania dostępu do panelu zarządzania hostingiem (np. cPanel, DirectAdmin, Plesk). Dlaczego to ważne? Bo tylko tam możesz samodzielnie zarządzać wersją PHP, tworzyć kopie zapasowe czy kontrolować skrzynki e-mail. Posiadanie jedynie dostępu FTP ogranicza Cię do przesyłania plików, ale uniemożliwia np. zmianę limitów pamięci RAM dla skryptów czy edycję zadań harmonogramu, co jest kluczowe przy optymalizacji wydajności serwisu.
Z doświadczenia wiem, że agencje często stawiają opór, twierdząc, że na tym samym serwerze mają innych klientów. W takim przypadku masz prawo żądać pełnego zrzutu plików (archiwum .zip) oraz eksportu bazy danych (.sql). Upewnij się, że paczka zawiera folder /uploads (tam są Twoje zdjęcia produktowe i PDF-y) oraz pliki konfiguracyjne. Bez pliku wp-config.php (w przypadku WordPressa) lub jego odpowiedników w innych systemach, Twoja nowa agencja będzie błądzić po omacku, próbując połączyć się z bazą danych. Warto również zwrócić uwagę na plik .htaccess – to w nim zapisane są kluczowe reguły przekierowań 301. Jeśli go stracisz, Twoje pozycje w Google mogą drastycznie spaść z powodu błędów 404.
Co z bazą danych? To serce Twojego sklepu lub serwisu. Musisz otrzymać dostęp do phpMyAdmin lub zrzut bazy w formacie nieskompresowanym. Sprawdź, czy agencja nie zakodowała części logiki biznesowej w procedurach składowanych na poziomie bazy, o czym nowi programiści mogą nie wiedzieć przez tygodnie. Baza danych zawiera nie tylko treści, ale też całą strukturę zamówień, dane klientów i historię transakcji. Utrata spójności bazy podczas migracji to najczarniejszy scenariusz dla każdego managera e-commerce.
Domena ma być Twoja, a nie "użyczona"
To najczęstszy punkt zapalny. Jeśli fakturę za domenę opłaca agencja, a w bazie WHOIS widnieją dane ich firmy, technicznie nie jesteś właścicielem własnego adresu WWW. Musisz zażądać transferu domeny (cesji) na Twoje konto u dowolnego rejestratora. Do tego niezbędny jest kod AuthInfo (czasem zwany kodem EPP). Proces ten powinien być priorytetem, ponieważ bez kontroli nad domeną, agencja może w każdej chwili "wyłączyć światło" Twojemu biznesowi, przekierowując ruch na inną stronę lub po prostu zawieszając działanie DNS-ów.
- Kod AuthInfo: Muszą Ci go wydać na żądanie. Nie daj się zbyć informacją, że "to trwa". Generowanie kodu w większości paneli to jedno kliknięcie. Ważność takiego kodu to zazwyczaj od 7 do 30 dni – upewnij się, że Twoja nowa agencja jest gotowa do natychmiastowego zainicjowania transferu po jego otrzymaniu.
- Zarządzanie rekordami DNS: Zanim przeniesiesz domenę, musisz mieć dostęp do edycji rekordów A, MX i CNAME. Jeśli agencja to blokuje, przejście na nowy serwer będzie wiązało się z wielogodzinnym "wygaśnięciem" strony w sieci. Pamiętaj, że zmiany DNS propagują się do 24-48 godzin, więc precyzyjne zaplanowanie tego procesu jest niezbędne dla zachowania ciągłości działania poczty e-mail.
- Certyfikat SSL: Sprawdź, czy masz klucze prywatne do certyfikatu. Jeśli korzystasz z darmowego Let's Encrypt, nowa agencja wygeneruje go sobie sama, ale przy płatnych certyfikatach typu EV (z zielonym paskiem lub pełną weryfikacją firmy) musisz mieć pliki .key i .crt. Ich brak wymusi ponowny zakup i przejście żmudnej procedury weryfikacyjnej.
Bezpieczeństwo i audyt uprawnień: Odcinanie "pępowiny"
Przejęcie dostępu to tylko połowa sukcesu. Drugą połową jest upewnienie się, że stara agencja nie zostawiła sobie "tylnych drzwi" (backdoors) do Twojego systemu. Często zdarza się, że deweloperzy tworzą ukryte konta administratora z generycznymi nazwami, takimi jak "support" czy "admin_dev", o których właściciel firmy nie ma pojęcia. Po zakończeniu współpracy musisz przeprowadzić gruntowny audyt wszystkich użytkowników z uprawnieniami administracyjnymi w Twoim CMS-ie.
Zmień hasła nie tylko do głównego panelu, ale przede wszystkim do bazy danych i kont FTP. Stara agencja może znać strukturę Twojego serwera na pamięć, co czyni potencjalny atak lub nieautoryzowaną zmianę niezwykle prostą. Ważnym elementem jest również zmiana kluczy soli (Salt Keys) w plikach konfiguracyjnych WordPressa czy innych frameworków. To wymusi wylogowanie wszystkich aktywnych sesji, co jest kluczowe, jeśli ktoś z poprzedniej ekipy ma zapamiętaną sesję w przeglądarce. Nie zapomnij o weryfikacji dostępów do SSH – jeśli deweloperzy korzystali z kluczy publicznych RSA, musisz je usunąć z pliku authorized_keys na serwerze.
Kolejnym aspektem jest czyszczenie dostępów w aplikacjach zewnętrznych. Jeśli Twoja strona jest połączona z narzędziami takimi jak Slack, Trello czy systemy do automatyzacji marketingu, sprawdź, czy stare tokeny API są nadal aktywne. Profesjonalne podejście wymaga wygenerowania nowych kluczy i podmiany ich w kodzie strony. To żmudny proces, ale jedyny, który gwarantuje pełną suwerenność nad własnym systemem informatycznym po rozstaniu z wykonawcą.
Kody śledzące i analityka: Nie trać historii danych
Nie ma nic gorszego niż rozpoczęcie współpracy z nową agencją SEO z "czystą kartą", bo stara agencja nie oddała dostępu do Google Analytics. Dane o ruchu to Twoja własność intelektualna. Najczęstszym błędem jest zakładanie kont analitycznych na prywatnych mailach pracowników agencji. Powinieneś być Głównym Właścicielem konta, a agencja jedynie "Użytkownikiem" z prawami do edycji. Jeśli stracisz dostęp do historycznych danych, nowa agencja nie będzie w stanie ocenić, które kampanie były rentowne, a które generowały jedynie pusty ruch.
Czego konkretnie żądać? Po pierwsze, dostępu na poziomie administracyjnym do Google Search Console. To tam widać kary od Google, błędy indeksowania i frazy, na które faktycznie wchodzą ludzie. Po drugie, Google Analytics 4 (GA4). Upewnij się, że nie dostajesz tylko "wglądu", ale pełne uprawnienia do zarządzania użytkownikami. Jeśli Twoja strona korzysta z Google Tag Managera (GTM), sytuacja jest jeszcze bardziej krytyczna. W GTM-ie zaszyte są wszystkie zdarzenia: klinięcia w telefon, wysyłki formularzy, śledzenie e-commerce. Bez dostępu do kontenera GTM, nowa agencja będzie musiała wszystko konfigurować od zera, co zajmie im od 5 do 20 godzin roboczych. Straty wynikające z braku ciągłości zbierania danych mogą być nieodwracalne, szczególnie jeśli prowadzisz intensywne działania remarketingowe, które opierają się na listach odbiorców zbieranych przez miesiące.
Dokumentacja techniczna i API: Co kryje się "pod maską"?
Jeśli Twój serwis to coś więcej niż prosta wizytówka, nowa ekipa potrzebuje instrukcji obsługi. W branży projektowania stron, jak robi to np. Webiso Kraków, standardem jest przekazywanie dokumentacji powykonawczej, ale nie każda firma o to dba. Dokumentacja to nie tylko opis funkcji dla użytkownika, ale przede wszystkim techniczny opis architektury systemu. Bez niej każdy błąd w kodzie będzie wymagał wielogodzinnej analizy (tzw. debugowania), za co zapłacisz Ty, a nie agencja.
- Lista integracji zewnętrznych: Z jakim systemem ERP łączy się sklep? Gdzie są klucze API do InPostu, PayU czy systemów mailingowych typu MailerLite? Każda z tych integracji ma swoje specyficzne ustawienia (np. adresy URL dla powiadomień Webhook), które muszą zostać zaktualizowane po przenosinach na nowy serwer.
- Dokumentacja API: Jeśli Twój system wystawia dane na zewnątrz, nowa agencja musi wiedzieć, jak te dane są strukturyzowane. Brak tej wiedzy uniemożliwi np. podpięcie nowej aplikacji mobilnej czy integrację z systemem CRM w przyszłości.
- Lista tzw. Cron Jobs: To zadania, które wykonują się automatycznie na serwerze (np. aktualizacja cen co godzinę, wysyłka przypomnień o porzuconych koszykach). Jeśli ich nie przeniesiesz, nagle okaże się, że ceny w sklepie przestały się aktualizować, a Ty nie wiesz dlaczego. Nowa agencja musi otrzymać dokładną listę komend i harmonogram ich wywoływania.
Warto też zapytać o środowisko stagingowe. Czy agencja posiada wersję testową strony, na której wprowadzała zmiany przed publikacją? Przejęcie tej subdomeny oszczędzi nowym programistom stawiania "poligonu" od nowa. Posiadanie środowiska stagingowego pozwala na testowanie nowych funkcji bez ryzyka "wyłożenia" strony produkcyjnej, co jest krytyczne przy dużym natężeniu ruchu.
Infrastruktura pocztowa i rekordy MX: Pułapka odciętych maili
Podczas zmiany agencji i hostingu, najczęstszym problemem nie jest sama strona WWW, ale nagły brak możliwości odbierania i wysyłania maili firmowych. Jeśli Twoja poczta działa na tym samym serwerze co strona (co jest rozwiązaniem popularnym, choć ryzykownym), zmiana DNS-ów bez uprzedniego przygotowania skrzynek u nowego dostawcy spowoduje, że wszystkie wiadomości wysłane do Ciebie w trakcie propagacji po prostu przepadną. Musisz wiedzieć, czy agencja korzysta z zewnętrznych serwerów pocztowych (np. Google Workspace, Microsoft 365), czy z lokalnego serwera pocztowego.
Jeśli poczta jest na tym samym serwerze, musisz wyeksportować wszystkie skrzynki (pliki .pst lub migracja przez protokół IMAP). Żądaj od starej agencji pełnej listy kont mailowych wraz z ich pojemnościami oraz rekordami SPF, DKIM i DMARC. Rekordy te odpowiadają za to, czy Twoje maile trafiają do odbiorców, czy prosto do spamu. Brak poprawnego rekordu DKIM po migracji może sprawić, że Twoja komunikacja sprzedażowa zostanie zablokowana przez filtry antyspamowe Gmaila czy Outlooka, co w relacjach B2B jest katastrofą. Nowa agencja musi mieć te dane na stole co najmniej 48 godzin przed planowanym przepięciem domeny.
Warto również sprawdzić, czy agencja nie korzystała z tzw. "smarthost" do wysyłki maili systemowych ze strony (np. potwierdzeń zamówień). Jeśli tak, musisz uzyskać dane dostępowe do tego serwera (np. SendGrid, Mailgun). W przeciwnym razie Twoi klienci przestaną otrzymywać maile z numerami zamówień zaraz po migracji, co wywoła lawinę telefonów do Biura Obsługi Klienta.
Prawa autorskie i licencje na wtyczki
To tutaj pojawiają się największe ukryte koszty. Agencje często korzystają z tzw. licencji deweloperskich na płatne wtyczki (do formularzy, budowania layoutów czy SEO). W momencie, gdy odchodzisz, ich licencja przestaje obowiązywać na Twojej stronie. Co to oznacza? Strona będzie działać, ale przestaniesz otrzymywać aktualizacje bezpieczeństwa. Po kilku miesiącach serwis padnie ofiarą ataku przez dziurę w nieaktualnej wtyczce, a koszt "odwirusowania" strony zazwyczaj kilkukrotnie przewyższa koszt samej licencji.
Poproś o listę wszystkich płatnych modułów wraz z informacją, które z nich wymagają wykupienia własnej licencji. Koszt jednej wtyczki to zazwyczaj od 40 do 200 dolarów rocznie. Przy rozbudowanym serwisie może się uzbierać kwota rzędu 2-3 tysięcy złotych rocznie, o której nikt Ci wcześniej nie powiedział. Musisz też mieć jasność w kwestii autorskich praw majątkowych do kodu źródłowego. Jeśli agencja stworzyła dedykowany moduł, upewnij się, że umowa przenosi na Ciebie prawa do jego modyfikacji. W przeciwnym razie nowa agencja prawnie nie może dotknąć tego kodu, a Ty zostajesz z produktem, którego nie można rozwijać zgodnie z literą prawa. Upewnij się, że posiadasz faktury potwierdzające, że praca nad danym modułem została w całości opłacona – to fundament przy ewentualnych sporach o prawa autorskie.
Dostęp do mediów społecznościowych i wizytówki Google
Wydaje się to oczywiste, ale odzyskiwanie dostępu do profilu na Facebooku czy Wizytówki Google Moja Firma (Google Business Profile) to proces, który potrafi trwać miesiącami, jeśli agencja "zapomni" hasła lub pracownik, który zakładał konto, już tam nie pracuje. Sprawdź w ustawieniach ról na Facebooku (Business Suite), czy jesteś dodany jako Właściciel Biznesu, a nie tylko Redaktor. Status Redaktora pozwala na publikację postów, ale nie pozwala na usunięcie agencji z grona zarządzających Twoją stroną. To Ty musisz być osobą, która może odebrać uprawnienia komuś innemu.
Zwróć uwagę na konta reklamowe (Google Ads, Meta Ads). To tam jest cała historia Twoich wydatków, skutecznych słów kluczowych i grup docelowych. Jeśli agencja prowadziła kampanie ze swojego konta zbiorczego, prawdopodobnie nie oddadzą Ci tych danych (często zasłaniając się tajemnicą handlową). W takiej sytuacji żądaj przynajmniej raportu z historycznymi wynikami w formacie CSV lub PDF, aby nowa agencja nie musiała przepalać budżetu na testowanie tego, co u Ciebie nie działa. Posiadanie własnego konta reklamowego, do którego agencja ma jedynie dostęp "Partnera", jest jedynym bezpiecznym modelem współpracy. Jeśli tak nie było, przygotuj się na to, że algorytmy reklamowe (np. Pixel Facebooka) będą musiały "uczyć się" Twoich klientów od nowa, co tymczasowo podniesie koszt pozyskania leada.
Czerwone flagi: Kiedy agencja zaczyna "utrudniać"?
Praktyka pokazuje, że profesjonalizm agencji poznaje się nie po tym, jak Cię wita, ale jak Cię żegna. Jeśli usłyszysz poniższe argumenty, to znak, że musisz zacząć działać szybko i stanowczo. Często opór agencji wynika z faktu, że strona została zbudowana w sposób niestaranny i obawiają się oni audytu nowej firmy, który obnaży braki techniczne.
- "Oddamy hasła po opłaceniu faktury za przyszły miesiąc" – jeśli nie masz zaległości w płatnościach za okresy już zrealizowane, wstrzymywanie wydań dostępów jest bezprawne i może zostać uznane za próbę wymuszenia.
- "Kod źródłowy jest naszą własnością i nie możemy go udostępnić" – jeśli płaciłeś za wdrożenie dedykowane, a umowa nie mówi wyraźnie, że otrzymujesz jedynie licencję na użytkowanie (co w przypadku stron www jest rzadkie i niekorzystne), powinieneś mieć dostęp do efektów pracy.
- "To jest system autorski, nikt inny tego nie obsłuży" – to klasyczne "vendor lock-in". W takim przypadku żądaj pełnej dokumentacji technicznej, która pozwoli innym programistom na analizę kodu. Jeśli agencja odmawia, warto sprawdzić, czy ich "system autorski" nie jest w rzeczywistości jedynie zmodyfikowaną darmową platformą, co zdarza się częściej niż myślisz.
Najlepszym momentem na zebranie tych danych jest chwila, w której jeszcze nie ogłosiłeś decyzji o odejściu. Zrób tzw. audyt uprawnień pod pretekstem "wewnętrznych porządków w IT" lub "przygotowania do wdrożenia certyfikacji ISO". Gdy już masz dostęp do domeny i hostingu w swoich rękach, jesteś bezpieczny i możesz prowadzić negocjacje z pozycji siły, a nie prośby.
Ile kosztuje proces migracji?
Samo przeniesienie plików i bazy danych przez nową agencję to zazwyczaj koszt od 500 do 2000 zł netto, zależnie od wielkości serwisu. Jednak prawdziwe koszty generują braki w dokumentacji. Jeśli nowa ekipa musi "zgadywać", jak działa Twój system, zapłacisz za ich godziny robocze spędzone na reverse engineeringu. Prawidłowo przygotowana paczka startowa skraca czas wdrożenia nowej agencji o 70-80%. W przypadku dużych sklepów internetowych, migracja może obejmować również przepięcie systemów magazynowych, co podnosi koszt o kolejne kilka tysięcy złotych ze względu na konieczność przeprowadzenia testów integracyjnych w nowym środowisku.
Co jeśli strona jest na platformie SaaS (np. Shoper, Shopify)?
W przypadku systemów SaaS nie dostaniesz dostępu do kodu źródłowego ani bazy danych (bo fizycznie nie należą do Ciebie, tylko do dostawcy platformy). Tutaj migracja polega na przekazaniu uprawnień właścicielskich do panelu sklepu oraz wygenerowaniu kluczy API dla nowej agencji. Musisz upewnić się, że adres e-mail powiązany z kontem głównym należy do Ciebie, a nie do pracownika agencji. Pamiętaj, by odebrać dostęp starej agencji do Twojego konta u operatora płatności oraz do aplikacji kurierskich zintegrowanych ze sklepem. W systemach SaaS warto też wyeksportować wszystkie szablony wiadomości e-mail i modyfikacje wizualne (CSS/JS), jeśli były one robione na zamówienie.
Czy potrzebuję dostępu do repozytorium kodu (np. Git)?
Jeśli Twój projekt był rozwijany w sposób profesjonalny, agencja korzystała z systemu kontroli wersji (Git). Żądaj zaproszenia do repozytorium (na GitHub, GitLab lub Bitbucket) jako administrator lub poproś o pełne archiwum .git. Dzięki temu nowa agencja zobaczy historię wszystkich zmian, co pozwoli im zrozumieć, dlaczego dana funkcja została zaimplementowana w konkretny sposób i uniknąć powielania starych błędów. Brak dostępu do Gita oznacza, że nowa firma dostaje "płaski" kod bez żadnego kontekstu, co drastycznie wydłuża naukę systemu przez nowych deweloperów.
Najczęstsze błędy podczas przejmowania strony
Największym błędem jest brak weryfikacji haseł zaraz po ich otrzymaniu. Zdarza się, że agencja wysyła hasło do FTP, które... nie działa, albo prowadzi do pustego folderu. Innym problemem jest przejęcie plików, ale zapomnienie o bazie danych – bez niej strona to tylko martwe szablony graficzne bez treści i produktów. Częstym przeoczeniem jest też brak weryfikacji wersji PHP na nowym serwerze. Jeśli stara strona działała na PHP 7.4, a nowy serwer ma tylko PHP 8.2, serwis może się w ogóle nie uruchomić. Nie zapomnij też o weryfikacji, czy na serwerze nie zostały konta mailowe byłych pracowników agencji z uprawnieniami administratora do Twojego CMS-a, co mogłoby stanowić furtkę dla wycieku danych w przyszłości.
FAQ: Kluczowe pytania o dokumentację
Czy agencja może odmówić wydania kodu AuthInfo?
Nie, zgodnie z regulacjami NASK i większości rejestratorów, kod AuthInfo musi zostać wydany na żądanie abonenta domeny w terminie do 3 dni roboczych. Jeśli agencja jest abonentem, musi najpierw dokonać cesji na Twoją firmę. Odmowa wydania kodu jest naruszeniem zasad współpracy z rejestratorem i może być zgłoszona do organów nadzorczych.
Co jeśli stara agencja nie chce współpracować?
Sprawdź zapisy w umowie dotyczące własności intelektualnej i dostępu do danych. Jeśli masz opłacone faktury, a agencja blokuje dostęp do Twoich narzędzi biznesowych, skutecznym krokiem jest przedsądowe wezwanie do wydania dostępów przygotowane przez prawnika. Zazwyczaj przyspiesza to sprawę o 200%. W skrajnych przypadkach można skontaktować się bezpośrednio z hostingodawcą, przedstawiając dowody opłacenia usługi i prawo własności do marki, choć procedury te bywają czasochłonne.
Czy nowa agencja może sama "wykraść" hasła od starej?
Nie, i nie powinna tego próbować. Przejmowanie serwisu powinno odbywać się w sposób cywilizowany. Jeśli nowa agencja sugeruje "hakerskie" metody zamiast oficjalnego protokołu przekazania, to sygnał ostrzegawczy co do ich etyki pracy. Takie działania mogą również narazić Cię na odpowiedzialność karną za nieuprawniony dostęp do systemu informatycznego. Profesjonalna firma zawsze dąży do formalnego przejęcia danych.
Jak sprawdzić, czy mam wszystkie dostępy?
Prześlij listę otrzymanych danych do nowej agencji i poproś o weryfikację. Specjalista w 5 minut sprawdzi, czy login do FTP daje uprawnienia do zapisu i czy zrzut bazy danych jest kompletny. Dobrym testem jest próba odtworzenia strony z otrzymanej paczki na lokalnym serwerze (localhost) – jeśli strona tam ruszy, oznacza to, że dane są kompletne i gotowe do migracji.
