Код у подрядчика: почему репозиторий должен быть вашим
Почему исходный код сайта, бота или системы должен храниться в вашем репозитории: смена подрядчика, доработки, безопасность. Как организовать и что проверить в договоре.
Интернет-магазин три года дорабатывал подрядчик. Потом студия закрылась, и выяснилось, что код хранился только у неё. На сервере был собранный сайт, но без исходников. Новому подрядчику пришлось переписывать магазин почти с нуля.
Исходный код это ваш актив, как домен и база клиентов. Если он хранится только у подрядчика, вы от него зависите. Ниже как это исправить.
Чем грозит код у подрядчика
| Ситуация | Последствие |
|---|---|
| Подрядчик пропал или закрылся | Доработки невозможны без переписывания |
| Спор о цене доработок | Сменить подрядчика сложно |
| Утечка у подрядчика | Ваш код и ключи у посторонних |
| Нет истории изменений | Непонятно, что и когда сломалось |
Как должно быть
Шаг 1
Репозиторий на вас
В вашем GitLab или аккаунте, подрядчик приглашён участником.
Шаг 2
Вся работа в репозитории
Каждое изменение с описанием.
Шаг 3
Инструкция запуска
Как собрать и развернуть проект.
Шаг 4
Без ключей в коде
Пароли и ключи хранятся отдельно.
Шаг 5
Права по ролям
Подрядчик пишет код, владелец решает, кто имеет доступ.
Что прописать в договоре
- код передаётся заказчику и хранится в его репозитории;
- права на код у заказчика;
- в конце этапа инструкция по запуску;
- доступы подрядчика закрываются после окончания работ.
Сколько стоит
| Инструмент | Цена |
|---|---|
| Менеджер паролей Passbolt | от 15 000 ₽ |
| База знаний XWiki | от 15 000 ₽ |
| GitLab для команды | от 15 000 ₽ |
Как мы делаем
Ставим инструменты на ваш сервер, настраиваем группы, права и вход, переносим данные и показываем сотрудникам, как пользоваться. Подробности на странице паролей, базы знаний и кода.
Частые вопросы
Нужен ли свой GitLab небольшой компании?
Если у вас есть сайт, бот или система с доработками, да. Можно начать и с репозитория в облачном сервисе на вашем аккаунте.
Как забрать код у текущего подрядчика?
Попросить перенести репозиторий в ваш аккаунт со всей историей.
А если подрядчик отказывается?
Смотреть договор: права на код и порядок передачи. Поэтому их прописывают заранее.
Можно ли проверить, что код полный?
Да: развернуть проект по инструкции на тестовом сервере.
Коротко
- Исходный код это ваш актив, как домен.
- Репозиторий на вас, подрядчик приглашён участником.
- Права на код и передача прописываются в договоре.
- Полноту кода проверяют развёртыванием по инструкции.
Как выдавать и забирать доступы подрядчиков, в статье доступы подрядчиков.