Что делать, если подрядчик пропал: как забрать код и продолжить проект

Разработчик не отвечает в мессенджере третий день, телефон вне зоны, задачи в трекере висят. Сайт или внутренняя система при этом работают: заказы идут, менеджеры оформляют сделки, клиенты заходят. Проблема не в том, что что-то сломалось, а в том, что менять теперь нечего и некому.

Дальше — не о судах и не о морали. Про то, что технически нужно забрать в первую неделю, чтобы проект не пришлось поднимать с нуля, и на что смотреть, когда вы придёте к новому исполнителю.

1. Первые 24 часа: зафиксировать, ничего не ломая

**Сделайте бэкап прода и базы данных самостоятельно.** Не ограничивайтесь запросом бэкапа у хостинга — скачайте файлы и дамп SQL на свой компьютер или в собственное облако. Полный дамп базы и архив файлов — то, из чего проект можно восстановить, даже если доступы через день отберут.

**Не меняйте пароли в первый день.** Сначала копия, потом смена. Массовая ротация паролей до выгрузки легко отрезает вас от сервисов, где вход был только через почту подрядчика или сохранённую сессию в его браузере, — и вы теряете единственный оставшийся канал.

**Проверьте, чем проект дышит.** Через 2–3 дня тишины выясняется, что где-то истекает оплата хостинга, 10-го числа списывается SSL, а API-токен платежей привязан к аккаунту исполнителя. Пройдите по биллингам сервисов и посмотрите даты списаний — это займёт полчаса и снимет половину будущих сюрпризов.

**Соберите документы в одну папку на своём диске.** Договор, ТЗ, акты, счета, переписка по правкам, ранее присланные доступы. Это база и для письменного требования, и для разговора с новым подрядчиком.

2. Инвентаризация: 12 позиций, без которых проект не передать

• **Домен и DNS.** Где зарегистрирован, на кого оформлен, есть ли доступ к панели регистратора, какие стоят NS- и MX-записи. Если домен оформлен на подрядчика, это отдельная процедура переоформления, и запускать её стоит сразу.
• **Хостинг или VPS.** Панель управления, SSH, root-доступ, физическое расположение сервера. Для систем с персональными данными расположение принципиально: по 152-ФЗ данные россиян должны храниться на территории РФ.
• **Репозиторий.** Git на чьём аккаунте, есть ли у вас права, какая ветка соответствует продакшену, настроен ли CI.
• **База данных.** Логин, пароль, дамп, схема, механизм миграций.
• **CMS и лицензии.** 1С-Битрикс, плагины WordPress, конфигурация 1С — на какое юрлицо оформлены и продлеваются.
• **Интеграции и API-ключи.** CRM, платежи (ЮKassa, Тинькофф), SMS-провайдер, SMTP, маркетплейсы, службы доставки.
• **Аналитика и реклама.** Метрика, Search Console, рекламные кабинеты, пиксели — доступы к ним часто висят на почте подрядчика.
• **Боты и автоматизации.** Токен Telegram-бота, аккаунт в BotFather, сценарии в n8n или Make.
• **Дизайн и контент.** Figma, исходники макетов, лицензии на шрифты и стоковые изображения.
• **Инфраструктура.** SSL, CDN, S3-хранилище, cron-задачи, мониторинг, бэкапы и — главное — умение из них восстанавливаться.
• **Документация.** README, описание схемы БД, инструкция по деплою. Часто её нет вообще, и это отдельная строка в смете на вход.
• **Юридический слой.** Прописана ли в договоре передача исключительных прав на код. Без этого пункта формально новый подрядчик садится за чужой продукт.

Сведите это в таблицу со статусами «есть / нет / у подрядчика» — она станет чек-листом для требования из раздела 3.

3. Письменное требование подрядчику: форма, срок, что делать при отказе

**Куда писать.** На email из договора и одновременно на юридический адрес ИП или ООО. Мессенджер — не канал: он не фиксирует факт отправки и слаб как доказательство.

**Форма — таблица, а не просьба.** Три колонки: что именно (домен, репозиторий, дамп, токены), как передать (переоформление на ваше юрлицо, ссылка, архив), срок. Рабочий срок — 5–10 рабочих дней. Просьба в свободной форме игнорируется легко, таблица с дедлайном — уже документ.

**Просите передачу, а не доступы.** «Дайте доступ к репозиторию» — плохая формулировка: доступ отзывается в любой момент. «Переведите репозиторий в организацию заказчика» и «переоформите домен на наше юрлицо» — нормальная.

**Пароли — через менеджер паролей или зашифрованный архив**, не текстом в чате. Получили — сразу сменили всё и включили двухфакторную аутентификацию.

**Если ответа нет.** Идут две ветки параллельно. Юридическая: претензия, отказ от договора, расчёт неустойки. Техническая: домен восстанавливается через регистратора при подтверждении прав на него, хостинг — если оплата шла от вас, доступ к CMS — через панель хостинга.

**Чего не делать.** Не удаляйте чужие аккаунты и не ведите переписку в агрессивном тоне, пока не получен полный бэкап. Месть стоит дороже, чем месяц переписки: без копии вы теряете всё сразу.

4. Техническая приёмка чужого кода: что смотреть перед доработками

**Сверка репозитория с продом.** Если код на сервере новее, чем в Git, значит, правки вносились по FTP напрямую, в обход Git. Это первое, что придётся чинить: без нормального деплоя любое изменение превращается в ручную операцию с риском уронить сайт.

**Состояние стека.** Версии PHP, Node, зависимостей. Если стоит PHP 7.4 или библиотека, которую не поддерживают третий год, обновление придётся делать до начала доработок, а не после.

**Правилось ли ядро CMS.** Изменённое ядро CMS означает, что первое штатное обновление уронит сайт. Нужен список изменённых файлов, иначе обновляться нельзя вообще.

**Секреты в коде.** Пароли и токены прямо в файлах или в открытом репозитории — риск утечки, а заодно честный индикатор уровня исполнителя.

**Окружения и процессы.** Есть ли dev, stage и prod, миграции, тесты, бэкапы. Их отсутствие означает, что каждое изменение проверяется на живых клиентах.

**Лицензии.** GPL-компоненты внутри закрытого коммерческого продукта, чужие шрифты и фотографии — претензии прилетят вам, а не подрядчику.

**Практическая проверка.** Разверните копию на своём стенде и проведите одно тестовое изменение вплоть до продакшена. Если это не получается за день, оценка входа умножается — и лучше узнать об этом на аудите, чем в середине спринта.

5. Порядок действий и типовые ошибки

Чек-лист входа в проект

1. Бэкап файлов и БД на свой носитель. 2. Инвентаризация 12 позиций из раздела 2 со статусами. 3. Письменное требование с таблицей и сроком. 4. Смена паролей, включение 2FA, доступы — в менеджер паролей. 5. Развёртывание копии на тестовом стенде. 6. Аудит кода: стек, ядро, секреты, лицензии, деплой. 7. Карта системы: как устроено, где точки отказа, что нельзя трогать. 8. Подключение мониторинга и проверка восстановления из бэкапа. 9. План стабилизации на 2–4 недели — только критичное: платежи, формы, интеграции. 10. Только после этого — план развития и оценка доработок.

Типовые ошибки

• **Звать нового подрядчика сразу на доработки, минуя аудит.** Смета вырастает в разы уже по факту, когда выясняется, что половина правок не влезает в текущую архитектуру.
• **Сразу решать «перепишем с нуля».** Теряются позиции в поиске, накопленные данные и рабочие интеграции, а стоимость обычно выше, чем вход плюс починка.
• **Снова не прописать передачу прав и репозиторий.** Если код опять лежит на аккаунте исполнителя, история повторится с точностью до фамилии.
• **Оставить доступы в чате и не включить 2FA.** Самая частая причина, по которой через год всё начинается заново.
• **Запустить поддержку без бэкапов и мониторинга.** Следующий сбой застанет врасплох так же, как этот.
• **Не зафиксировать критерии приёмки этапов.** Потом не получится доказать, что именно было сделано и в каком объёме.

6. Сколько стоит вход в чужой проект

Считайте в часах, а не «в проекте». Наши ориентиры: экспресс-аудит — 8–16 часов; вход в проект на CMS с живым репозиторием и документацией — 20–40 часов; кастомное приложение с интеграциями и 1С — от 40 до 80 часов и больше. При ставке 3 000–5 000 ₽ за час экспресс-аудит обойдётся в 25–80 тыс. ₽, кастомное приложение — в 120–400 тыс. ₽, а вход на CMS с живым репозиторием и документацией займёт промежуточное положение.

**Что снижает стоимость:** актуальный репозиторий, README, миграции, менеджер паролей, внятная структура проекта, работающий деплой.

**Что её повышает:** самописная CMS или самодельный фреймворк, правленое ядро, отсутствие тестов и бэкапов, прод, который правят по FTP, токены в коде.

**Худший сценарий** — кода нет ни в одном репозитории, сервер оформлен на подрядчика, документации нет. Стоимость входа вырастает в 2–3 раза относительно ухоженного проекта, потому что половина работы — археология.

Отдельно считайте переоформление лицензий и домена, перевод оплаты хостинга и сервисов на своё юрлицо. Это не разработка, но без этого проект вам не принадлежит.

На выходе вы получаете карту системы, перечень рисков, план стабилизации и реалистичную оценку дальнейших доработок — вместо предположений «вроде должно работать».

Вывод

Дальше порядок простой: бэкап → инвентаризация → письменное требование → аудит → стабилизация → развитие. Первые четыре шага реально пройти за одну-две недели, даже если подрядчик так и не ответил.

Если внутренних ресурсов нет, этот цикл целиком закрываем мы: проводим технический аудит и инвентаризацию доступов, разворачиваем проект на подконтрольной инфраструктуре с бэкапами и мониторингом, стабилизируем критичные места — и только потом берёмся за доработки. Передачу исключительных прав, репозиторий и доступы на стороне заказчика фиксируем в договоре с первого дня. Расскажите, что у вас за проект и в каком он состоянии, — посмотрим и скажем, что там реально сделать.

Частые вопросы

С чего начинается работа, если проект нужно забрать у прошлого подрядчика?

Первым этапом идёт аудит: мы снимаем бэкап файлов и базы, сверяем репозиторий с продакшеном, смотрим версии стека, правки ядра CMS, секреты в коде и лицензии. По итогам вы получаете карту системы, перечень рисков и ориентировочную оценку дальнейших работ в часах. Доработки начинаются только после этого — иначе смета считается по предположениям.

Из чего складывается бюджет, если код достался от другого исполнителя?

Бюджет считается в часах и зависит от состояния проекта, а не от количества страниц. Экспресс-аудит — 8–16 часов, вход в проект на CMS с живым репозиторием и документацией — 20–40 часов, кастомное приложение с интеграциями и 1С — от 40 часов и больше. Стоимость снижают актуальный репозиторий, README, миграции и рабочий деплой; повышают самописная CMS, правленое ядро, отсутствие тестов и бэкапов, правки прода по FTP. Отдельной строкой идут переоформление домена и лицензий и перевод оплаты сервисов на ваше юрлицо.

Как оформляется передача кода и доступов, чтобы ситуация не повторилась?

В договоре фиксируется передача исключительных прав на код и обязанность вести разработку в репозитории заказчика — не на аккаунте исполнителя. Доступы передаются через менеджер паролей или зашифрованный архив, после получения мы сразу меняем пароли и включаем двухфакторную аутентификацию. Домен, хостинг и лицензии оформляются на ваше юрлицо, а в репозитории остаётся актуальная ветка продакшена. Поддержка после запуска описывается отдельным регламентом: что входит, в какие сроки и как фиксируются критерии приёмки этапов.