Передать доступ — не обязательно отправить пароль. Если сервис поддерживает приглашения и роли, создайте отдельного пользователя. Это позволяет ограничить возможности, отозвать доступ конкретного человека и сохранить историю действий.
Определите задачу и объём прав
Для изменения текстов не всегда нужен администратор, для проверки аналитики — право редактировать сайт, а для настройки одной интеграции — доступ ко всем проектам. Запишите, какие операции должен выполнить человек и когда работа закончится.
- Подтвердить личность и рабочий контакт получателя.
- Создать персональный аккаунт с необходимой ролью.
- Включить доступный второй фактор.
- Установить срок или дату ручного пересмотра.
- Зафиксировать владельца, который подтвердит завершение работы.
Если без общего секрета нельзя
Используйте согласованный менеджер паролей или другой защищённый механизм. Не отправляйте в одном письме пароль, резервные коды и все сведения восстановления. Помните: после просмотра получатель мог сохранить секрет. Удаление доступа к записи не отменяет уже сделанную копию, поэтому при завершении работы может потребоваться замена самого пароля.
Что записать в реестре
Достаточно указать сервис, пользователя, роль, согласовавшего и дату пересмотра. Сам пароль в реестр не включают. Для подрядчика также запишите проект и основание доступа. Когда одновременно работают несколько исполнителей, такая таблица помогает отличить необходимое разрешение от забытого аккаунта, созданного для прошлой задачи.
Проверьте дополнительные пути входа
Подрядчик может создать API-токен, SSH-ключ или подключить приложение. В реестре доступа должны учитываться и такие способы. Иначе основной пользователь будет удалён, а интеграционный ключ продолжит работать.
Как завершить передачу
После работ проверьте результат, получите документацию, отзовите временные права и обновите секреты, которые нельзя отозвать персонально. Не отключайте аккаунт вслепую, если от него зависит рабочая автоматизация: сначала переведите процесс на отдельную служебную учётную запись с понятным владельцем.
Приёмка доступа должна включать две проверки: человек может выполнить разрешённую задачу и не может выполнять лишние действия. Это делает ограничение прав практическим, а не формальным.
