Paweł Oleś
Moment podpisania umowy z nowym partnerem marketingowym to początek kluczowej fazy wdrożeniowej (onboardingu). W wielu firmach proces ten przeciąga się tygodniami: maile z prośbami o hasła krążą między działami, dostęp do kont analitycznych jest zablokowany, a nowa agencja wystawia fakturę za miesiąc, w którym nie przeprowadziła żadnych realnych prac.
Z drugiej strony nieostrożne przekazywanie haseł administracyjnych do CMS-a i bazy danych niesie ogromne ryzyko cyberbezpieczeństwa i naruszenia przepisów o ochronie danych osobowych. Poniższa instrukcja krok po kroku wyjaśnia, jak profesjonalnie i bezpiecznie wdrożyć zewnętrznego eksperta w infrastrukturę firmy.
Zasada najmniejszych uprawnień: jak współpracować bezpiecznie
Szczególne procedury bezpieczeństwa i umowy o zachowaniu poufności w relacjach agencyjnych omawiam w przewodniku: White Label SEO i Google Ads dla agencji.
Bezpieczny onboarding agencji lub konsultanta marketingowego opiera się na zasadzie najmniejszych uprawnień (Principle of Least Privilege — PoLP). Zewnętrzny partner powinien otrzymać wyłącznie taki poziom dostępu do narzędzi analitycznych, reklamowych i CMS, jaki jest niezbędny do audytu i realizacji zadań, bez przyznawania praw głównego administratora, które mogłyby umożliwić przejęcie własności zasobów cyfrowych firmy.
Nigdy nie przekazuj agencji wspólnych loginów i haseł (np. login: admin, hasło: firmowe123). Każdy zewnętrzny użytkownik musi posiadać imienne konto powiązane ze swoim adresem e-mail. Umożliwia to pełną kontrolę w dziennikach zdarzeń (logach), kto i kiedy dokonał zmian na stronie lub w kampanii reklamowej.
Co równie ważne, w razie zakończenia współpracy odebranie dostępów jednemu użytkownikowi zajmuje 10 sekund i nie wymaga gorączkowej zmiany haseł w całej firmie. Zobacz, jak organizuję bezpieczne wdrożenie na stronie konsultacje SEO online.
Checklista dostępów: krok po kroku dla administratora
Zasady bezpiecznego delegowania kampanii PPC bez ryzyka utraty konta opisuje outsourcing Google Ads: koszty, modele i audyt.
Poniższa tabela przedstawia wymagane poziomy uprawnień dla poszczególnych platform analitycznych i marketingowych:
| Platforma / Narzędzie | Rekomendowana rola użytkownika | Czego NIGDY nie nadawać agencji |
|---|---|---|
| Google Search Console (GSC) | Pełny użytkownik (Full User) | Właściciel (Owner) — właściciel może usunąć Twoje konto z usługi. |
| Konto Google Ads | Dostęp przez MCC z uprawnieniem Standardowym | Uprawnienia Administracyjne (Admin) ani Dostęp tylko do płatności. |
| Google Analytics 4 (GA4) | Analityk (Analyst) lub Edytor (Editor) | Administrator konta na poziomie całej organizacji Google. |
| Google Tag Manager (GTM) | Edycja (Edit) na poziomie wybranego kontenera | Publikacja (Publish) — chyba że agencja bierze pełną odpowiedzialność za kod. |
| Panel CMS (WordPress, Presta itp.) | Redaktor / Edytor SEO (ograniczone prawa) | Główny Super Administrator z prawem edycji motywów PHP. |
Więcej o konfiguracji GSC dowiesz się z artykułu jak używać Google Search Console.
Dostęp do CMS i środowiska deweloperskiego: staging zamiast produkcji
Praktyczny przewodnik po wdrożeniach i testach na stagingu znajdziesz w tekście: konsultant SEO a deweloperzy: code review i wdrożenia.
Częstym błędem jest przyznawanie agencji dostępów do serwera produkcyjnego (FTP/SSH) z uprawnieniami do edycji plików na żywym organizmie. Wystarczy jeden błąd w pliku .htaccess lub kolizja wtyczek, aby sklep przestał przyjmować płatności.
Bezpieczny standard pracy technologicznej:
- Wszelkie prace wdrożeniowe prowadzone są na środowisku testowym (staging), będącym wierną kopią bazy i plików strony.
- Konsultant przygotowuje zadania w Jira / Asanie lub zgłasza poprawki w gałęzi Git (Pull Request).
- Wdrożenie na serwer produkcyjny realizuje dedykowany programista firmy po wcześniejszym przetestowaniu kodu.
Specyfika e-commerce: Google Merchant Center i feedy produktowe
Prowadzenie kampanii produktowych Google Shopping wymaga powiązania konta Google Ads z Google Merchant Center (GMC). Tutaj również obowiązują rygorystyczne zasady:
Konto Merchant Center zakłada właściciel sklepu. Agencja otrzymuje zaproszenie jako Użytkownik Standardowy. Dostęp ten pozwala na mapowanie atrybutów produktowych, optymalizację tytułów w plikach XML oraz rozwiązywanie problemów z odrzuconymi produktami, bez prawa do zmiany danych właścicielskich spółki.
Bezpieczeństwo i RODO: umowa powierzenia przetwarzania danych (PPD)
Agencja SEO i SEM analizująca ruch w sklepie ma potencjalny dostęp do danych analitycznych. Choć Google Analytics 4 domyślnie anonimizuje adresy IP, to w systemach CRM, modułach leadowych czy nagraniach sesji (np. Hotjar, Microsoft Clarity) mogą pojawiać się dane osobowe (PII).
Przed przekazaniem dostępów konieczne jest podpisanie Umowy Powierzenia Przetwarzania Danych Osobowych (PPD). Dokument ten precyzuje, w jakim celu i w jakim zakresie zewnętrzny podmiot może przetwarzać dane, chroniąc Twoją firmę przed karami Urzędu Ochrony Danych Osobowych. Poznaj zasady ochrony danych w przewodniku RODO w marketingu i SEO.
Harmonogram pierwszych 30 dni wdrożenia
Profesjonalny proces wdrożenia nowego partnera marketingowego powinien przebiegać według przejrzystego harmonogramu:
- Dni 1–3: Przekazanie dostępów i audyt techniczny narzędzi — weryfikacja poprawności tagów analitycznych, weryfikacja historii zmian w Ads i struktury indeksacji w GSC.
- Dni 4–14: Diagnoza strategiczna (Kickoff) — identyfikacja krytycznych błędów (tzw. Quick Wins), analiza profilu linków i wykluczenie nietrafionych fraz.
- Dni 15–21: Prezentacja Kwartalnej Roadmapy — omówienie planu działań na najbliższe 90 dni, zatwierdzenie backlogu zadań i ustalenie celów biznesowych.
- Dni 22–30: Pierwsze wdrożenia — start zoptymalizowanych kampanii PPC oraz przekazanie pierwszych ticketów technicznych do zespołu IT.
Najczęściej zadawane pytania o uprawnienia dla agencji
Czy agencja może żądać hasła do mojego głównego konta Google?
Nigdy. Wszelkie uprawnienia nadaje się przez oficjalny moduł zaproszeń e-mail w poszczególnych usługach lub przez połączenie Konta Menedżera (MCC). Żądanie bezpośredniego hasła świadczy o braku elementarnych standardów bezpieczeństwa.
Czy po zakończeniu współpracy agencja może zablokować moje konto?
Jeśli zachowałeś status Właściciela i nadałeś agencji dostęp przez MCC Standardowe, nie ma takiej możliwości. W każdej chwili możesz jednym kliknięciem odpiąć menedżera z poziomu panelu administracyjnego.
Czy zewnętrzny konsultant potrzebuje dostępu do bazy danych MySQL serwisu?
W 99% przypadków nie. Do audytu i optymalizacji SEO wystarczają dane pobierane przez przeglądarkę, crawler (Screaming Frog) oraz interfejs API Google Search Console.
Sprawny onboarding to gwarancja szybkich efektów
Prawidłowe procedury wdrożeniowe budują partnerskie zaufanie i eliminują przestoje technologiczne. Jeśli szukasz bezpiecznego i transparentnego wsparcia dla swojej firmy, zapraszam na konsultacje Google Ads i SEO.
