Sito e account: chi ne è il titolare?

Chiedete a un imprenditore di Monaco a chi appartiene il suo nome di dominio: quasi tutti risponderanno «a noi». Poi chiedete a nome di chi è intestato l'account presso il registrar, a quale indirizzo arrivano gli avvisi di rinnovo e chi può accedere a Google Ads. Le risposte diventano spesso meno chiare: un'ex responsabile marketing, il freelance che ha realizzato il sito nel 2019, o un'agenzia che ha creato tutto sui propri account.

Va tutto bene finché qualcosa non cambia. Un collaboratore se ne va, si cambia agenzia, una password scade, oppure il dominio non viene rinnovato perché il promemoria è finito in una casella che nessuno legge più. A quel punto l'azienda scopre di non aver mai posseduto la propria presenza online: ne aveva solo l'accesso.

Questa guida è una verifica pratica da fare in un pomeriggio. È pensata per titolari e manager, non per sviluppatori.

Perché succede così spesso

Nessuno decide di cedere il controllo dei propri strumenti. Succede un account alla volta. Lo sviluppatore registra il dominio per risparmiarvi un passaggio. Una dipendente apre il profilo Instagram con il suo numero personale. L'agenzia crea il vostro account Google Ads dentro la propria fatturazione. Ogni scelta è comoda sul momento, e nessuno la mette per iscritto.

A Monaco il rischio è un po' più alto: molte aziende sono piccole, si affidano a fornitori esterni e nel corso degli anni cambiano più agenzie. I team, spesso transfrontalieri, ruotano. Ogni passaggio di consegne è un'occasione per perdere un accesso.

Il costo emerge sempre nel momento peggiore: quando volete cambiare agenzia, rifare il sito, lanciare una campagna prima di un grande evento o dimostrare a un fornitore di pagamenti che il dominio è davvero sotto il vostro controllo.

L'inventario: cosa dovete possedere davvero

Partite da un elenco. Per ogni voce annotate chi è il proprietario dell'account, a quale indirizzo email è collegato, chi altro vi ha accesso e chi lo paga.

• Nome di dominio: l'account presso il registrar e l'intestatario registrato, che si tratti di un .mc, di un .com o di un'altra estensione.
• DNS: spesso presso il registrar, a volte presso un fornitore separato come Cloudflare. Chi controlla il DNS controlla il sito e l'instradamento delle email.
• Hosting e sito: l'account di hosting, l'accesso amministratore al CMS e una copia del codice o del tema, se il sito è sviluppato su misura.
• Email e strumenti d'ufficio: l'account super-amministratore di Google Workspace o Microsoft 365.
• Misurazione: Google Analytics, Search Console, Tag Manager.
• Pubblicità: Google Ads, Meta Business Manager, LinkedIn Campaign Manager e relativa fatturazione.
• Schede e social: Google Business Profile, Instagram, Facebook, LinkedIn, TikTok, WhatsApp Business.
• Strumenti di vendita: Shopify o altra piattaforma e-commerce, il fornitore di pagamenti, i sistemi di prenotazione e il CRM.
• File del marchio: file sorgente del logo, linee guida, fotografie e relativi diritti d'uso.

Quasi ogni azienda trova almeno una voce di cui non sa indicare il proprietario. È da lì che conviene cominciare.

Proprietario o utente: la regola che risolve quasi tutto

Il principio è semplice. La vostra società deve essere proprietaria di ogni account; i fornitori ne sono solo utenti. Agenzie, freelance e dipendenti ricevono un accesso personale con i permessi di cui hanno bisogno. Quando escono di scena, togliete l'accesso e non cambia nient'altro.

La maggior parte delle piattaforme lo consente. Google Ads e Meta permettono a un'agenzia di gestire il vostro account tramite un collegamento partner o gestore, mentre la proprietà resta a voi. Analytics e Search Console accettano più utenti con ruoli diversi. Shopify prevede account per lo staff e per i collaboratori. Una buona agenzia imposta le cose così senza che glielo chiediate. Se un'agenzia insiste per tenere i vostri account nella propria struttura, chiedete il motivo e fatevi dare la risposta per iscritto.

Per il dominio, verificate che l'intestatario sia la vostra società e che gli avvisi di rinnovo arrivino a un indirizzo controllato dall'azienda. Se non sapete come viene registrato l'intestatario per la vostra estensione, il registrar può confermarvelo.

Un indirizzo aziendale, non di una persona

Molti blocchi nascono da un account legato all'email o al cellulare personale di qualcuno. Create alcuni indirizzi funzionali sul vostro dominio, come admin@ o marketing@, e usateli come indirizzo del proprietario per gli account principali. Mantenete attiva l'autenticazione a due fattori, ma conservate i codici di recupero e il secondo fattore in un luogo accessibile all'azienda, non solo sul telefono di una persona.

Un gestore di password condiviso aiuta molto: mostra chi ha accesso a cosa, riduce a pochi minuti la gestione di un'uscita ed evita password sparse tra fogli di calcolo e chat WhatsApp.

Gli accessi hanno anche un risvolto di protezione dei dati. Il CRM, lo strumento di prenotazione e i moduli del sito contengono dati personali, e la Legge n. 1.565 si aspetta che li proteggiate in modo adeguato. Sapere chi può aprire questi sistemi, e rimuovere chi non ne ha più bisogno, fa parte di questo. Se non siete sicuri dei vostri obblighi, il nostro team di conformità sulla protezione dei dati o il vostro DPO può aiutarvi a fare il punto.

Mettetelo nel contratto

Gli accessi risolvono il problema di oggi; il contratto evita quello di domani. Quando incaricate un'agenzia o un freelance, l'accordo dovrebbe stabilire a chi appartengono gli account creati, cosa succede a codice, file grafici e contenuti prodotti, e cosa va consegnato alla fine della collaborazione, entro quali tempi.

Proprietà intellettuale e clausole contrattuali sono ambiti in cui ogni parola conta, e le regole dipendono dalla giurisdizione e dal tipo di prestazione. Fate rivedere le clausole da un avvocato invece di affidarvi a un modello. In BSS la nostra regola è che dominio, hosting, account e il sito stesso appartengono al cliente, e noi lavoriamo al loro interno.

Fate la verifica, poi tenetela aggiornata

Un audit di un pomeriggio funziona così:

1. Elencate tutti gli account dell'inventario qui sopra.
2. Accedete a ciascuno con credenziali aziendali, non con quelle di un fornitore. Se non ci riuscite, avete trovato un problema.
3. Controllate proprietario e fatturazione di ogni account, e trasferite tutto ciò che è intestato a una persona o a un fornitore.
4. Rimuovete ex dipendenti e agenzie precedenti.
5. Archiviate credenziali e codici di recupero nel gestore di password aziendale.
6. Annotate le scadenze di rinnovo di domini, hosting, certificati SSL e licenze software.

Ripetete la verifica a ogni uscita di personale o cambio di fornitore, e almeno una volta l'anno. Se avete un contratto di manutenzione del sito, chiedete che la includa. E prima della prossima campagna, controllate che l'account Google Ads e la sua fatturazione siano intestati alla vostra società.

Il prossimo passo

Non sapete con certezza chi controlla il vostro dominio, il sito o gli account pubblicitari? Possiamo fare la verifica insieme a voi e riportare tutto a nome della vostra società, senza interrompere ciò che è online. Contattateci: partiamo da una breve chiamata.