先说结论：源码要归自己，账号资产更要归自己

我们讲源码归属时强调"代码是命门"。但比代码更容易漏掉的，是一批"看不见的钥匙"：小程序的 AppID、AppSecret、支付密钥、商户号证书、服务器和后台的管理员账号。这些平时不显眼，可一旦和开发方闹掰、或开发方失联，没有它们你连后台都进不去。这篇列一份账号资产清单，把归属和保管讲清。

小程序的"账号资产"具体指哪些？

一个项目跑起来，至少有这么几把看不见的"钥匙"，每一把都直接决定你能不能管住自己的系统：

  • 微信侧：小程序 AppID 与 AppSecret（接口调用凭证）、管理员与开发者权限、发布密钥；
  • 支付侧：微信支付商户号、商户 API 证书与支付密钥——这些直接影响收钱，是最高敏感级资产，我们讲商户号开通时强调过它的重要性；
  • 服务器侧：云账号、服务器 SSH、数据库账号、对象存储密钥；
  • 业务后台：管理后台的超级管理员账号、操作员账号与权限配置。

清点方法是问一句："如果明天开发方失联，我靠哪些凭证还能完全接管这个系统？"列不出清单，就是漏洞。

这些资产应该由谁保管，开发方还是我？

原则从一开始就要定明确：所有账号注册时就要用你的身份，而不是开发方的，归属权从第一天起就是你的：

  • AppID、商户号、云账号：全部用你的手机号、你的邮箱、你的营业执照注册，开发方只拿到"开发者/操作员"级别的授权，而不是"所有者"；
  • 密钥类：AppSecret、支付密钥这类，最理想是你自己持有、开发方按需申请使用；至少也要存在双方都能查的加密档案里；
  • 权限最小化：开发方离职或合作结束后，权限要能一键收回——这在注册时就要设计好，事后补救很麻烦。

有些开发方图省事用自己的账号注册，交完项目再"转给你"，中间任何一个环节卡住（认证主体变更、管理员换绑），项目就被吊在半空。我们做项目时，账号注册环节就让客户全程用自己的信息操作，从第一天起资产就归客户。

交接账号资产时，要核对什么？

换团队或项目收尾时，账号交接比源码交接更容易出岔子，因为它看不见摸不着，漏一项就是一颗雷：

  • 逐项清点：对照上面的清单逐项过，每项验证"真的能登录、真的有效"，别只听口头说"都给你了"；
  • 改绑与换密：接管后立即改密码、换绑管理员手机和邮箱，避免旧合作方仍能登录——这正是我们讲团队交接时强调的"交接完要换锁"；
  • 留档：资产清单写清每一项的用途、保管人、更新日期，存到安全的地方，别存在某个人微信收藏里。

账号资产丢了，轻则折腾重则失控。如果你在交接或准备开工、不确定账号归属怎么安排，把情况说给我们，方案评估免费——我们帮你把资产清单和权限设计一次理清。