Права доступа в 1С-Битрикс: как раздать доступы и ничего не сломать

Раздавать всем администратора — самый быстрый способ получить взлом и случайно удалённый раздел. Разбираем, как выдать ровно те права, которые нужны для работы.

Права в 1С-Битрикс раздаются на нескольких уровнях, и понимание этой структуры экономит время: почти всегда нужный доступ можно дать точечно.

Уровни прав

1. Группы пользователей. Основной инструмент: пользователь входит в одну или несколько групп, права суммируются.
2. Права на модули. Каталог, магазин, инфоблоки, статистика — у каждого модуля свои уровни доступа.
3. Права на разделы файлов. Доступ к папкам сайта в файловой структуре.
4. Права на инфоблоки. Кто может читать, изменять, публиковать элементы конкретного инфоблока.

Типовые роли и что им нужно

Контент-менеджер. Доступ к инфоблокам с контентом, право изменять и публиковать. Не нужен доступ к настройкам, модулям, пользователям и файловой структуре целиком.

Менеджер заказов. Доступ к модулю магазина: заказы, покупатели, статусы. Не нужен доступ к каталогу на изменение и к настройкам оплаты.

Маркетолог. Доступ к статистике, рекламным настройкам, инфоблокам с акциями. Часто — только чтение каталога.

Разработчик подрядчика. Отдельная учётка с доступом к нужным разделам файлов и модулям, с фиксированным сроком работ.

Администратор. Полный доступ. Таких людей должно быть мало.

Порядок настройки

1. Создайте группы под роли, а не под конкретных людей.
2. Настройте права групп на модули и инфоблоки.
3. Проверьте доступ к разделам файлов: контент-менеджеру не нужен доступ к /bitrix/.
4. Заведите пользователей и включите их в группы.
5. Проверьте под каждой ролью, что нужное доступно, а лишнее — нет.

Что настроить обязательно

• Журнал событий. Минимум: вход, ошибка входа, добавление файла, изменение прав. Без него разбор инцидента невозможен.
• Двухфакторная аутентификация для администраторов.
• Ограничение доступа к админке по IP, если команда работает из фиксированных мест.
• Регулярная сверка списка администраторов — раз в месяц или автоматическим оповещением.

Ошибки, которые дорого стоят

Всем выдали администратора. Через полгода никто не знает, кто и что менял, а любая утечка пароля означает полный доступ.

Общая учётка на подрядчиков. История действий обезличена, а после окончания работ доступ обычно остаётся.

Журнал выключен. Разбирать инцидент придётся по косвенным признакам — это дольше и не всегда результативно.

Учётки уволенных активны. Классический вектор: человек ушёл, доступ остался.

Файловый менеджер админки доступен всем. Через него загружают веб-шеллы — именно так это произошло в разобранном нами инциденте.

Быстрая проверка прав на вашем сайте

1. Откройте список пользователей с правами администратора — все ли вам знакомы?
2. Посмотрите даты создания учётных записей — нет ли созданных «непонятно когда»?
3. Проверьте, включён ли журнал событий.
4. Проверьте, у скольких учёток включена двухфакторная аутентификация.
5. Посмотрите, есть ли активные учётки людей, которые больше не работают.

Если хотя бы один пункт вызывает вопросы, стоит навести порядок до того, как он превратится в инцидент.