Права доступа — та часть проекта, о которой вспоминают в двух случаях: когда менеджер случайно удалил половину каталога и когда выяснилось, что закрытые оптовые цены видел любой гость. И то, и другое — не «баг Битрикса», а следствие небрежно настроенных групп пользователей. В 1С-Битрикс система прав гибкая и мощная, но именно поэтому в ней легко запутаться и наделать дыр.
В этой статье разложим по полочкам, как устроены группы пользователей и уровни доступа: чем группа отличается от права, как складываются разрешения, как раздать доступ к модулям, инфоблокам, разделам и файлам и как всё это связано с ценами в B2B. Проектирование прав на сложных порталах мы закрываем услугой аудита и оптимизации 1С.
Коротко
- Группа отвечает на вопрос «кто», уровень доступа — «что этим людям можно делать» с конкретным ресурсом.
- Права нескольких групп складываются по максимуму — лишние разрешения «служебной» группы утекают клиентам.
- В торговом каталоге типы цен привязаны к группам, поэтому группы решают и безопасность, и коммерцию B2B.
- Основа безопасности — минимальные права гостю, минимальный доступ в админку и регулярный аудит.
Зачем нужны группы и права
Любой сайт на 1С-Битrix — это набор ресурсов (страницы, модули, каталог, файлы) и набор людей, которые с ними работают: гости, зарегистрированные клиенты, менеджеры, контент-редакторы, администраторы. Система прав определяет, кто из них что может видеть и делать. Без неё либо все могут всё (катастрофа с точки зрения безопасности), либо всё закрыто и работать невозможно.
Управлять правами каждого человека по отдельности нереально — поэтому в Битрикс права назначают не людям, а группам. Пользователь попадает в одну или несколько групп и наследует их права. Это удобно: добавили нового менеджера в группу «Менеджеры заказов» — он сразу получил нужный набор доступов без ручной настройки.
Группа, уровень доступа, право
Чтобы не путаться, разведём три понятия, которые часто смешивают.
- Группа пользователей. Набор людей с общей ролью: «Администраторы», «Дилеры», «Контент-менеджеры», гости. Отвечает на вопрос «кто».
- Уровень доступа. Именованный набор разрешений — «Чтение», «Запись», «Полный доступ». Отвечает на вопрос «в какой мере».
- Право на ресурс. Связка «группа + объект + уровень доступа»: например, группа «Контент» имеет уровень «Запись» на инфоблок «Новости».
Отдельно стоит группа «Администраторы»: её участники обычно имеют полный доступ ко всему и на них система прав не распространяет ограничения. Поэтому попадание в эту группу приравнивается к ключам от всего сайта — держите её максимально узкой.
Как складываются права нескольких групп
Ключевой и часто недооценённый момент: пользователь может состоять в нескольких группах, и его итоговые права складываются по принципу максимума. Действует самый высокий уровень доступа среди всех его групп. Если человек в группе «Клиенты» (только чтение каталога) и случайно добавлен в группу «Редакторы» (запись в инфоблоки), он получит право записи.
Практический вывод: проектируйте группы так, чтобы их права не пересекались хаотично. Лучше несколько узких групп с понятной зоной ответственности, чем одна «почти для всех» с широкими разрешениями.
Права на модули и административный раздел
Каждый модуль 1С-Битрикс (Информационные блоки, Интернет-магазин, Веб-формы, Техподдержка и другие) имеет собственные права доступа для групп. Именно здесь решается, кто попадёт в административную панель и что там сможет.
| Роль | Доступ в админку | Права на модули |
|---|---|---|
| Администратор | Полный | Все модули, полный доступ |
| Менеджер заказов | Ограниченный | Интернет-магазин: заказы, клиенты |
| Контент-менеджер | Ограниченный | Инфоблоки: свои разделы |
| Клиент | Нет | Публичная часть, личный кабинет |
| Гость | Нет | Только публичный контент |
Общее правило — чем меньше людей имеет доступ в административный раздел, тем ниже риск. Контент часто редактируется прямо в публичной части в режиме правки, а операционные задачи выносят в ограниченные разделы админки с точечными правами. Полный административный доступ оставляют одному–двум людям.
Права на инфоблоки и каталог
Инфоблоки — сердце контента и каталога, и права на них настраиваются особенно детально. На уровне инфоблока группе назначается доступ: нет доступа, чтение, черновик, запись, полный доступ. Этого достаточно для простых случаев вроде «редакторы правят новости, клиенты только читают».
Для сложных структур включают расширенный режим прав — тогда доступ настраивается вплоть до разделов и отдельных элементов. Например, у поставщика на маркетплейсе может быть право редактировать только свой раздел каталога. Такая гранулярность полезна в мультивендорных проектах — как устроен подобный функционал, мы разбираем в статье про разработку модуля маркетплейса на Битрикс. Но расширенные права сложнее сопровождать, поэтому включайте их, только когда обычных не хватает.
Права на разделы и файлы сайта
Помимо модулей и инфоблоков, права раздаются на структуру сайта — папки и файлы. В каждой директории публичной части может лежать файл прав доступа, который определяет, какие группы видят или редактируют содержимое этой папки и вложенных. Так закрывают, например, раздел личного кабинета от гостей или служебные страницы от посторонних.
- Наследование. Права папки распространяются на вложенные, если те не переопределены явно — это удобно, но требует внимательности.
- Закрытые разделы. Личный кабинет, B2B-витрина, документы для дилеров закрываются от гостевой группы на уровне папки.
- Файлы вне публикации. Прайсы, договоры, спецификации не должны лежать в открытых директориях — доступ к ним ограничивают правами и логикой выдачи.
Важно, что права на файлы работают в связке с настройками веб-сервера и инфраструктурой. Если файл физически доступен по прямой ссылке в обход прав Битрикс, ограничение можно обойти — поэтому чувствительные документы отдают через контролируемый скрипт. Как устроена среда и почему она влияет на безопасность, мы описали в статье про хостинг и BitrixVM.
Группы и цены в B2B
В B2B-проектах группы решают не только вопрос безопасности, но и коммерческую задачу. В торговом каталоге 1С-Битрикс типы цен привязываются к группам пользователей: дилерская цена показывается группе «Дилеры», оптовая — группе «Опт», розничная — гостям. Один и тот же товар выглядит по-разному в зависимости от того, кто авторизован.
Поэтому проектирование групп в опте идёт рука об руку с ценовой политикой: сколько уровней цен, кто в какую группу попадает, что видит неавторизованный посетитель. Часто закрытые цены вообще прячут от гостей — им предлагают войти или оставить заявку. Автоматизацию присвоения групп и цен (например, по данным из учётной системы) мы закрываем услугой автоматизации продаж и склада на 1С.
Типовые роли и как их спроектировать
Не изобретайте группы стихийно — начните с типовых ролей и адаптируйте под свой проект. Для большинства интернет-магазинов и B2B-порталов набор такой:
- Гость. Минимум: публичный контент, каталог без закрытых цен, возможность регистрации.
- Зарегистрированный клиент. Личный кабинет, история заказов, розничные цены и условия.
- Дилер/опт. Свои цены, закрытые разделы, быстрый заказ, возможно, отсрочка платежа.
- Менеджер заказов. Ограниченный доступ к заказам и клиентам, без прав на структуру и модули.
- Контент-менеджер. Запись в свои инфоблоки и разделы, без административных настроек.
- Администратор. Полный доступ; один–два человека, отдельная защита учётной записи.
Принцип минимальных привилегий
Главный принцип безопасности прав — минимальные привилегии: каждой группе даётся ровно то, что нужно для работы, и ничего сверх. Это не про недоверие к людям, а про снижение ущерба. Если аккаунт менеджера или подрядчика скомпрометируют, злоумышленник получит доступ только к узкой зоне, а не ко всему сайту.
Особенно это касается интеграций и внешних сервисов. Технические учётные записи для API и обмена должны иметь права строго под свою задачу — доступ к нужным методам и ничего больше. Как правильно ограничивать и защищать программный доступ, мы разбираем в статье про безопасность REST и вебхуков. Служебный ключ с полными правами — типовая дыра, через которую утекают данные.
Аудит и сопровождение прав
Права — не статичная настройка «один раз и забыли». Люди приходят и уходят, задачи меняются, временные доступы забывают отозвать. Без регулярного аудита система прав неизбежно «зарастает» лишними разрешениями.
- Документируйте. Держите таблицу «группа — ресурс — уровень доступа» в актуальном состоянии.
- Проверяйте периодически. Раз в квартал просматривайте состав групп и убирайте устаревшие права.
- Отзывайте вовремя. Ушёл сотрудник или подрядчик — сразу закрывайте доступ, не откладывая.
- Избегайте исключений. Единичные права «для одного человека» ломают логичную структуру и забываются.
Частые ошибки
- Широкие права гостевой группе. Всё, что открыто гостю, видно всему интернету, включая закрытые разделы.
- Забытая «служебная» группа с полным доступом. Через сложение прав она раздаёт лишнее случайным пользователям.
- Все менеджеры — администраторы. Полный админ-доступ там, где хватило бы прав на один модуль.
- Закрытые цены видны гостю. Типы цен привязаны не к тем группам, опт утекает конкурентам.
- Технический ключ с полными правами. Интеграция может всё, компрометация ключа открывает весь сайт.
- Файлы в обход прав. Прайсы и договоры лежат в открытой папке и доступны по прямой ссылке.
- Нет аудита. Права наращивались годами, никто не знает, кто что может.
Чек-лист настройки доступа
- Роли определены. Список групп под реальные роли проекта, без хаотичных пересечений.
- Гость ограничен. Гостевая группа видит только публичный контент, без закрытых цен и разделов.
- Админка сужена. Полный доступ у одного–двух людей, остальные — точечные права на модули.
- Инфоблоки разграничены. Каждая группа редактирует только свою зону каталога и контента.
- Файлы защищены. Закрытые разделы и документы недоступны гостю и по прямой ссылке.
- Цены по группам. Типы цен привязаны к нужным группам, опт закрыт от неавторизованных.
- Интеграции ограничены. Технические ключи имеют права строго под свою задачу.
- Аудит регулярен. Матрица доступа задокументирована и пересматривается по расписанию.
Вывод
Группы пользователей и уровни доступа в 1С-Битрикс — это одновременно инструмент безопасности и инструмент коммерции. Они определяют, кто попадёт в админку, кто отредактирует каталог, кто увидит дилерскую цену, а кто останется с розничной. Ошибки здесь дороги: лишние права превращаются либо в удалённый контент, либо в утёкшие данные и цены.
Держитесь простых правил: минимум прав гостю, минимум людей в админке, права строго под роль, технические ключи — под задачу, и регулярный аудит всей матрицы. Спроектированная заранее и задокументированная система доступа избавляет от неприятных сюрпризов и делает портал предсказуемо безопасным по мере роста.
