Настройка прав на файлы и папки в 1С-Битрикс

Права на файлы и папки — фундамент и работоспособности, и безопасности сайта на 1С-Битрикс. Слишком строгие права ломают загрузку файлов, кэш и обновления; слишком слабые (печально известные 777) открывают путь к подмене скриптов при взломе. Правильный подход почти никогда не сводится к «раздать всем права» — он начинается с владельца процесса: файлы сайта должны принадлежать тому пользователю, под которым выполняется PHP. Этот материал объясняет, как выставить корректную и безопасную схему прав, каким каталогам нужна запись и как быстро исправить типовые проблемы после установки или переноса.

Владелец процесса — почему это важнее chmod

В Linux доступ к файлу определяется тремя категориями: владелец, группа и остальные. PHP-скрипты Битрикса выполняются от имени определённого пользователя (в штатном окружении — bitrix, на хостинге — пользователь вашего аккаунта). Чтобы продукт мог писать в свои каталоги с безопасными правами 755, эти каталоги должны принадлежать тому же пользователю. Если файлы залиты под root или под FTP-пользователем, отличным от веб-серверного, PHP оказывается в категории «остальные» — и тогда для записи действительно приходится открывать 777. Поэтому первый шаг настройки прав — не chmod, а проверка и исправление владельца.

Безопасная схема прав: 644 и 755

Рекомендованная схема для 1С-Битрикс:

Объект	Права	Что означает
Каталоги	755 (rwxr-xr-x)	владелец пишет и читает, остальные только читают и заходят внутрь
Файлы	644 (rw-r--r--)	владелец пишет и читает, остальные только читают
Служебные скрипты	644	исполняются веб-сервером, но не должны быть доступны на запись всем
Конфиги (.settings.php, dbconn.php)	644, владелец — веб-сервер	содержат доступы к БД, посторонним запись запрещена

При таких правах и корректном владельце продукт свободно пишет в свои рабочие каталоги, а посторонние процессы не могут ничего перезаписать.

Каким папкам нужна запись

Запись во время работы нужна ограниченному набору каталогов. Ключевые из них:

• /upload/ — загруженные файлы, изображения, документы;
• /bitrix/cache/, /bitrix/managed_cache/, /bitrix/stack_cache/ — кэш;
• /bitrix/tmp/ — временные файлы;
• /bitrix/backup/ — резервные копии из админки;
• /bitrix/updates/ — файлы обновлений платформы;
• /bitrix/php_interface/ — при правках агентов и обработчиков.

Всё это работает с правами 755/644 при верном владельце — специально открывать их «на весь мир» не нужно.

Команды для массового исправления прав

Под root (или пользователем с sudo) в корне сайта приведите владельца и права к безопасной схеме. Ниже — типовой набор для штатного окружения, где пользователь веб-сервера — bitrix:

• сменить владельца рекурсивно: chown -R bitrix:bitrix /home/bitrix/www
• права на каталоги: find /home/bitrix/www -type d -exec chmod 755 {} \;
• права на файлы: find /home/bitrix/www -type f -exec chmod 644 {} \;

Проверка прав в отчёте check_bitrix

Штатный инструмент диагностики — системная проверка. Откройте Настройки → Инструменты → Проверка системы (страница check_bitrix.php): помимо параметров сервера она проверяет доступность каталогов на запись и подсвечивает проблемы с правами. Красные и жёлтые пункты по правам обычно означают либо неверного владельца, либо отсутствие доступа на запись к рабочему каталогу. Подробный разбор отчёта — в статье о проверке системы и check_bitrix.

Права и безопасность: чего избегать

• Не оставляйте 777. Это разрешает запись любому процессу на сервере — при взломе соседнего сайта на том же хостинге злоумышленник сможет подменить ваши файлы.
• Не давайте запись всем на конфиги. Файлы /bitrix/.settings.php и /bitrix/php_interface/dbconn.php содержат доступы к базе — они должны быть закрыты от чужой записи.
• Включите проактивную защиту. Корректные права работают в связке с проактивным фильтром и другими механизмами модуля «Проактивная защита».
• Ограничьте выполнение в /upload/. Загружаемые файлы не должны исполняться как скрипты — это настраивается на уровне веб-сервера.

Комплексно защитить проект помогает настройка прав доступа и работы с персональными данными и доработка безопасности сайта на Битрикс.

Особенности хостинга и штатного окружения

В окружении BitrixEnv и на BitrixVM владелец и права выставлены изначально верно: файлы принадлежат пользователю bitrix, а продукт пишет в свои каталоги без ослабления прав. Проблемы возникают, когда файлы заливают вручную по SFTP под другим пользователем. На классическом shared-хостинге PHP обычно работает под пользователем аккаунта, поэтому схема 755/644 подходит без правки владельца — но операции chown нередко доступны только через поддержку. После любого переноса сайта проверку прав нужно выполнять заново.

Частые ошибки и их решение

• «Нет прав на запись» при загрузке файлов. Каталог /upload/ принадлежит не тому пользователю. Исправьте владельца, права оставьте 755.
• Не создаётся кэш, сайт тормозит. Нет записи в /bitrix/cache/ и /bitrix/managed_cache/. Проверьте владельца этих каталогов.
• Обновления не устанавливаются. Закрыт на запись /bitrix/updates/ либо неверный владелец — обновление не может распаковать файлы.
• После заливки по FTP всё требует 777. Классический признак неверного владельца. Не открывайте 777 — смените владельца на пользователя веб-сервера.
• Сайт взломан, файлы подменены. Часто следствие прав 777 на боевом сервере. Приведите права к безопасной схеме и включите проактивную защиту.

Итог

Правильная настройка прав в 1С-Битрикс — это в первую очередь корректный владелец файлов (пользователь веб-сервера), а уже затем безопасная схема 755 для каталогов и 644 для файлов. При таком подходе продукт свободно пишет в /upload/, кэш и обновления, а посторонние процессы не могут ничего перезаписать. Права 777 — не решение, а источник уязвимостей: почти всегда за требованием 777 стоит неверный владелец. Проверяйте права через check_bitrix.php, особенно после установки и переноса, и держите конфиги закрытыми от чужой записи. Если наводить порядок в правах и безопасности некогда — мы возьмём это на себя.