Права и безопасность в коробке — зона вашей ответственности целиком: и разграничение доступа сотрудников к данным CRM, и защита самого сервера. Разбираем оба контура: как настроить роли и группы внутри портала и как закрыть периметр средствами Битрикс24 и системного администрирования.
Два контура безопасности
Безопасность коробки удобно делить на два уровня, и путать их нельзя — они решают разные задачи и настраиваются в разных местах.
- Права внутри портала — кто из сотрудников что видит и меняет: сделки, отчёты, диск, настройки. Настраивается в интерфейсе Битрикс24.
- Безопасность инфраструктуры — защита сервера, БД, каналов связи от внешних угроз. Настраивается на уровне ОС, веб-сервера и модуля «Проактивная защита».
Права доступа в CRM
Ядро разграничения — ролевая модель CRM в разделе CRM → Настройки → Права → Права доступа. Роль описывает, что сотрудник может делать с каждой сущностью и в каком объёме видимости.
| Уровень доступа | Что означает |
|---|---|
| Нет доступа | Сущность недоступна |
| Свои | Только записи, где сотрудник ответственный |
| Свои и отдела | Плюс записи подчинённых |
| Все | Полный доступ по компании |
Уровни задаются отдельно на чтение, изменение, добавление, удаление, экспорт и импорт для каждого типа сущности — лидов, сделок, контактов, компаний. Отдельно стоит ограничивать экспорт: именно через выгрузку в файл чаще всего утекает база клиентов.
Группы пользователей и структура
Роли CRM назначаются не по одному человеку, а через группы и оргструктуру. Это масштабируемо: новый сотрудник попадает в подразделение и автоматически получает нужный набор прав.
- Настройте оргструктуру в разделе «Компания» — она определяет видимость «свои и отдела».
- Создайте группы пользователей в
Настройки → Пользователи → Группы. - Свяжите группы с ролями CRM и правами на модули.
- Настройте права на Диск, живую ленту и разделы портала отдельно.
Права модулей (например, доступ к настройкам портала или к отчётам) задаются на уровне групп через вкладку «Доступ» в карточке каждого модуля. Принцип — минимально необходимые права: по умолчанию запрещено, разрешаем точечно.
Модуль «Проактивная защита»
В коробке есть встроенный модуль безопасности — «Проактивная защита» (security). Он поднимает уровень защиты портала без привлечения системного администратора и настраивается в разделе Настройки → Проактивная защита.
- Проактивный фильтр (WAF) — отсекает типовые атаки: SQL-инъекции, XSS, попытки обхода.
- Одноразовые пароли (OTP) — двухфакторная аутентификация для входа.
- Контроль целостности — фиксирует несанкционированные изменения файлов ядра.
- Журнал вторжений — логирует подозрительные события для расследования.
- Уровень безопасности сессий — привязка к IP, шифрование, ограничение времени жизни.
Двухфакторная аутентификация и пароли
Учётные записи — самый частый вектор компрометации. В коробке доступно несколько механизмов усиления входа помимо обычного пароля.
| Механизм | Что даёт |
|---|---|
| Одноразовые пароли (OTP) | Второй фактор через приложение-аутентификатор |
| Политика паролей | Требования к длине, сложности, смене |
| Ограничение по IP | Доступ к админке только из офиса/VPN |
| Active Directory | Единая доменная авторизация |
Двухфакторку критично включить хотя бы для администраторов портала и сотрудников с доступом «все» в CRM. Политику паролей настраивают в группах пользователей — минимальная длина, обязательные спецсимволы, периодическая смена.
Защита сервера и каналов
Портал живёт на вашем сервере, поэтому базовая гигиена инфраструктуры так же важна, как настройки внутри Битрикс24.
- SSL/HTTPS обязателен — весь трафик, включая вход в CRM, шифруется сертификатом.
- Файрвол и закрытые порты — наружу смотрят только 80/443, доступ к MySQL и SSH ограничен.
- Регулярные обновления — и самого Битрикс24, и ОС, PHP, веб-сервера.
- Отдельные учётки БД — портал ходит в базу под ограниченным пользователем, не под root.
- Резервное копирование — бэкап вне сервера как последняя линия защиты от шифровальщика.
Итог
Безопасность коробки складывается из двух контуров: разграничение прав внутри портала (роли CRM, группы, оргструктура, контроль экспорта) и защита инфраструктуры (проактивная защита, двухфакторка, SSL, файрвол, обновления). Работает только оба сразу — идеальные роли не спасут при открытом сервере, а защищённый сервер не поможет, если менеджер выгружает всю базу.
Мы в B2Bsite выстраиваем разграничение прав под реальную структуру отдела продаж и настраиваем защиту коробки: проактивный фильтр, двухфакторную аутентификацию, политики доступа и регулярные обновления. Если нужна безопасность портала без ущерба для удобства работы — поможем найти баланс и сопровождать систему.
Частые вопросы
Чем безопасность коробки отличается от облака?
В облаке защиту сервера держит вендор, а в коробке весь контур инфраструктуры ваш: обновления, файрвол, SSL, доступы. Внутри портала права настраиваются схоже.
Как ограничить, какие сделки видит менеджер?
Через роли CRM с уровнем видимости: «свои», «свои и отдела» или «все». Видимость по отделу опирается на настроенную оргструктуру компании.
Как защититься от утечки клиентской базы?
Запретите право экспорта рядовым менеджерам и ограничьте доступ «все». Именно выгрузка в файл — самый частый канал утечки всей базы одним действием.
Что делает модуль «Проактивная защита»?
Он включает WAF-фильтр против SQL-инъекций и XSS, одноразовые пароли, контроль целостности файлов и журнал вторжений. Настраивается в разделе проактивной защиты.
Обязательна ли двухфакторная аутентификация?
Как минимум для администраторов и сотрудников с полным доступом к CRM — да. Одноразовые пароли резко снижают риск компрометации учётных записей.
Нужен ли SSL для коробки?
Да, HTTPS обязателен. Без шифрования логины, пароли и данные CRM передаются в открытом виде и могут быть перехвачены в сети.
Можно ли пускать в портал только из офиса?
Да, доступ к админке можно ограничить по IP или пускать только через VPN. Это особенно уместно для учётных записей с расширенными правами.
Почему так важны обновления?
Большинство взломов коробок идёт через уже известные уязвимости, для которых вышли патчи. Регулярное обновление платформы и ОС закрывает основную часть рисков.
Поможем с настройкой и поддержкой Битрикс24
Поможем с настройкой, доработкой и поддержкой Битрикс24.