Как настроить пользователей и права на сайте 1С-Битрикс
Права на сайте 1С-Битрикс складываются из двух уровней: группа пользователя даёт доступ к модулям, а права на инфоблоки определяют, что можно делать с данными. Разбираться стоит один раз — дальше выдача доступов занимает минуты.
Как настроить
- Опишите роли: кто публикует новости, кто ведёт каталог, кто отвечает за заказы, кто администрирует сайт.
- Создайте группы пользователей под эти роли вместо выдачи прав по одному человеку.
- Для каждой группы задайте уровень доступа к нужным модулям, остальные закройте.
- Настройте права на инфоблоки: чтение, изменение, публикация — отдельно по каждому инфоблоку.
- Создайте персональные учётные записи сотрудникам и подрядчикам и включите каждого в свою группу.
- Включите двухфакторную аутентификацию для администраторов.
- Проверьте результат под учётной записью менеджера, а не администратора.
- Раз в квартал пересматривайте список: уволенные и бывшие подрядчики не должны оставаться в системе.
Что обычно идёт не так
- Все администраторы. Самая частая находка аудита: доступ ко всему у людей, которым нужен один раздел.
- Общий логин для подрядчиков. Невозможно понять, кто что сделал, и нельзя отозвать доступ одному из них.
- Права выдают человеку, а не группе. При замене сотрудника всё приходится собирать заново.
- Учётные записи не убирают. Доступ бывшего подрядчика живёт годами — и становится точкой входа при взломе.
Частые вопросы
Как дать подрядчику доступ, но не полный?
Создайте отдельную группу с правами на нужные модули и инфоблоки и отдельную учётную запись для каждого подрядчика. Общий логин «для разработчиков» нельзя отозвать выборочно и невозможно связать действия с человеком.
Чем права на инфоблок отличаются от прав на модуль?
Право на модуль определяет доступ к разделу административной части, право на инфоблок — что можно делать с конкретными данными: читать, изменять, публиковать. Нужны оба уровня, иначе менеджер либо не видит раздел, либо видит в нём всё.
Нужно ли закрывать административную часть по IP?
Это заметно снижает риск подбора паролей, но мешает работать удалённо. Рабочий компромисс: двухфакторная аутентификация для всех администраторов и ограничение по IP там, где доступ нужен из одного офиса.
