Коротко
Права доступа в Битрикс настраиваются через группы пользователей: сотрудника добавляют в группу, а группе выдают уровень доступа к модулям, инфоблокам, разделам сайта и статусам заказов. Прав отдельного человека в 1С-Битрикс почти не бывает — всё строится на ролях. Поэтому сначала проектируют роли (контент-менеджер, менеджер заказов, SEO-специалист, подрядчик), а потом создают под них группы.
Главное правило — не давать сотрудникам группу «Администраторы», даже если так быстрее. Администратор может всё: удалить каталог, изменить настройки оплаты, поставить модуль с вредоносным кодом. Правильная схема даёт каждому ровно то, что нужно для работы, и не больше.
| Роль | Что нужно | Чего не нужно |
|---|---|---|
| Контент-менеджер | Редактирование инфоблоков новостей, статей, страниц | Настройки модулей, заказы, пользователи |
| Менеджер каталога | Товары, цены, свойства, разделы каталога | Настройки оплаты и доставки, обновления |
| Менеджер заказов | Просмотр и обработка заказов по статусам | Каталог, настройки магазина, шаблоны |
| SEO-специалист | Метатеги, robots.txt, карта сайта, редиректы | Заказы, пользователи, платёжные системы |
| Подрядчик | Временный доступ к нужным модулям | Постоянный административный доступ |
Основная мысль
Права доступа в 1С-Битрикс — это не список запретов для отдельных людей, а набор ролей: группа описывает работу, а сотрудник получает права, добавляясь в группу, — такую схему легко проверять, расширять и отзывать.
На многих сайтах права выстроены хаотично. Половина сотрудников — администраторы, пароли общие, бывший подрядчик до сих пор может войти в админку. Проблема проявляется внезапно: кто-то случайно удалил раздел каталога или изменил цены, и непонятно, кто именно.
Правильная настройка решает три задачи. Сотрудники не могут случайно сломать то, что не относится к их работе. Действия видны в журнале. Доступ уходящего сотрудника или подрядчика закрывается за минуту.
Как устроены права доступа в Битрикс
Система прав в Битриксе многоуровневая. Чтобы настроить её правильно, нужно понимать, на каком уровне что задаётся.
Уровни прав
- Группы пользователей. Базовая единица: права выдаются группе, а не человеку.
- Модули. Для каждого модуля группе назначается уровень доступа — от «доступ закрыт» до «полный доступ».
- Инфоблоки. Отдельно для каждого инфоблока: кто видит, кто редактирует, кто может менять права.
- Файлы и папки. Доступ к разделам сайта и файлам — для публичной части и для редактирования.
- Статусы заказов. В интернет-магазине — какие действия с заказом в каком статусе доступны группе.
Системные группы
В любой установке есть группа «Администраторы» и группа «Все пользователи (в том числе неавторизованные)». Первая имеет полный доступ ко всему, её права ограничить нельзя. Вторая включает всех посетителей сайта, и её права определяют, что видно без авторизации.
Другие группы зависят от редакции и готового решения. Например, часто есть «Зарегистрированные пользователи» — туда попадают покупатели после регистрации. Не путайте группы покупателей с группами сотрудников.
Как права суммируются
Если пользователь состоит в нескольких группах, он получает максимальный из уровней доступа этих групп. Поэтому ограничить сотрудника, добавив его в «ограничивающую» группу, нельзя. Если он одновременно состоит в группе администраторов, все ограничения теряют смысл.
Битрикс: настроить права доступа по шагам
Ниже — порядок работы, который подходит для большинства корпоративных сайтов и интернет-магазинов.
Шаг 1. Составьте список ролей
Запишите, кто работает с сайтом и что каждый делает. Не нужно создавать группу под каждого человека. Роль — это набор задач: «публикует новости», «обрабатывает заказы», «правит метатеги».
Шаг 2. Создайте группы
- Откройте «Настройки» → «Пользователи» → «Группы пользователей».
- Нажмите кнопку добавления группы.
- Укажите понятное название, например «Контент-менеджеры», и описание роли.
- Сохраните группу.
Шаг 3. Выдайте доступ к модулям
В карточке группы есть вкладка с доступом к модулям. Для каждого модуля выбирается уровень. Также права можно задать на странице настроек конкретного модуля, во вкладке доступа.
Принцип простой: всё, что не нужно роли, оставляйте закрытым. Названия уровней отличаются от модуля к модулю, но логика одна — закрыто, чтение, изменение, полный доступ.
Шаг 4. Настройте доступ к инфоблокам
Для каждого инфоблока в его настройках есть вкладка доступа. Там группе выдают нужный уровень: только чтение, изменение или полный доступ с правом менять права. Контент-менеджеру обычно достаточно изменения новостей и статей, без доступа к инфоблоку каталога.
Шаг 5. Добавьте сотрудников в группы
В разделе «Настройки» → «Пользователи» → «Список пользователей» откройте карточку сотрудника и во вкладке групп отметьте нужную. Там же можно указать период действия членства в группе — удобно для временного доступа.
Шаг 6. Проверьте под учётной записью сотрудника
Войдите под тестовым пользователем с этой ролью и пройдите по рабочим задачам. Можно ли создать новость? Не видны ли настройки модулей? Проверка занимает десять минут и сразу показывает ошибки.
Права доступа сотрудников: типовые роли
Роли на каждом сайте свои, но есть набор, который встречается почти всегда. Ниже — как в Битрикс права доступа сотрудников обычно распределяются между этими ролями.
Контент-менеджер
Задачи: новости, статьи, акции, текстовые страницы. Нужен доступ к редактированию нужных инфоблоков и, при необходимости, к редактированию файлов в определённых разделах сайта.
Контент-менеджеру не нужны доступ к модулю обновлений, настройкам главного модуля, пользователям и заказам. Если он работает в визуальном редакторе страниц, ограничьте разделы, где он может менять файлы. Как устроены инфоблоки и компоненты, разобрано в статье про инфоблоки и компоненты 1С-Битрикс.
Менеджер каталога
Задачи: товары, разделы, свойства, изображения, цены. Нужен доступ к инфоблоку каталога и к модулю торгового каталога в части товаров и цен.
Если каталог выгружается из 1С, ручная правка части полей не имеет смысла — их перезапишет обмен. Договоритесь, какие поля ведутся в 1С, а какие на сайте. Подробнее — в статье про обмен Битрикса с 1С.
Менеджер заказов
Задачи: просмотр, обработка и отгрузка заказов. В модуле интернет-магазина права на заказы задаются в настройках статусов: для каждого статуса указывают, какие группы могут просматривать заказ, менять его и переводить в этот статус.
Такая схема позволяет разделить работу: один менеджер подтверждает заказы, другой отправляет, а бухгалтер видит только оплаченные. Менеджеру заказов не нужен доступ к платёжным системам и службам доставки.
SEO-специалист
Задачи: метатеги разделов и товаров, шаблоны метатегов, robots.txt, карта сайта, редиректы. Нужен доступ к модулю поисковой оптимизации и к свойствам инфоблоков, где хранятся SEO-поля. Что входит в SEO-настройку сайта, описано в статье о SEO-настройке 1С-Битрикс.
Сценарий: внешний SEO-специалист
Компания нанимает SEO-специалиста на полгода. Ему нужны метатеги, шаблоны метатегов для каталога, robots.txt и редиректы. Для него создаётся группа «SEO» с доступом к модулю поисковой оптимизации и к изменению нужных свойств инфоблока каталога. Доступ к заказам, пользователям и обновлениям закрыт.
Учётная запись создаётся на его имя, с периодом действия членства в группе на срок договора. Если сотрудничество продлевается, срок меняют. Если нет — доступ закроется сам, даже если о нём забудут.
Такой подход страхует от неприятных сюрпризов: подрядчик не может поставить модуль «для ускорения», который потом конфликтует с сайтом, и не видит данные клиентов.
Подрядчик и разработчик
Разработчику часто нужен полный доступ. В этом случае правильнее создать ему отдельную учётную запись с периодом действия, а не давать пароль от своего аккаунта. После окончания работ учётная запись блокируется.
Настройка прав доступа Битрикс на уровне инфоблоков
Инфоблоки — основное хранилище контента. Права на них настраивают чаще всего, и здесь есть детали, которые стоит знать.
Обычный и расширенный режим
По умолчанию права задаются для инфоблока целиком: группа либо может редактировать все элементы, либо не может. В настройках модуля информационных блоков можно включить расширенное управление правами. Тогда права можно назначать на отдельные разделы и элементы.
Расширенный режим полезен, если, например, разные филиалы ведут свои разделы каталога или новости. Но он усложняет схему, поэтому включайте его только при реальной необходимости.
Типичные уровни доступа к инфоблоку
| Уровень | Что может группа |
|---|---|
| Нет доступа | Не видит инфоблок в админке и в публичной части |
| Чтение | Видит элементы на сайте, но не редактирует |
| Изменение через документооборот | Изменяет элементы с согласованием |
| Изменение | Создаёт, редактирует и удаляет элементы |
| Полный доступ | Всё перечисленное и изменение прав доступа |
Точные названия уровней зависят от версии модуля и режима прав. Ориентируйтесь на логику, а не на формулировку.
Сценарий: новости филиалов
Компания с тремя филиалами публикует новости на одном сайте. Каждый филиал ведёт свой раздел, а главный офис видит всё. В расширенном режиме прав каждой группе филиала выдаётся изменение только своего раздела. Главному офису — изменение всего инфоблока.
Доступ к файлам, модулям и настройкам
Кроме контента, есть системные части сайта, доступ к которым нужно ограничивать особенно строго.
Файлы и папки
Права на папки задаются в разделе «Контент» → «Структура сайта», в свойствах папки. Можно закрыть раздел от неавторизованных посетителей (например, личный кабинет или раздел для дилеров) или ограничить редактирование файлов в админке.
Модули, которые не стоит открывать сотрудникам
- Обновление платформы и Marketplace: установка модулей меняет код сайта. Подробно о рисках — в статье о модулях 1С-Битрикс.
- Настройки главного модуля: почтовые настройки, кэш, параметры безопасности.
- Управление пользователями и группами: иначе сотрудник может выдать себе права администратора.
- Платёжные системы и службы доставки: ошибка здесь сразу бьёт по продажам.
- Проактивная защита и резервное копирование.
Уровни доступа из операций
Для некоторых модулей можно создавать собственные уровни доступа из набора разрешённых операций. Это нужно редко: для большинства сайтов хватает стандартных уровней. Если требуется тонкая настройка, лучше поручить её разработчику и задокументировать.
Безопасность учётных записей сотрудников
Правильные права бесполезны, если учётные записи слабо защищены. Для административных групп нужны дополнительные меры.
Политика безопасности группы
У группы можно задать политику безопасности: время жизни сессии, требования к паролю, ограничение сессии по IP. Для административных групп стоит выбирать строгие параметры.
Двухфакторная авторизация
В модуле проактивной защиты есть одноразовые пароли. Их стоит включить хотя бы для администраторов и разработчиков. Тогда украденного пароля недостаточно для входа.
Журнал событий
Журнал событий фиксирует входы, изменения и ошибки. Когда что-то пропало с сайта, он помогает понять, кто и когда это сделал. Проверьте, что журналирование нужных событий включено в настройках.
Увольнение сотрудника
Когда сотрудник уходит, его учётную запись блокируют в тот же день, а не удаляют. Если он знал общие пароли — от хостинга, FTP, почтовых ящиков, — их меняют. Полезно держать короткий регламент: кто отвечает за отключение доступов и где записано, какие доступы были у человека. Тогда уход сотрудника не превращается в поиск по всем сервисам.
Персональные данные
Доступ к заказам и пользователям — это доступ к персональным данным клиентов. Круг лиц с таким доступом должен быть минимальным и понятным. Как привести сайт в порядок в этой части, описано в статье о сайте и 152-ФЗ; юридические вопросы стоит сверить с юристом.
Права для покупателей и дилеров в публичной части
Группы пользователей в Битриксе управляют не только админкой. Через них же настраивается, что видят посетители сайта после авторизации.
Оптовые цены и дилеры
В торговом каталоге у каждого типа цен задаётся, каким группам разрешён просмотр и покупка по этой цене. Поэтому для дилеров создают отдельную группу: розничный покупатель видит розничную цену, а дилер после входа — свою. Партнёр попадает в группу вручную или после проверки заявки менеджером.
Закрытые разделы
Раздел с документацией, прайсами или обучающими материалами можно открыть только определённой группе. Права выдаются на папку раздела или на инфоблок. Неавторизованный посетитель увидит форму входа вместо содержимого.
Сценарий: B2B-кабинет
Производитель продаёт в розницу и через дилеров. Дилеры входят в личный кабинет, видят оптовые цены, остатки и историю заказов, скачивают сертификаты. Всё это настраивается через отдельную группу «Дилеры», отдельный тип цен и права на закрытый раздел — без отдельного сайта.
Важно не смешивать группы клиентов и сотрудников. Дилер не должен случайно получить доступ в административную часть из-за того, что его добавили не в ту группу.
Как провести аудит прав на работающем сайте
Если сайт работает давно, права обычно накопились хаотично. Навести порядок можно за несколько шагов.
- Выгрузите список пользователей с административным доступом: состав группы «Администраторы» и всех групп с доступом к модулям.
- Для каждой учётной записи выясните, чья она и нужна ли сейчас. Неизвестные учётные записи — повод для проверки безопасности.
- Заблокируйте учётные записи уволенных сотрудников и бывших подрядчиков. Блокировка лучше удаления: сохраняется история действий.
- Сопоставьте реальные задачи сотрудников с их правами. Лишние права уберите.
- Замените общие логины на персональные учётные записи.
- Включите двухфакторную авторизацию для административных групп.
- Запишите итоговую схему: какие группы есть, кто в них входит и что им разрешено.
Служебные учётные записи
Отдельно проверьте служебные учётные записи: пользователя для обмена с 1С, учётные записи интеграций. У них должны быть ровно те права, которые нужны обмену, и сложный пароль. Нередко обмен работает под учётной записью администратора — это лишний риск.
Ошибки при настройке прав доступа
Ниже — ошибки, которые я чаще всего вижу на сайтах, приходящих на доработку.
Все сотрудники — администраторы
Самая частая ситуация. Удобно, пока ничего не сломалось. Один неосторожный клик по кнопке удаления раздела — и каталог приходится восстанавливать из резервной копии.
Общий логин на всех
Под одной учётной записью работают несколько человек. В журнале событий видно только «admin», а кто что сделал — неизвестно.
Бывшие сотрудники и подрядчики
Учётные записи уволенных сотрудников и подрядчиков остаются активными годами. Это прямой риск взлома.
Права выданы конкретному пользователю вместо группы
Кто-то выдал человеку права вручную на уровне отдельных элементов. Через год никто не помнит, почему у него такой доступ.
Попытка ограничить через дополнительную группу
Сотрудника добавили в «ограниченную» группу, но оставили в группе с широкими правами. Права суммируются, и ограничение не работает.
Путаница между сайтом и Битрикс24
1С-Битрикс: Управление сайтом и Битрикс24 — разные продукты с разной системой прав. Настройки CRM не влияют на доступ к админке сайта. Подробнее о разнице — в статье о Битрикс24 и 1С-Битрикс.
Чек-лист прав доступа
- Составлен список ролей и задач.
- Под каждую роль создана группа с понятным названием и описанием.
- В группе «Администраторы» только те, кому действительно нужен полный доступ.
- Доступ к модулям выдан по принципу минимально необходимого.
- Права на инфоблоки настроены для каждой роли.
- Права на заказы разделены по статусам.
- У каждого сотрудника своя учётная запись.
- Учётные записи уволенных сотрудников и подрядчиков заблокированы.
- Для подрядчиков задан период действия членства в группе.
- Для административных групп включены строгая политика и двухфакторная авторизация.
- Настройки проверены под тестовым пользователем.
- Схема прав описана в документе для владельца сайта.
Частые вопросы
Где в Битриксе настраиваются права доступа?
Основное место — «Настройки» → «Пользователи» → «Группы пользователей». Там же в карточке группы задаётся доступ к модулям. Права на инфоблоки задаются в настройках каждого инфоблока, права на заказы — в настройках статусов магазина.
Как ограничить доступ сотрудника к админке?
Создайте для него группу с доступом только к нужным модулям и инфоблокам. Уберите его из группы администраторов и других групп с широкими правами.
Можно ли выдать права конкретному пользователю, а не группе?
В ряде мест — да, например в расширенном режиме прав инфоблоков. Но лучше работать через группы: так схему легко проверить и изменить.
Как дать доступ только к одному разделу каталога?
Включить расширенное управление правами в модуле информационных блоков и назначить группе права на нужный раздел.
Как дать временный доступ подрядчику?
Создать отдельную учётную запись, добавить её в группу и указать период действия членства. После окончания работ доступ закроется.
Почему сотрудник видит то, что должно быть закрыто?
Скорее всего, он состоит в ещё одной группе с более широкими правами. Права в Битриксе суммируются.
Как запретить менеджеру удалять заказы?
В настройках статусов заказов выдайте его группе только разрешённые действия, без удаления.
Нужны ли права доступа в небольшом сайте?
Да, если с сайтом работает больше одного человека. Даже для двух сотрудников раздельные учётные записи и роли избавляют от проблем.
Как узнать, кто изменил товар или страницу?
Смотрите журнал событий и историю изменений элемента, если она включена. Для этого у каждого сотрудника должна быть своя учётная запись.
Как настроить права доступа контент-менеджеру в Битрикс?
Создайте группу «Контент-менеджеры», выдайте ей изменение нужных инфоблоков и, если требуется, редактирование файлов в определённых разделах. Доступ к настройкам модулей, пользователям и заказам оставьте закрытым.
Может ли сотрудник сам выдать себе права администратора?
Может, если у его группы есть доступ к управлению пользователями и группами. Поэтому этот доступ выдают только администраторам. Проверьте его в первую очередь при аудите.
Итог
Права доступа в 1С-Битрикс строятся на группах: вы описываете роли, создаёте под них группы и выдаёте им доступ к модулям, инфоблокам, файлам и статусам заказов. Сотрудник получает права, попадая в группу, и теряет их, когда из неё уходит.
Главные правила — минимум администраторов, у каждого своя учётная запись, временный доступ для подрядчиков и проверка настроек под тестовым пользователем. Такая схема защищает сайт от случайных ошибок и упрощает контроль.
Если нужно навести порядок в правах на вашем сайте, я как частный разработчик проведу аудит учётных записей, спроектирую роли и настрою группы в 1С-Битрикс. Это часть работ по доработке сайтов на 1С-Битрикс. Работаю напрямую, без посредников.
