Если вы запустили сайт на 1С-Битрикс, в первую очередь установите все обновления платформы, откройте модуль «Проактивная защита» и выберите в Панели безопасности как минимум высокий уровень защиты, включите проактивный фильтр и одноразовые пароли для администраторов, а затем запустите сканер безопасности и исправьте всё, что он покажет. Параллельно наведите порядок в группах пользователей и правах доступа.
1С-Битрикс — одна из самых популярных коммерческих CMS в России: на ней работают тысячи интернет-магазинов, корпоративных сайтов и порталов. Поэтому злоумышленники хорошо знают её устройство и автоматизируют атаки на типовые места. Характерный пример — массовые взломы 2022–2023 годов через уязвимость в модуле опросов (vote) на сайтах, которые долго не обновлялись: исправление вышло ещё весной 2022 года, но владельцы его не установили.
Сильная сторона Битрикса в том, что многие средства защиты уже встроены в продукт: проактивный фильтр (WAF), веб-антивирус, контроль активности, двухэтапная авторизация, журнал вторжений. Но часть из них по умолчанию выключена или настроена мягко, а права доступа к сайту каждый администратор распределяет сам. Ниже — порядок действий, который мы в Pear Advert проходим при подключении нового проекта на Битриксе.
1. Обновления платформы и активная лицензия
Обновления в Битриксе устанавливаются через встроенную систему SiteUpdate в разделе обновления платформы административной панели. Они выходят регулярно и содержат в том числе исправления уязвимостей, поэтому проверяйте их хотя бы раз в месяц. Важное условие — действующая лицензия: после окончания периода обновлений сайт продолжает работать, но перестаёт получать исправления безопасности. Продление лицензии — это фактически оплата защиты от новых уязвимостей.
Перед установкой крупного обновления сделайте резервную копию, а сайты с доработанным ядром или шаблонами обновляйте сначала на тестовой копии. Сторонние решения из Маркетплейса обновляются в том же разделе — не забывайте и про них. Модули, которые больше не используются, удалите: даже отключённый функционал может оставлять на сервере доступные извне скрипты. Следите и за версией PHP на хостинге: актуальные версии Битрикса работают на PHP 8, а устаревший интерпретатор сам по себе является риском.
2. Панель безопасности и уровни защиты
Модуль «Проактивная защита» входит во все редакции продукта. Его стартовая точка — Панель безопасности. Она показывает, какие механизмы защиты включены, и позволяет выбрать уровень: стандартный, высокий или повышенный. Для каждого уровня панель перечисляет, какие настройки нужно выполнить, и подсвечивает невыполненные пункты.
Для коммерческого сайта ориентируйтесь минимум на высокий уровень. Он требует включить проактивный фильтр, контроль активности, защиту редиректов, журнал событий и ряд других механизмов. Повышенный уровень добавляет одноразовые пароли, контроль целостности, защиту административного раздела и сессий. Проходите пункты по одному и после каждого проверяйте работу сайта: формы, корзину, оплату, обмен с 1С.
3. Проактивный фильтр (WAF) и журнал вторжений
Проактивный фильтр — встроенный в Битрикс Web Application Firewall. Он анализирует данные, которые приходят на сайт (параметры запросов, данные форм, cookies), и обезвреживает попытки эксплуатации типовых уязвимостей: межсайтового скриптинга (XSS), SQL-инъекций, подключения файлов. Включается он в настройках модуля «Проактивная защита».
У фильтра есть несколько вариантов реакции на атаку: сделать данные безопасными, очистить их или дополнительно заблокировать IP-адрес атакующего на заданное время через стоп-лист. Все срабатывания записываются в журнал вторжений. Просматривайте его после включения: если фильтр срабатывает на легитимные запросы (например, редакторы вставляют в контент HTML-код или работает интеграция с внешним сервисом), добавьте нужные страницы в исключения, а не отключайте фильтр целиком.
Рядом стоит включить:
- контроль активности — ограничивает слишком частые запросы от одного посетителя и защищает от перебора паролей и агрессивных ботов;
- защиту редиректов — не даёт использовать ваш домен для перенаправления посетителей на фишинговые сайты;
- веб-антивирус — отслеживает вредоносный код в HTML, который отдаётся посетителям, и блокирует его выполнение;
- стоп-лист — ручная блокировка IP-адресов и диапазонов, с которых идут атаки.
4. Сканер безопасности и поиск вредоносного кода
Сканер безопасности проверяет настройки сайта и сервера на соответствие рекомендациям разработчика: версию и параметры PHP, права на файлы, настройки сессий, наличие опасных скриптов, работу проактивной защиты и другие параметры. Результат — список проблем с пояснениями, что исправить. Облачный сканер работает при активной лицензии и тоже доступен из модуля «Проактивная защита».
Запускайте сканер после запуска сайта, после каждого крупного обновления или доработки и минимум раз в месяц в обычном режиме. Часть замечаний касается настроек хостинга (например, параметров PHP) — их передайте хостинг-провайдеру или администратору сервера. Для поиска уже внедрённого вредоносного кода применяют модуль «Поиск троянов» (bitrix.xscan) от разработчиков 1С-Битрикс из Маркетплейса: он сканирует файлы сайта и показывает подозрительные фрагменты. Включите также контроль целостности: он фиксирует эталонные контрольные суммы файлов и позволяет увидеть, какие из них были изменены.
5. Группы пользователей и права доступа
Система прав в Битриксе строится на группах пользователей. Группа «Администраторы» имеет полный доступ ко всему, поэтому в неё должны входить один-два человека. Для контент-менеджеров, менеджеров магазина, SEO-специалиста создайте отдельные группы и выдайте им доступ только к нужным модулям и разделам.
Права к модулям задаются в настройках каждого модуля на вкладке доступа: от запрета до чтения или полного доступа. Права к информационным блокам (каталог, новости) — в настройках инфоблока, а к файлам и папкам публичной части — через структуру сайта. Обязательно закройте от всех, кроме администраторов, доступ к модулям, которые позволяют выполнять код или менять файлы: файловому менеджеру с правом редактирования PHP, командной PHP-строке, SQL-запросам, модулю обновлений.
У каждой группы есть политика безопасности: длина и сложность пароля, срок его действия, время жизни сессии, привязка сессии к IP-адресу, количество попыток входа до показа капчи. Для групп с доступом в административный раздел задайте строгую политику. Логин admin, созданный при установке, смените на уникальный, а учётные записи бывших сотрудников и подрядчиков деактивируйте сразу после окончания работ.
6. Одноразовые пароли и защита административного раздела
Двухэтапная авторизация в Битриксе реализована через одноразовые пароли (OTP): при входе кроме пароля нужно ввести код из мобильного приложения Bitrix OTP или аппаратного ключа. Включите её в модуле «Проактивная защита» и сделайте обязательной для всех, кто входит в административную панель. Это закрывает сценарий, при котором пароль администратора утёк с другого сервиса или был перехвачен на заражённом компьютере.
Если сотрудники работают с постоянных IP-адресов, включите защиту административного раздела: доступ к /bitrix/admin/ будет открыт только с разрешённых адресов. Перед включением обязательно добавьте в список свой текущий адрес, иначе вы закроете вход себе. Также включите защиту сессий — она снижает риск перехвата авторизованной сессии.
7. Конфигурационные файлы и права на сервере
Доступы к базе данных хранятся в файлах /bitrix/.settings.php и /bitrix/php_interface/dbconn.php. Убедитесь, что они недоступны для чтения из браузера и не лежат в открытых копиях вроде .settings.php.bak или архивов сайта в корне. В dbconn.php константы BX_FILE_PERMISSIONS и BX_DIR_PERMISSIONS задают, с какими правами Битрикс создаёт файлы и папки; на типовом хостинге это 0644 и 0755. Права 0777 оставлять нельзя.
Удалите после запуска служебные скрипты, которые остаются после установки или переноса: bitrixsetup.php, restore.php, файлы проверки хостинга, дампы базы. Через забытый скрипт восстановления можно перезаписать сайт целиком. Отключите вывод ошибок PHP посетителям в настройках .settings.php (секция exception_handling, параметр debug).
8. Резервные копии
В Битриксе есть встроенный инструмент резервного копирования в разделе инструментов административной панели. Он упаковывает файлы и базу данных в архив и умеет работать по расписанию. При активной лицензии доступно облачное хранилище 1С-Битрикс: система сама хранит три актуальные копии сайта вне вашего сервера. Это удобно, потому что копия сохраняется даже при полном взломе хостинга.
Если облако не используется, настройте выгрузку копий во внешнее хранилище или используйте бэкапы хостинга. Для интернет-магазина с ежедневными заказами разумна ежедневная копия базы и еженедельная полная. Обязательно проверьте восстановление хотя бы раз: развернуть архив на тестовом домене через скрипт restore.php, а затем удалить этот скрипт.
9. Формы, HTTPS и мониторинг
Включите CAPTCHA для регистрации и форм обратной связи, ограничьте самостоятельную регистрацию, если она не нужна, и запретите новым пользователям попадать в группы с расширенными правами. Для загрузки файлов через формы ограничьте допустимые расширения.
Сайт должен работать только по HTTPS с 301-редиректом с HTTP. На хостинге с BitrixVM или в панели хостинга сертификат Let’s Encrypt подключается за несколько минут. Заголовки безопасности (HSTS, X-Content-Type-Options, Referrer-Policy) задаются в конфигурации веб-сервера; защиту от встраивания в чужие фреймы Битрикс умеет включать сам в рамках модуля защиты.
Наконец, настройте наблюдение: уведомления на e-mail о событиях журнала, регулярный просмотр журнала вторжений и журнала событий, мониторинг доступности сайта. Модуль «Облачные сервисы 1С-Битрикс» при активной лицензии предлагает монитор доступности сайта и проверку домена. Резкий рост записей в журнале или незнакомые входы в административную панель — повод сразу проверить сайт.
Типичные ошибки
- Просроченная лицензия и годами не обновлявшееся ядро.
- Проактивный фильтр выключен целиком из-за одного ложного срабатывания вместо настройки исключений.
- Все сотрудники и подрядчики в группе «Администраторы».
- Логин
adminи простой пароль без двухэтапной авторизации. - Забытые
restore.php,bitrixsetup.phpи архивы сайта в корне. - Права
0777на файлы и папки после переноса сайта. - Резервные копии только на том же сервере.
- Сканер безопасности ни разу не запускался, журнал вторжений никто не открывает.
Чек-лист первичной защиты
- Проверить активность лицензии и установить все обновления платформы и модулей Маркетплейса.
- Удалить неиспользуемые модули и решения.
- Выбрать в Панели безопасности высокий уровень защиты и выполнить все его пункты.
- Включить проактивный фильтр и настроить исключения по журналу вторжений.
- Включить контроль активности, защиту редиректов, веб-антивирус.
- Запустить сканер безопасности и исправить замечания.
- Проверить файлы модулем «Поиск троянов» и включить контроль целостности.
- Оставить в группе «Администраторы» одного-двух человек, остальным создать группы с минимальными правами.
- Закрыть доступ к PHP-строке, SQL-запросам и редактированию PHP-файлов для всех, кроме администраторов.
- Задать строгую политику безопасности для групп с доступом в админку.
- Включить одноразовые пароли (OTP) для всех администраторов.
- При постоянных IP ограничить доступ к
/bitrix/admin/по адресам. - Удалить служебные скрипты, проверить права 0644 и 0755.
- Настроить резервное копирование вне сервера и проверить восстановление.
- Включить HTTPS с редиректом, капчу в формах и мониторинг доступности.
Частые вопросы
Есть ли модуль «Проактивная защита» в редакции «Старт»?
Да, модуль входит во все редакции «1С-Битрикс: Управление сайтом». Но часть функций, например облачный сканер, облачные бэкапы и монитор доступности, работает только при активной лицензии.
Не замедлит ли проактивный фильтр сайт?
Фильтр проверяет входящие данные и на практике почти не влияет на скорость. Чаще проблемой бывают ложные срабатывания на формах с HTML или в интеграциях — их решают исключениями, а не отключением фильтра.
Что делать, если сайт уже взломан?
Смените пароли всех администраторов и доступы к хостингу и базе, проверьте файлы модулем «Поиск троянов» и контролем целостности, удалите посторонние файлы и учётные записи, установите все обновления. Если есть чистая резервная копия, надёжнее восстановиться из неё, а затем закрыть уязвимость, через которую произошёл взлом.
Нужно ли обновлять сайт, если он сильно доработан?
Да. Правильно доработанный сайт обновляется без потери изменений, потому что доработки вынесены в шаблоны и собственные модули. Если обновление ломает сайт, значит, кто-то правил ядро — это стоит исправить, иначе сайт останется без исправлений безопасности.
Если разбираться в уровнях защиты, группах и правах самостоятельно нет времени, мы проведём аудит безопасности сайта на 1С-Битрикс: проверим обновления, настройки модуля «Проактивная защита», права пользователей и сервер, исправим найденное и передадим отчёт.
Читайте также
- Признаки вируса на сайте и как его вылечить: пошаговая инструкция
- Топ-10 вирусов на сайтах: как распознать и удалить
Pear Advert · поддержка и защита сайтов
Настроим защиту сайта на 1С-Битрикс
Проверим сайт сканером безопасности, включим проактивный фильтр и двухэтапную авторизацию, наведём порядок в правах доступа и резервных копиях.
- Аудит безопасности и отчёт с приоритетами
- Обновления, бэкапы и мониторинг доступности
- Очистка от вирусов и восстановление после взлома
Ответим в течение рабочего дня
