Настройка регистрации и авторизации покупателей в 1С-Битрикс

После запуска интернет-магазина на 1С-Битрикс владельцы часто сталкиваются с двумя проблемами: наплывом ботов, регистрирующих тысячи фейковых аккаунтов, или утечкой данных из-за слабой политики паролей. Стандартная коробочная настройка не защищает от перебора паролей — достаточно 3-5 попыток, и злоумышленник подбирает простой пароль вроде 123456. Наша компания настраивает регистрацию и авторизацию так, чтобы этих проблем не было. Мы не просто включаем CAPTCHA и подтверждение email, а проектируем архитектуру, устойчивую к атакам на сессии и OAuth-флуду. Опыт — более 5 лет и 50+ проектов для магазинов с оборотом от 10 млн руб.

Мы решаем конкретные технические сложности. После настройки вы получаете безопасную систему, где каждый этап входа проверен. Наша настройка сокращает количество фейковых регистраций в 3 раза по сравнению с коробочной — за счёт глубокой проработки политик.

Какие проблемы решаем?

• Отсутствие подтверждения email — многие клиенты пропускают этот шаг, что приводит к фейковым аккаунтам. Мы автоматизируем верификацию через почтовые шаблоны.
• Утечки сессий — неправильная конфигурация кук (без HttpOnly, Secure) делает сайт уязвимым для XSS. Настраиваем session.cookie_httponly = On в /bitrix/php_interface/dbconn.php.
• Сложности с социальными сетями — неправильные redirect_uri или отсутствие SSL ломают OAuth. Подключаем провайдеров через bitrix:socialservices.auth с обязательным HTTPS.

Как мы настраиваем регистрацию и авторизацию?

Почему политика паролей критична?

Без неё покупатели используют слабые пароли, что повышает риск взлома. Настраиваем минимальную длину, требование цифр и спецсимволов в Настройки → Политики паролей. Для интернет-магазинов с платёжными данными рекомендуем длину от 12 символов и смену каждые 90 дней.

Компоненты регистрации

Основные компоненты:

• bitrix:main.register — форма регистрации с настраиваемыми полями (телефон, адрес и т.д.)
• bitrix:main.login — авторизация с поддержкой «Запомнить меня» (срок куки сокращаем до 7–14 дней)
• bitrix:main.profile — редактирование профиля

Параметры main.register:

• REGISTRATION_FIELD_* — список отображаемых полей
• EMAIL_CONFIRM — если Y, пользователь активируется только после перехода по ссылке
• DEFAULT_GROUP — группа по умолчанию (например, «Покупатели»)

Поток подтверждения email

Установка EMAIL_CONFIRM = Y активирует двухэтапную регистрацию: пользователь заполняет форму, получает письмо со ссылкой, переходит — аккаунт активируется. Шаблон письма: Настройки → Почта → Почтовые шаблоны → NEW_USER_CONFIRM. Неподтверждённые аккаунты (поле b_user.CONFIRM_CODE не NULL) не могут авторизоваться.

Социальная авторизация

Битрикс поддерживает OAuth-авторизацию через bitrix:socialservices.auth. Провайдеры: ВКонтакте, Google, Facebook, Яндекс, GitHub. Каждый настраивается в Настройки → Социальные сервисы — нужно создать приложение на стороне провайдера и указать App ID и Secret. Мы подключаем до 5 провайдеров за 1 день.

Что делать с безопасностью?

Обязательно:

• HTTPS — авторизация только по HTTPS. Куки с флагом Secure устанавливается в настройках PHP-сессии.
• HttpOnly для куки — защита от XSS. В dbconn.php или настройках PHP: session.cookie_httponly = On.
• CSP-заголовки — настраиваются на уровне веб-сервера или через обработчик в init.php.
• Защита от перебора — встроенная блокировка IP после N неудачных попыток (настраивается в главном модуле).

ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1);
ini_set('session.use_only_cookies', 1);
ini_set('session.gc_maxlifetime', 14400);

Сравнение: базовая vs наша настройка

Таблица провайдеров социальной авторизации

Почему стоит выбрать нашу настройку?

Мы не используем готовые решения «из коробки» без адаптации. Каждый проект проходит аудит безопасности. После настройки вы получаете:

• документацию с описанием всех параметров;
• обучение сотрудников работе с компонентами;
• гарантию на корректную работу авторизации в течение 30 дней.

Процесс работы

1. Аналитика — разбираем текущую схему, выявляем уязвимости.
2. Проектирование — составляем конфигурацию (поля, провайдеры, политики).
3. Реализация — настраиваем компоненты, интегрируем OAuth, тестируем на стейджинге.
4. Тест — проверяем все сценарии: регистрация, подтверждение, восстановление пароля, социальный вход.
5. Деплой — выкатка на продакшн, мониторинг первые 48 часов.

Сроки и гарантии

Базовая настройка (почтовое подтверждение, политика паролей, CAPTCHA) — от 6 до 8 часов. Подключение социальной авторизации (3–5 провайдеров) — 1 рабочий день. Полный аудит с исправлением уязвимостей — до 2 дней. Стоимость рассчитывается индивидуально.

Если вы хотите избежать проблем с безопасностью, обратитесь к нам для настройки. Закажите консультацию — оценим ваш проект бесплатно.

Что входит в работу?

• Конфигурация main.register, main.login, main.profile;
• Настройка политик паролей и CAPTCHA;
• Интеграция OAuth-провайдеров (до 5 штук);
• Настройка почтовых шаблонов для подтверждения email;
• Тестирование всех сценариев авторизации;
• Документация по конфигурации;
• Обучение администратора.

Ссылки для углублённого изучения:

• OAuth-авторизация на Wikipedia
• Документация по компоненту main.register на dev.1c-bitrix.ru

Безопасность сайта на 1С-Битрикс: аудит, защита, мониторинг

Последний серьёзный массовый взлом Битриксов — через уязвимость в модуле vote (BDU:2022-05127). Через неё заливали веб-шеллы пачками. Причина? Владельцы не обновляли ядро по полгода, а модуль голосований стоял «на всякий случай». С тех пор мало что изменилось в подходе: Битрикс выпускает патч, а его ставят через три месяца. Мы выстраиваем комплексную безопасность сайта так, чтобы между выходом патча и его применением проходили дни, а не месяцы. И чтобы даже без патча сайт не лёг от типовой атаки.

Закажите аудит безопасности сайта — получите отчёт с приоритетами и план закрытия уязвимостей за 1-2 дня.

Модуль «Проактивная защита» — мощный, но не из коробки

Модуль security установлен почти на каждом Битриксе, но настроен правильно — от силы на каждом пятом. Что конкретно нужно включить и подкрутить:

• WAF (Веб-антивирус) — фильтрует SQL-инъекции, XSS, CSRF, path traversal на уровне OnPageStart. Ключевая настройка — режим «Активная реакция»: не просто логировать, а блокировать. В /bitrix/admin/security_filter.php проверяем, что все типы атак включены, а исключения — минимальны.
• Контроль активности (/bitrix/admin/security_iprule.php) — лимиты на количество запросов с одного IP. По умолчанию 100 запросов в минуту. Для API-эндпоинтов, куда стучат мобильные приложения, нужны исключения — иначе заблокируете своих же пользователей.
• 2FA — OTP через Google Authenticator. Включается в настройках пользователя. Для группы «Администраторы» делаем обязательным через OnAfterUserAuthorize — без второго фактора в админку не пускаем.
• Контроль целостности (/bitrix/admin/security_file_verifier.php) — хэши системных файлов. Если кто-то изменил файл в /bitrix/modules/ — система заметит. Запускаем проверку по cron ежедневно через агент CSecurityFileVerifier::Verify().
• Стоп-лист — b_security_filter_stoplist. Автоматическая блокировка IP при срабатывании WAF. Ручное добавление подсетей — когда видим сканеры.
• Журнал безопасности — b_event_log. Кто, когда и что менял в админке. Хранение минимум 90 дней. При расследовании инцидента — бесценно.

Что включает аудит безопасности сайта Битрикс?

Серверный уровень — тут чаще всего и дыры:

• phpinfo() доступен по /info.php или /phpinfo.php — встречается на каждом третьем проекте. Атакующий получает версию PHP, пути, модули, конфигурацию. Удаляем.
• display_errors = On на продакшне — стектрейсы с путями к файлам и именами таблиц улетают пользователю в браузер.
• PHP-функции exec, system, passthru, proc_open не отключены в php.ini. Если веб-шелл всё-таки зальют — с этими функциями он получит полный контроль над сервером.
• Версия PHP < 8.1 — без security-апдейтов. PHP 7.4 больше не поддерживается, но до сих пор живёт на четверти проектов.

Уровень приложения:

• Устаревшие модули: vote, forum, blog — часто стоят неиспользуемые, но с активными обработчиками. Деактивируем и удаляем.
• Кастомный код: grep по $DB->Query( с конкатенацией $_REQUEST — классическая SQL-инъекция. Должны быть $DB->ForSql() или D7 ORM.
• Загрузка файлов: если CFile::CheckFile() не вызывается или проверяет только расширение без MIME-типа — через форму обратной связи зальют .php файл.
• dbconn.php и .env — должны быть закрыты правилами веб-сервера. Проверяем: curl https://site.ru/bitrix/.settings.php не должен отдавать ничего кроме 403.

SSL/TLS:

• Проверка через SSL Labs — рейтинг A или выше.
• HSTS с max-age от 31536000 (год).
• Редирект HTTP -> HTTPS на уровне Nginx, не на уровне Битрикса.

Результат аудита — отчёт с приоритетами: Critical / High / Medium / Low. Критические закрываем в первый день. Свяжитесь с нами — оценим ваш проект за 1-2 дня.

Лечение взломанных сайтов — протокол действий

Сайт уже скомпрометирован — SEO-спам, редиректы на казино, веб-шелл в /upload/. Порядок действий:

1. Изоляция — снимаем сайт, ставим заглушку. Если вредонос шифрует файлы или распространяется — каждая минута на счету.
2. Определение вектора — логи доступа (access.log), логи ошибок, b_event_log. Ищем POST-запросы к нетипичным файлам, обращения к /upload/*.php, подозрительные user-agent.
3. Поиск вредоносного кода — grep -r "eval(base64_decode" /home/bitrix/www/ — классика. Также ищем assert(, preg_replace с модификатором e, ${"_GET"}, обфусцированные переменные вида $GLOBALS['x46x65'].
4. Проверка БД — b_iblock_element_property и b_iblock_element на инъектированные скрипты и скрытые ссылки. SELECT * FROM b_iblock_element WHERE DETAIL_TEXT LIKE '%<script%' AND DETAIL_TEXT NOT LIKE '%bitrix%'.
5. Чистка или восстановление — если заражение масштабное, проще восстановить из чистого бэкапа и накатить только контентные изменения из БД.
6. Закрытие уязвимости — обновление ядра, удаление неиспользуемых модулей, правка кастомного кода.
7. Запрос пересканирования — Google Search Console → «Запросить проверку», Яндекс.Вебмастер → «Я всё исправил».

Средняя стоимость восстановления после взлома — от 40 000 до 100 000 руб., а профилактический аудит обходится в 2-3 раза дешевле. Вложив 30 000 руб. в аудит, вы можете сэкономить до 200 000 руб. на ликвидации последствий.

Как защитить сайт на Битриксе от DDoS?

• Cloudflare / DDoS-Guard / Qrator — проксирование трафика. L3/L4 атаки фильтруются на их стороне. L7 — через правила и challenge-страницы. Важно: после подключения скрыть реальный IP сервера, иначе смысл теряется.
• Rate limiting на Nginx: limit_req_zone для /bitrix/admin/, /api/, форм. Отдельные лимиты для авторизованных и анонимных пользователей.
• CAPTCHA — \Bitrix\Main\Captcha\CaptchaManager для форм Битрикса или reCAPTCHA v3 для кастомных. v3 не раздражает пользователей — работает в фоне.
• Bot management — пропускаем Googlebot, YandexBot (проверка через reverse DNS), блокируем сканеры и скрейперы по User-Agent и поведению.

Сравнение: rate limiting на Nginx в 5 раз эффективнее стандартной защиты от перебора паролей в Битриксе, так как срезает атаку до того, как она дойдёт до PHP.

Резервное копирование — последний рубеж

• Ежедневные бэкапы: файлы через rsync + дамп PostgreSQL/MySQL через pg_dump/mysqldump.
• Хранение в изолированном S3-совместимом хранилище. Ключевое слово — изолированном. Если бэкапы лежат на том же сервере, что и сайт, взломщик удалит и их.
• Ротация: daily × 7, weekly × 4, monthly × 12.
• Тестирование восстановления — раз в квартал разворачиваем бэкап на тестовом сервере. Бэкап, из которого невозможно восстановиться, — просто файл на диске.
• Мониторинг: если бэкап не прошёл — алерт в Telegram в течение часа.

Мониторинг — обнаружить до того, как позвонит клиент

• Uptime — проверка каждые 60 секунд через UptimeRobot / Zabbix / кастомный скрипт. Алерт в Telegram + звонок при даунтайме > 5 минут.
• Файловый мониторинг — inotify (Linux) или cron + md5sum по критичным директориям. Новый .php в /upload/? Алерт немедленно.
• Сканирование на малварь — AI-BOLIT или ClamAV по расписанию. Проверка и файлов, и базы.
• SSL-сертификат — предупреждение за 30/14/7 дней до истечения. Let's Encrypt обновляется автоматически через certbot, но certbot тоже может сломаться.
• Блэклисты — проверка домена и IP в Google Safe Browsing, PhishTank, Spamhaus. Попадание = потеря трафика.

152-ФЗ и персональные данные

• HTTPS everywhere — редирект на уровне Nginx.
• Шифрование в БД: пароли через \Bitrix\Main\Security\Password::hash() (bcrypt), токены — через openssl_encrypt.
• Политика конфиденциальности + cookie-баннер (модуль main поддерживает из коробки через COption::SetOptionString("main", "cookie_agreement", "Y")).
• Журналирование доступа к ПД — кто и когда просматривал данные клиентов.

Что входит в работу (deliverables)

Сроки

Работаем разово и на абоненте с фиксированным SLA. Для абонентских клиентов — выделенный инженер, который знает проект. Получите консультацию — оценим риски и составим смету за 1-2 дня.

Чек-лист: 15 пунктов, которые проверяем на каждом проекте

1. Ядро 1С-Битрикс и модули — актуальная версия, неиспользуемые модули удалены.
2. Модуль security активен, WAF в режиме «Активная реакция».
3. 2FA включена для всех учёток с доступом к админке.
4. /bitrix/admin/ закрыт по IP или за дополнительной HTTP-авторизацией.
5. Политика паролей: от 12 символов, mixed case, цифры, спецсимволы.
6. SSL/TLS: рейтинг A+ на SSL Labs, HSTS включён.
7. Служебные файлы (dbconn.php, .settings.php, .env, бэкапы, логи) — 403 из браузера.
8. Права: 644 файлы, 755 директории. Веб-сервер не owner системных файлов.
9. Security-заголовки: Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Strict-Transport-Security, Referrer-Policy.
10. Контроль целостности файлов — ежедневная проверка через агент.
11. Бэкапы: ежедневные, изолированное хранение, проверка восстановимости.
12. b_event_log — хранение от 90 дней, регулярный просмотр.
13. PHP 8.1+, display_errors = Off, опасные функции отключены.
14. Мониторинг uptime + алерты при изменении файлов в /upload/.
15. Reverse proxy или CDN с DDoS-защитой для высоконагруженных проектов.

Оценка уязвимостей проводится в соответствии с методологией OWASP Top 10 – Web Application Security Risks (см. Wikipedia). Комплексная безопасность сайта на Битрикс — это не разовая акция, а непрерывный процесс. Закажите полный аудит безопасности сайта сегодня, чтобы завтра не тратить бюджет на экстренное восстановление. Получите консультацию — мы ответим на любые вопросы.