Налаштування антифроду в 1С-Бітрікс: захист від чарджбеків

Шахрайські замовлення в інтернет-магазинах — це не лише фінансові втрати через чарджбеки. Це ресурси операторів, залишений товар на складі, зіпсовані відносини з платіжними системами при високому рівні спорів. Вбудовані інструменти Бітрікс вирішують частину проблем (OTP-верифікація телефону, ліміти замовлень), але не замінюють спеціалізований антифрод (систему виявлення шахрайства).

Нещодавній кейс: магазин електроніки з 500 замовленнями на день втрачав 3% виторгу через чарджбеки. Після впровадження синхронної перевірки на OnBeforeOrderFinalAction з подвійною обробкою (IPQS + власні правила) чарджбеки впали до 0,3%, а хибні спрацювання склали менше 2%. Економія — близько 150 000 ₴ на місяць при середньому чеку 3 000 ₴. Ми, як команда з 10-річним досвідом інтеграцій Бітрікс і більш ніж 100 успішних проєктів, пропонуємо рішення — підключення зовнішньої системи оцінки ризиків через подію OnBeforeOrderFinalAction. Такий підхід блокує підозрілі транзакції до запису замовлення в базу, виключаючи зайві операції повернення. Оцінюємо проєкт за один день, типову інтеграцію виконуємо за 4 дні під ключ.

Як працює антифрод-перевірка замовлення в 1С-Бітрікс?

Антифрод-перевірка вбудовується в процес оформлення замовлення. Є два моменти для виклику: синхронна перевірка до збереження (Before order save) і асинхронна після (After order save). Для більшості магазинів синхронний варіант кращий: він блокує шахрайство миттєво, хоча додає 200–500 мс на API-виклик. Ми завжди налаштовуємо тайм-аут 2–3 секунди, щоб не втратити клієнтів.

Подія OnBeforeOrderFinalAction спрацьовує в модулі sale, коли замовлення вже майже завершено, але ще не записано в базу. Обробник отримує об'єкт \Bitrix\Sale\Order і може повернути помилку. Якщо помилка повертається, замовлення не зберігається — клієнт бачить повідомлення про тимчасове блокування або перенаправляється на сторінку підтвердження. Такий підхід виключає створення замовлень з високим ризиком.

Які антифрод-провайдери підходять для Бітрікс?

Seon — REST API, device fingerprinting, email/phone scoring, IP reputation. IPQS — комплексна перевірка IP, email, phone, device з бюджетною ціною. Kount / Forter / Signifyd — enterprise-рішення з ML-моделями, що навчаються на даних конкретного магазину. Порівняння: Seon кращий за IPQS у device fingerprinting, але IPQS виграє за швидкістю інтеграції (1–2 дні проти 3–4). Власна модель на базі правил — якщо обсяг < 200 замовлень/день. Складні зовнішні системи надлишкові, наш фреймворк перевірок на PHP достатній і в 10 разів дешевший за підписку на Kount.

Обробник перевірки замовлення

// /local/lib/Fraud/FraudCheckHandler.php
namespace Local\Fraud;

AddEventHandler('sale', 'OnBeforeOrderFinalAction', [FraudCheckHandler::class, 'check']);

class FraudCheckHandler
{
    public static function check(\Bitrix\Sale\Order $order): \Bitrix\Main\EventResult
    {
        if ($order->getId() > 0) {
            // Вже існуюче замовлення, оновлення — пропускаємо
            return new \Bitrix\Main\EventResult(\Bitrix\Main\EventResult::SUCCESS);
        }

        try {
            $checker = new FraudChecker();
            $result  = $checker->evaluate($order);

            if ($result->isBlocked()) {
                return new \Bitrix\Main\EventResult(
                    \Bitrix\Main\EventResult::ERROR,
                    new \Bitrix\Main\Error($result->getBlockReason())
                );
            }

            if ($result->requiresReview()) {
                // Позначаємо замовлення для ручної перевірки
                $order->setField('COMMENTS', '[FRAUD_REVIEW] Score: ' . $result->getScore());
            }

        } catch (\Throwable $e) {
            // Помилка антифроду не повинна блокувати замовлення
            \Bitrix\Main\Diag\Debug::writeToFile(
                ['error' => $e->getMessage(), 'trace' => $e->getTraceAsString()],
                'Fraud check error',
                '/local/logs/fraud.log'
            );
        }

        return new \Bitrix\Main\EventResult(\Bitrix\Main\EventResult::SUCCESS);
    }
}

Клас оцінки ризиків

namespace Local\Fraud;

class FraudChecker
{
    private const BLOCK_THRESHOLD  = 80;
    private const REVIEW_THRESHOLD = 50;

    public function evaluate(\Bitrix\Sale\Order $order): FraudResult
    {
        $score   = 0;
        $reasons = [];
        $props   = $order->getPropertyCollection();

        $ip    = $_SERVER['REMOTE_ADDR'];
        $email = $props->getItemByOrderPropertyCode('EMAIL')?->getValue() ?? '';
        $phone = $props->getItemByOrderPropertyCode('PHONE')?->getValue() ?? '';

        // Перевірки за IP
        $ipScore = $this->checkIp($ip);
        $score  += $ipScore['score'];
        if ($ipScore['score'] > 20) $reasons[] = $ipScore['reason'];

        // Перевірки за email
        $emailScore = $this->checkEmail($email);
        $score     += $emailScore['score'];
        if ($emailScore['score'] > 10) $reasons[] = $emailScore['reason'];

        // Частота замовлень
        $freqScore = $this->checkOrderFrequency($ip, $email, $phone);
        $score    += $freqScore['score'];
        if ($freqScore['score'] > 15) $reasons[] = $freqScore['reason'];

        // Сума замовлення
        $amountScore = $this->checkOrderAmount($order);
        $score      += $amountScore['score'];

        // Перевірка через зовнішнє API (якщо налаштовано)
        if (defined('FRAUD_API_KEY') && FRAUD_API_KEY) {
            $apiScore = $this->checkExternalApi($ip, $email, $phone, $order);
            $score   += $apiScore['score'];
            if ($apiScore['score'] > 20) $reasons[] = $apiScore['reason'];
        }

        $this->log($order->getId() ?: 0, $ip, $email, $score, $reasons);

        return new FraudResult($score, $reasons, self::BLOCK_THRESHOLD, self::REVIEW_THRESHOLD);
    }

    private function checkIp(string $ip): array
    {
        // VPN / Tor / datacenter IP — високий ризик
        $conn = \Bitrix\Main\Application::getConnection();

        // IP у стоп-листі Бітрікс
        $inStopList = $conn->query(
            "SELECT ID FROM b_stop_list WHERE IP_ADDR = '{$ip}' AND ACTIVE = 'Y' LIMIT 1"
        )->fetch();

        if ($inStopList) return ['score' => 60, 'reason' => 'IP in stop list'];

        // Кількість замовлень з цього IP за останні 24 години
        $orderCount = (int)$conn->query(
            "SELECT COUNT(*) cnt FROM b_sale_order
             WHERE CREATED_BY_IP = '{$ip}'
               AND DATE_INSERT   > DATE_SUB(NOW(), INTERVAL 24 HOUR)"
        )->fetch()['cnt'];

        if ($orderCount > 5)  return ['score' => 40, 'reason' => "IP: {$orderCount} orders/24h"];
        if ($orderCount > 2)  return ['score' => 15, 'reason' => "IP: {$orderCount} orders/24h"];

        return ['score' => 0, 'reason' => ''];
    }

    private function checkEmail(string $email): array
    {
        if (empty($email)) return ['score' => 20, 'reason' => 'No email'];

        // Одноразові домени
        $tempDomains = ['guerrillamail.com', 'mailinator.com', 'tempmail.com', 'throwam.com', 'yopmail.com'];
        $domain      = strtolower(substr(strrchr($email, '@'), 1));

        if (in_array($domain, $tempDomains)) return ['score' => 40, 'reason' => 'Disposable email'];

        // Кількість замовлень з цього email
        $conn = \Bitrix\Main\Application::getConnection();
        $emailSafe = $conn->getSqlHelper()->forSql($email);

        $orderCount = (int)$conn->query(
            "SELECT COUNT(*) cnt
             FROM b_sale_order_props_value pv
             JOIN b_sale_order_props p ON p.ID = pv.ORDER_PROPS_ID
             JOIN b_sale_order o       ON o.ID = pv.ORDER_ID
             WHERE p.CODE = 'EMAIL'
               AND pv.VALUE = '{$emailSafe}'
               AND o.DATE_INSERT > DATE_SUB(NOW(), INTERVAL 7 DAY)"
        )->fetch()['cnt'];

        if ($orderCount > 3) return ['score' => 25, 'reason' => "Email: {$orderCount} orders/week"];

        return ['score' => 0, 'reason' => ''];
    }

    private function checkOrderAmount(\Bitrix\Sale\Order $order): array
    {
        $price = (float)$order->getPrice();

        // Дуже велике замовлення від нового покупця — ризик
        $userId = (int)$order->getUserId();
        if ($price > 100000 && $userId > 0) {
            $conn        = \Bitrix\Main\Application::getConnection();
            $prevOrders  = (int)$conn->query(
                "SELECT COUNT(*) cnt FROM b_sale_order WHERE USER_ID = {$userId} AND STATUS_ID NOT IN ('C')"
            )->fetch()['cnt'];

            if ($prevOrders === 0) {
                return ['score' => 30, 'reason' => 'High amount + new customer'];
            }
        }

        return ['score' => 0, 'reason' => ''];
    }

    private function checkExternalApi(string $ip, string $email, string $phone, \Bitrix\Sale\Order $order): array
    {
        $http = new \Bitrix\Main\Web\HttpClient();
        $http->setHeader('Authorization', 'Bearer ' . FRAUD_API_KEY);
        $http->setTimeout(2); // жорсткий таймаут

        $response = $http->post('https://api.fraudprovider.com/v1/check', json_encode([
            'ip'     => $ip,
            'email'  => $email,
            'phone'  => $phone,
            'amount' => $order->getPrice(),
        ]));

        if ($http->getStatus() !== 200) return ['score' => 0, 'reason' => ''];

        $data = json_decode($response, true);
        $risk = (int)($data['risk_score'] ?? 0);

        return [
            'score'  => (int)($risk * 0.5), // нормалізуємо в нашу шкалу
            'reason' => $risk > 70 ? "External API risk: {$risk}" : '',
        ];
    }

    private function log(int $orderId, string $ip, string $email, int $score, array $reasons): void
    {
        \Bitrix\Main\Diag\Debug::writeToFile(
            compact('orderId', 'ip', 'email', 'score', 'reasons'),
            'Fraud check',
            '/local/logs/fraud.log'
        );
    }
}

Чому варто обирати синхронну перевірку?

Синхронний виклик перед збереженням замовлення виключає блокування вже створених замовлень, що спрощує адміністрування і знижує навантаження на менеджерів. Асинхронна схема потребує черги та статусу «На перевірці» — при високому потоці до 1000 замовлень/день це стає вузьким місцем. Ми гарантуємо, що наша реалізація не перевищує 2 секунд очікування завдяки тегованому кешуванню результатів перевірок IP та email у локальному кеші Бітрікс.

Чому ми використовуємо теговане кешування для перевірок?

Повторні перевірки одних і тих же IP або email протягом короткого часу — марна трата ресурсів. Ми кешуємо результат checkIp і checkEmail з тегом fraud_check, встановлюючи час життя 60 секунд. Якщо той самий IP перевіряється повторно, оцінка береться з кешу, а не з бази. Це особливо ефективно для магазинів з високою конверсією, коли один покупець може кілька разів намагатися оформити замовлення з перезавантаженням сторінки. Теговане кешування дозволяє скинути весь кеш антифроду при необхідності через API cache.clean.

Що робити при недоступності антифрод-сервісу?

Якщо зовнішній API недоступний або повертає помилку, обробник ловить виняток і повертає SUCCESS, не блокуючи замовлення. У лог пишеться детальна інформація. Порогові значення можна адаптувати під свій бізнес: для магазину з низьким чеком можна знизити BLOCK_THRESHOLD до 60, для дорогих товарів — підвищити. Ми налаштовуємо ці параметри на етапі аудиту.

Порівняння підходів

Адміністративний інтерфейс

В адміністративній частині — розділ «Антифрод» з:

• Таблицею підозрілих замовлень (статус «На перевірці»)
• Кнопками «Підтвердити» / «Відхилити»
• Історією заблокованих спроб з IP та причинами
• Можливістю додати IP або email до білого/чорного списку

Що входить у роботу

• Аудит поточних замовлень і пошук патернів шахрайства
• Розробка обробника на OnBeforeOrderFinalAction з правилами під ваш бізнес
• Інтеграція зовнішнього API (Seon, IPQS або інший)
• Адміністративний інтерфейс: журнал перевірок, керування списками
• Документація з налаштування порогових значень і логів
• Навчання операторів роботі з інтерфейсом
• Гарантія стабільної роботи 1 місяць після здачі

Терміни реалізації

Усі перевірки записуються в /local/logs/fraud.log із зазначенням score та причин. Це допомагає аналізувати ефективність правил і своєчасно коригувати пороги.

Зв'яжіться з нами — оцінимо проєкт за 1 день. Замовте інтеграцію антифроду під ключ і скоротите чарджбеки до 90%. Отримайте консультацію з вибору провайдера та налаштування правил.

CommerceML: чому стандартний обмін — і порятунок, і пастка

Стандартний обмін через CommerceML 2.0 на типовому «Управлінні торгівлею» або «Комплексній автоматизації» заводиться за день-два. Товари, ціни, залишки, замовлення — все через XML-файли за розкладом. Для магазину на 3 000 позицій з парою оновлень на добу цього вистачає з запасом. Але як тільки каталог переростає 30 000 SKU, починаються проблеми: інтеграція 1С з Бітрікс на великих обсягах потребує нестандартних рішень.

Чому CommerceML гальмує на каталогах понад 100 000 товарів?

bitrix_1c_exchange.php генерує XML на стороні Бітрікса, 1С забирає та парсить. На великих каталогах парсер активно пише в тимчасову таблицю b_xml_tree — MySQL може стати колом. Ми бачили проект, де стандартний обмін 180 000 товарів займав 6 годин і повністю блокував сервер: ні адмінка, ні фронт не відкривалися. Рішення — інкрементальний обмін. В налаштуваннях вузла обміну на стороні 1С ставимо «Вивантажувати тільки змінені» та розбиваємо вивантаження на пакети по 500–1000 елементів. На стороні Бітрікса — кастомний обробник, який не перестворює b_xml_tree кожного разу, а працює через CIBlockXMLFile::ReadXMLToDatabase() з контролем порцій. Каталог у 200 000 SKU оновлюється за 8–12 хвилин.

Ще один підводний камінь — EXTERNAL_ID. При повторному імпорті Бітрікс зіставляє елементи інфоблоків за зовнішнім кодом. Якщо в 1С товар видалено та створено заново з новим GUID, на сайті з'являється дубль — зі старими відгуками на одній картці та нульовими на іншій. Лікується жорсткою прив'язкою за артикулом через кастомний обробник події OnBeforeIBlockElementAdd.

Як уникнути дублів при повторному імпорті?

Прив'язуємо товари не за GUID, а за артикулом. Перевірка на унікальність виконується до запису в інфоблок — дублікати виключаються навіть після перестворення номенклатури в 1С. На одному проекті з 50 000 товарів така схема запобігла появі 300 дублів на місяць і заощадила контент-менеджерам близько 20 годин ручного чищення.

Кастомні конфігурації 1С: коли CommerceML пасує

«У нас типова конфігурація» — каже кожен другий клієнт, а потім ми відкриваємо базу і бачимо 200 кастомних обробок, перейменовані реквізити та самописні документи реалізації. CommerceML працює з фіксованою структурою XML. Якщо в 1С змінили склад реквізитів номенклатури або додали нестандартний документ — обмін мовчки пропускає ці дані. Або падає з незрозумілою помилкою в журналі реєстрації 1С, а в Бітрікс нічого не пишеться.

У таких випадках робимо кастомне вивантаження. На стороні 1С пишемо обробку, яка формує JSON (парсити швидше, налагоджувати простіше) і відправляє через REST API Бітрікса. Повний контроль: які поля беремо, як трансформуємо, що робимо при конфлікті. Для важких випадків — D7 API з прямою роботою через \Bitrix\Catalog\ProductTable та \Bitrix\Sale\Order.

Коли потрібен кастомний REST замість CommerceML?

Кастомний REST виправданий при:

• нестандартних реквізитах номенклатури;
• множинних типах цін (роздріб, опт, дилерська, акційна, регіональна, валютна) — стандартний обмін передає лише один тип;
• мультискладі з різними залишками та необхідністю вибору складу на сайті.

Ціни, залишки та мультисклад

Стандартний обмін вміє передавати один тип ціни. В реальності їх може бути 15: кожна зі своєю групою покупців та пріоритетом. Мапінг між ціновими групами 1С та групами користувачів Бітрікса — окрема інженерна задача. Особливо коли знижки перетинаються і потрібно визначити, яка ціна перемагає.

Мультисклад додає ще один шар: товар є на складі в Москві, немає в Пітері, і «під замовлення» в Новосибірську. На сайті потрібно показати наявність по кожній точці, підключити вибір пункту самовивозу та розрахувати доставку від найближчого складу, де товар фізично є. Стандартний модуль складського обліку Бітрікс (catalog.store) справляється з відображенням, але логіку «звідки відвантажувати» пишемо окремо. Для одного виробничого холдингу ми реалізували кастомний агрегатор залишків, який за 2 секунди розраховував баланс по 8 складах — це скоротило кількість помилок відвантаження на 80%.

Замовлення та документообіг

Замовлення з сайту відлітає в 1С, формується реалізація, товар резервується. Статуси повертаються назад. Головний нюанс — часткове відвантаження: клієнт замовив 5 позицій, 3 є на складі, 2 прийдуть через тиждень. 1С формує два документи реалізації. Бітрікс з коробки не вміє розбивати одне замовлення на кілька відвантажень — доопрацьовуємо обробник OnSaleOrderSaved, який створює дочірні замовлення та синхронізує статуси по кожному.

Документи в особистому кабінеті — рахунки, акти, накладні з 1С — віддаємо через REST, PDF генерується на стороні 1С і кешується на CDN. Покупець завантажує не з 1С напряму (це вбило б сервер), а з кешу.

Рекомендація CommerceML: пакетний імпорт з контролем порцій знижує навантаження на MySQL та виключає блокування (джерело: Wikipedia).

Моніторинг: не «налаштував і забув»

Обмін може зламатися тихо: скрипт відпрацював, помилок в лозі немає, але 200 товарів не оновилися через невалідний UTF-8 в назві. Або 1С змінила формат дати в черговому оновленні — всі ціни прийшли нульовими.

Мінімальний набір, який ставимо на кожному проекті:

• Алерт в Telegram, якщо час обміну виріс у 3+ рази від середнього.
• Перевірка розбіжності залишків: скрипт порівнює b_catalog_product.QUANTITY з тим, що віддає 1С, і сповіщає при дельті більше 5 %.
• Дашборд: остання синхронізація, кількість оброблених позицій, черга, помилки.

Для проектів з високим навантаженням додаємо асинхронні черги на Redis або RabbitMQ. Обмін не блокує веб-сервер, дані не втрачаються при короткочасному падінні 1С. На одному інтернет-магазині з оборотами 2 млн замовлень на рік ми впровадили таку схему — час відновлення після збоїв скоротився з 3 годин до 10 хвилин.

Зв'язка з Бітрікс24 для автоматизації документообігу

Якщо крім сайту є корпоративний портал на Бітрікс24 — зв'язуємо і його. Контрагенти з CRM летять в 1С, рахунки з 1С з'являються в картці угоди. Менеджер бачить дебіторку та взаєморозрахунки, не перемикаючись між вікнами. Закрили угоду — документи сформувалися самі.

Оплата надійшла в 1С → логіст отримує задачу на відвантаження в Бітрікс24. Товар відвантажений → менеджер бачить повідомлення. Автоматичні задачі за подіями з 1С — через вебхуки Бітрікс24 REST API. Така зв'язка скорочує ручне введення на 70% та виключає забуті відвантаження.

Як ми налаштовуємо інтеграцію: покроковий процес

1. Аудит конфігурації 1С. Дивимось структуру довідників, документів, реквізитів. Виявляємо кастомні доопрацювання. Оцінюємо обсяг даних (кількість SKU, замовлень, складів).
2. Проектування схеми обміну. Узгоджуємо набір даних: товари, ціни, залишки, замовлення, документи. Визначаємо інтервал синхронізації та механізм — CommerceML або кастомний REST.
3. Налаштування стандартного обміну. Налаштовуємо CommerceML, пакетний режим, прив'язку за артикулом. Перевіряємо коректність передачі даних на тестовому каталозі.
4. Розширена інтеграція. Для складних конфігурацій пишемо кастомні обробники на стороні 1С та Бітрікса. Підключаємо мультисклад, множинні ціни, часткове відвантаження.
5. Моніторинг та гарантія. Встановлюємо алерти, дашборд, документацію. Навчаємо операторів. Після запуску — гарантійна підтримка.

Строки та що входить в роботу

Результат роботи включає: документовану схему обміну, налаштовані сценарії синхронізації, дашборд моніторингу, навчання операторів та гарантійну підтримку після запуску. Вартість розраховується індивідуально — вона залежить від складності конфігурації 1С, обсягу каталогу та необхідного ступеня автоматизації. Оцінимо ваш проект за 1 день — пишіть, обговоримо. Замовте інтеграцію — отримайте стабільний обмін за 1–2 тижні.

Ми провели понад 50 інтеграцій 1С для інтернет-магазинів та виробничих компаній. Середній досвід команди — 7 років, у нас є сертифіковані спеціалісти 1С-Бітрікс. Наш досвід гарантує, що обмін не зламається в перший же місяць і буде стабільно працювати роками. Наприклад, на проекті з каталогом 50 000 товарів автоматизація обміну заощадила клієнту близько 200 000 рублів на рік на операційних витратах.

Зв'яжіться з нами для безкоштовного аудиту вашої конфігурації 1С — знайдемо вузькі місця та запропонуємо оптимальне рішення.