API-first на 1С-Бітрікс: REST, OAuth, кешування під ключ

Клієнт прийшов із задачею: інтернет-магазин на Бітрікс, фронтенд на React, мобільний додаток iOS/Android, інтеграція з 1С. Класичні компоненти не підходять — потрібен JSON. Ми розробили API-first архітектуру: Бітрікс став бекендом, що віддає дані через REST API. Фронтенд-команда працює з контрактом, не знаючи про інфоблоки. Результат — середня економія на підтримці 35% за рахунок єдиного API-контракту, а час виведення нових фіч на мобільні платформи скоротився в 2–3 рази. Ми спеціалізуємося на таких рішеннях понад 10 років. На рахунку — 50+ проєктів, де Бітрікс виступає як API-сервер. Оцінимо ваш проєкт безкоштовно. Середній час відповіді API — 80 мс при піковому навантаженні до 5000 RPS. Зв'яжіться з нами для безкоштовної оцінки проєкту.

API-first vs класичний Бітрікс: у чому різниця?

API-first радикально відрізняється від класичної розробки. Компонент bitrix:catalog.section рендерить HTML на сервері. API-підхід віддає JSON — фронтенд керує відмальовкою. Це дає:

• В 2–3 рази швидшу розробку мобільних додатків порівняно з класичним підходом.
• Єдину точку інтеграції для всіх клієнтів: веб, iOS, Android, B2B-партнери.
• Повний контроль над фронтендом: React/Vue SPA з SSR, Swift, Kotlin.

Коли API-first виправданий?

API-first на Бітрікс має сенс, якщо:

• Паралельно існують декілька фронтенд-клієнтів з однією бізнес-логікою.
• Потрібен повний контроль над фронтендом (React/Vue SPA з SSR).
• Мобільний додаток — повноцінна частина продукту, не доповнення.
• Передбачається інтеграція з великою кількістю зовнішніх систем через єдину точку входу.

Якщо це просто сайт без мобільного додатку — API-first надлишковий.

Як забезпечити продуктивність API?

Без кешування API-сервер перетворюється на джерело навантаження: кожен хіт мобільного додатку — це N запитів до БД. Стратегія:

• HTTP-кеш (Cache-Control: max-age=300, ETag): для публічних ресурсів (каталог, статті). CDN кешує на своїй стороні.
• Redis/Memcached: складні агреговані відповіді (сторінка товару = дані з iblock + ціни з catalog + залишки + відгуки). TTL 5–15 хвилин, інвалідація за тегом при зміні даних.
• Тегований кеш Бітрікс: \Bitrix\Main\Data\TaggedCache — інвалідуємо кеш конкретного товару при його оновленні через 1С-обмін.

Ключові технічні рішення

Архітектура

Клієнти
 ├── React SPA (веб)
 ├── React Native / Swift / Kotlin (мобайл)
 └── Зовнішні системи (B2B-партнери, ERP)
         ↓ HTTPS/JSON
   API-шар (custom REST endpoints на Бітрікс)
         ↓
   Бізнес-логіка (модулі catalog, sale, iblock, custom)
         ↓
   База даних (MySQL/PostgreSQL)

Реалізація REST-ендпоінтів

У Бітрікс24 та 1С-Бітрікс (коробка) є механізм реєстрації кастомних REST-методів через подію OnRestServiceBuildDescription. Згідно з документацією 1С-Бітрікс, це стандартний шлях.

// /local/modules/vendor.api/lib/resthandler.php
class RestHandler
{
    public static function onRestServiceBuildDescription(): array
    {
        return [
            'vendor' => [
                'catalog.product.list' => [
                    'callback' => [self::class, 'getCatalogProducts'],
                    'options' => ['private' => false],
                ],
                'catalog.product.get' => [
                    'callback' => [self::class, 'getCatalogProduct'],
                    'options' => ['private' => false],
                ],
                'sale.order.create' => [
                    'callback' => [self::class, 'createOrder'],
                    'options' => ['private' => false],
                ],
            ],
        ];
    }
}

Альтернатива — компонент-контролер на окремому URL (/api/v1/), який приймає запити без використання механізму REST Бітрікс.

Авторизація API-клієнтів

Порівняння методів:

OAuth 2.0 — стандартний шлях для публічного API. Клієнт отримує access_token через Authorization Code або Client Credentials flow. Токени зберігаються в b_oauth_access_token. Бітрікс підтримує OAuth з коробки через модуль oauth.

JWT для server-to-server та мобільних клієнтів. Сервер підписує JWT власним ключем, клієнт передає в заголовку Authorization: Bearer. Перевіряємо на кожному запиті — без звернення до БД (stateless).

API Key для B2B-партнерів з фіксованим IP.

Як версіонувати API без болю?

Схема: /api/v1/catalog/products, /api/v2/catalog/products. v1 і v2 живуть паралельно. v1 оголошується deprecated з датою відключення, яку повідомляють клієнтам через Deprecation та Sunset заголовки.

OpenAPI-специфікація

Усі ендпоінти документуються у форматі OpenAPI 3.0. Фронтенд-команда генерує типізований клієнт (TypeScript SDK, Swift/Kotlin клієнти), тест-інженери автоматизують тестування за специфікацією.

Обробка помилок

Єдиний формат помилок для всіх ендпоінтів:

{
  "error": {
    "code": "PRODUCT_NOT_FOUND",
    "message": "Товар з ID 12345 не знайдено",
    "details": {}
  }
}

HTTP-коди використовуються семантично: 404 — не знайдено, 422 — помилка валідації, 429 — перевищено ліміт, 503 — сервіс тимчасово недоступний.

Тестування

API без тестів — API без довіри. Покриваємо:

• Unit-тести на бізнес-логіку обробників.
• Integration-тести на ендпоінти (PHPUnit + реальна тестова БД).
• Contract-тести — перевіряємо, що відповідь відповідає OpenAPI-схемі (Dredd, Schemathesis).

Процес роботи

Що входить в роботу

• Проєктування API: ресурси, ендпоінти, OpenAPI-специфікація.
• Розробка REST-ендпоінтів з авторизацією та кешуванням.
• Документація Swagger UI з прикладами запитів.
• Інтеграційне тестування.
• Передача вихідного коду, інструкцій по деплою, доступів.
• Навчання вашої команди роботі з API.
• Підтримка на етапі запуску.

Як за 5 кроків реалізувати REST-ендпоінт

1. Визначити ресурс та ендпоінти (наприклад, /api/v1/catalog/products).
2. Створити клас-обробник з методами list, get, create, update, delete.
3. Зареєструвати ендпоінт через подію OnRestServiceBuildDescription.
4. Додати авторизацію (OAuth, JWT, API Key).
5. Протестувати через Swagger UI та contract-тести.

Етапи розробки

API-first на Бітрікс — це додатковий шар абстракції, який вимагає дисципліни команди. Зате фронтенд-розробники працюють з чистим JSON-контрактом і не знають нічого про компоненти та інфоблоки. Ми гарантуємо якість: кожен проєкт проходить code review та навантажувальне тестування. Замовте консультацію з архітектури — отримайте оцінку вашого API-first рішення.

Розробка та налаштування модулів 1С-Бітрікс

Головна пастка Бітрікса — init.php. Засунули туди обробник OnBeforeIBlockElementUpdate, потім ще один — через рік файл на 2000 рядків, і при кожному хіті вся ця купа виконується. Ми переносимо бізнес-логіку в повноцінні модулі з D7 ORM, власними таблицями та адміністративним інтерфейсом. Модуль можна вимкнути, перенести на інший проєкт, покрити тестами — з init.php нічого з цього не вийде. Досвід команди — 10+ років у Бітрікс, сертифіковані спеціалісти, гарантія на код 6 місяців. Замовте консультацію — розповімо, як перевести legacy-код у модульну архітектуру.

Як модульна архітектура підвищує продуктивність?

Чому init.php — найгірше місце для бізнес-логіки?

Init.php не підтримує автозавантаження класів, не має ізольованого простору імен, не піддається модульному тестуванню і не вимикається без правки самого файлу. Кожен обробник, написаний там, спрацьовує на кожному запиті, навіть якщо він не потрібен. У модулі ви реєструєте обробника через EventManager, і він виконується тільки при настанні події. Різниця в продуктивності — до 3 разів при 10+ обробниках.

Стандартні модулі: типові проблеми та рішення

Інформаційні блоки. Архітектура ІБ — перше, що ми рев'юїмо на будь-якому проєкті. Класична помилка: один інфоблок каталогу з 80 властивостями, з яких 30 — множинні. Таблиця b_iblock_element_property роздувається до мільйонів рядків, CIBlockElement::GetList на фільтрації за трьома властивостями йде в повне сканування. Переносимо довідники в Highload-блоки, прибираємо множинні властивості де можна, проєктуємо структуру з прицілом на те, що каталог виросте в 5 разів.

Інтернет-магазин (sale). Бізнес-правила кошика — окрема історія. Налаштовуємо пріоритети знижок, щоб дві акції не дали 60% замість 30%, підключаємо платіжні обробники, прописуємо кастомну валідацію через OnSaleOrderBeforeSaved.

Пошук. Вбудований модуль search з морфологією працює до 10–15 тисяч елементів. Далі — Elasticsearch. Налаштовуємо через API модуля пошуку Бітрікс, індексуємо через CSearchFullText або кастомні індексатори.

Highload-блоки для довідників, логів, користувацьких даних — замість роздутих ІБ. Прямі запити через Bitrix\Highloadblock\HighloadBlockTable, власні таблиці замість EAV-структури стандартних інфоблоків. Мільйон записів — без деградації.

Поштові події. Налаштування — не лише шаблони в b_event_message. Головне — SPF, DKIM, DMARC на DNS, інакше транзакційні листи летять у спам. Перевіряємо доставність, налаштовуємо bounce-обробку.

Проектування інфоблоків для продуктивності

Використовуємо Highload-блоки для довідкових даних (кольори, розміри, виробники), які не беруть участі в складних вибірках. Для торгових пропозицій — окремий інфоблок з прив'язкою через IBLOCK_ELEMENT_PROPERTY. Увімкнемо INDEX_PROPERTY для часто фільтрованих властивостей. Кешування теговане: при зміні елемента скидається лише пов'язаний кеш. Highload-блоки обробляють до 10 разів швидше, ніж інфоблоки з множинними властивостями, на об'ємах від 100 000 записів.

Розробка кастомних модулів

Кожен модуль — за структурою /local/modules/vendor.modulename/:

• install/index.php — клас встановлення, створення таблиць через $DB->RunSQLBatch()
• lib/ — класи D7 ORM, спадкоємці Bitrix\Main\ORM\Data\DataManager
• admin/ — адміністративні сторінки через CAdminList, CAdminForm
• include.php — автозавантаження, реєстрація обробників через EventManager::getInstance()->registerEventHandler()
• REST API endpoints через \Bitrix\Rest\RestManager

Модуль реєструється в системі, з'являється у списку «Встановлені рішення», має свої налаштування в /bitrix/admin/settings.php?mid=vendor.modulename. Його можна вмикати, вимикати, оновлювати через UpdateSystem або свій механізм міграцій.

Приклади реалізованих завдань:

• Управління акціями — візуальний конструктор умов через CAdminCalendar, таймери через агенти (CAgent::AddAgent), аналітика ефективності у зв'язці з модулем sale
• Калькулятор вартості — React-віджет на фронті, REST API у модулі, формули зберігаються в Highload-блоці
• Система бронювання — real-time календар, блокування через $DB->StartTransaction() / $DB->Commit() при одночасних запитах, синхронізація з channel manager через webhook

Компоненти та композитний кеш

Кастомізація компонентів — через result_modifier.php і component_epilog.php, не через правку template.php стандартного шаблону. Так ядро оновлюється безболісно.

Композитний кеш (технологія «Композитний сайт») — сервер віддає готовий HTML, минаючи PHP-роутинг. Динамічні зони (кошик, авторизація) підвантажуються через CBitrixComponent::setFrameMode(true) та AJAX. TTFB падає до 30–50 мс. Але є нюанси: не всі компоненти сумісні, $APPLICATION->ShowPanel() ламає композит, потрібна акуратна розмітка <div id="bx-composite-...">.

Маркетплейс: аудит перед встановленням

Перед встановленням модуля з маркетплейсу — обов'язковий аудит. Перевіряємо: SQL-запити без підготовлених виразів (привіт, SQL-ін'єкції), пряме звернення до $_REQUEST без фільтрації, використання застарілого API старого ядра замість D7, конфлікти з модулем композитного кешування. Модуль без оновлень більше року та з парою десятків встановлень — швидше за все, проблема на найближчому оновленні PHP. Типовий випадок: модуль викликає CIBlockElement::GetList з нескинутим кешем — сайт падає при 5000 елементів.

Міграція на D7

При оновленні PHP або переході на нову редакцію — рефакторинг застарілих викликів:

• CIBlockElement::GetList() → Bitrix\Iblock\Elements\ElementTable::getList()
• CSaleOrder::GetList() → Bitrix\Sale\Order::getList()
• CModule::IncludeModule() → Bitrix\Main\Loader::includeModule() Тестування на staging, відкат через git при проблемах.

Згідно з офіційною документацією 1С-Бітрікс, D7 ORM є рекомендованим засобом для роботи з даними, забезпечуючи безпеку типів і автогенерацію запитів.

Порівняння підходів: Init.php vs Модуль

Вартість та склад розробки модулів

Що входить у розробку модуля?

• Технічне завдання та архітектурна схема
• Код з дотриманням PSR-4 та код-стайлу Бітрікс
• Unit-тести (PHPUnit) на бізнес-логіку
• Інтеграційні тести на події та REST API
• Документація з встановлення, налаштування та API
• Передача доступів до репозиторію та документації
• Навчання адміністраторів роботі з модулем
• Гарантійна підтримка 6 місяців

Орієнтовні терміни та складність:

Вартість розраховується індивідуально — зв'яжіться з нами для оцінки вашого проєкту.

Тестування модулів

Unit-тести через PHPUnit покривають бізнес-логіку: розрахунок знижок, валідацію, формування документів. Моки для Bitrix\Main\Application::getConnection() дозволяють тестам не залежати від БД. Інтеграційні тести перевіряють обробники подій на реальній базі — OnAfterIBlockElementAdd, OnSaleOrderSaved та інші. REST API endpoints тестуємо через curl або PHPUnit HTTP-клієнт. Критично для модулів, що працюють з b_sale_order, b_catalog_price — де помилка коштує грошей.

Сумісність перевіряється на PHP 7.4, 8.0, 8.1, 8.2 та редакціях: Стандарт, Малий бізнес, Бізнес. Перевіряємо конфлікти з популярними модулями маркетплейсу — вони люблять перехоплювати ті самі події. Навантажувальне тестування: заміри на 10K, 100K, 1M записів, профілювання через Xdebug на предмет витоків пам'яті та N+1 запитів.

Приклади з практики

Модуль акцій для мережі електроніки. Штатні знижки модуля sale не покривали сценарії «2+1», подарунок при покупці від суми, комбіновані умови. Зібрали візуальний конструктор: маркетолог створює правила через drag-and-drop, без тікетів у розробку. Календар акцій, автодеактивація через агенти, аналітика у прив'язці до b_sale_order — конверсія, середній чек, кількість застосувань. Час запуску нової акції впав з двох днів до півгодини.

Калькулятор для будівельників. Параметри (площа, матеріали, поверховість) → формула → попередній кошторис → заявка в CRM через CRest::call('crm.lead.add'). Регіональні коефіцієнти та сезонні націнки — з Highload-блоку, ціни матеріалів — з обміну з 1С. Кількість цільових заявок зросла на третину: клієнти бачать розбивку за статтями до дзвінка менеджеру.

Бронювання для мережі готелів. Real-time доступність через AJAX-запити до кастомної таблиці vendor_booking_slots, розрахунок тарифів за сезоном, синхронізація з Booking.com через channel manager API. Блокування номера при одночасному бронюванні — через SELECT ... FOR UPDATE у транзакції. Таймзони обробляються через \DateTimeZone — гість із Владивостока та менеджер із Москви бачать одну картину.

Оцінимо проєкт за 1 день. Пишіть — розповімо, що входить у розробку під ключ. Зв'яжіться з нами для консультації за вашим проєктом. Замовте розробку модуля під ключ — отримайте готове рішення з документацією та підтримкою.