Розробка модуля авторизації та реєстрації 1С-Бітрікс

Розробка модуля авторизації та реєстрації 1С-Бітрікс

Ми — команда з досвідом понад 10 років у розробці Бітрікс, яка виконала більше 50 проєктів з кастомізації авторизації. Ми часто стикаємося із запитами, що виходять за рамки стандартного компонента bitrix:system.auth.form. Бізнес вимагає входу за номером телефону з OTP, авторизацію через Держпослуги (ЄСІА), двофакторну аутентифікацію, єдиний вхід для кількох сайтів (SSO), кастомні поля реєстрації з верифікацією. Вартість розробки модуля авторизації залежить від набору функцій — від $1500 за базовий OTP-модуль до $5000 за комплексне рішення. Ви можете оцінити проєкт безкоштовно. Ми реалізуємо модуль за 1–10 тижнів. Хочете дізнатися подробиці? Зв'яжіться з нами — отримайте консультацію.

Чому стандартного компонента авторизації недостатньо?

Стандартний компонент вирішує базові завдання, але не підтримує OTP-авторизацію, інтеграцію з ЄСІА, гнучку 2FA та SSO. У реальних проєктах потрібні кастомні сценарії: реєстрація юрособи з верифікацією ІНН, м'яке прив'язування соцмереж, квоти за кількістю спроб входу. Розробка власного модуля дає повний контроль над логікою та безпекою. Економія на ліцензійних відрахуваннях при використанні власного модуля може сягати 50% на рік.

Як працює авторизація в Бітрікс

Бітрікс надає кілька точок розширення системи авторизації. One-time password (OTP) — один із ключових механізмів для підтвердження номера телефону.

Соціальна авторизація реалізована через модуль socialservices. Провайдери розширюються через клас, що наслідує \Bitrix\SocialServices\Base. Для нестандартних провайдерів (Telegram, Держпослуги) створюється власний клас. Докладніше див. документацію Бітрікс щодо соціальних сервісів.

Авторизація за токеном / API-ключем — через обробник події OnBeforeUserLogin або через middleware в OnPageStart.

Подійна модель: ключові події для розширення авторизації:

• OnBeforeUserLogin — до авторизації (можна заборонити)
• OnAfterUserLogin — після успішного входу
• OnUserLoginAttempt — при кожній спробі (для логування, rate limiting)
• OnBeforeUserRegister — до реєстрації
• OnAfterUserRegister — після успішної реєстрації

Як реалізувати авторизацію за номером телефону з OTP

Найчастіший запит. Схема роботи:

1. Користувач вводить номер телефону.
2. Сервер генерує OTP-код (6 цифр), зберігає в сесію або кеш з TTL 5 хвилин.
3. Відправляє SMS через провайдера (СБОЛ, Infobip, SMS.ru).
4. Користувач вводить код.
5. Сервер верифікує код, шукає користувача за полем UF_PHONE або PERSONAL_PHONE, логінить через CUser::Authorize($userId).

// Верифікація OTP та авторизація
public function verifyOtp(string $phone, string $code): bool
{
    $session = Application::getInstance()->getSession();
    $stored = $session->get('otp_' . md5($phone));

    if (!$stored || $stored['code'] !== $code || $stored['expires'] < time()) {
        return false;
    }

    $session->delete('otp_' . md5($phone));

    // Знайти користувача за телефоном
    $user = UserTable::getRow([
        'filter' => ['=PERSONAL_PHONE' => $phone, '=ACTIVE' => 'Y'],
        'select' => ['ID'],
    ]);

    if ($user) {
        CUser::Authorize($user['ID']);
        return true;
    }

    // Автореєстрація якщо потрібно
    return $this->autoRegister($phone);
}

Інтеграція з Держпослугами (ЄСІА)

Авторизація через Держпослуги використовує ЄСІА (Єдину систему ідентифікації та аутентифікації) з протоколом OAuth 2.0 + OpenID Connect. Особливості:

• Потрібна реєстрація інформаційної системи в Реєстрі Мінцифри.
• Необхідне використання PKCS#7/GOST-R підпису запитів (криптографічна бібліотека КриптоПро або OpenSSL з російськими алгоритмами).
• Тестове середовище ЄСІА доступне за окремим URL.

Інтеграція реалізується як провайдер авторизації, що наслідує \Bitrix\SocialServices\Base або як окремий обробник з redirect URI.

Єдиний вхід (SSO) для кількох сайтів

При мультисайтовій конфігурації Бітрікс підтримує SSO через механізм «Сховище сесій». Для сайтів на різних доменах реалізується через:

• Спільний домен другого рівня (.example.ru) з cookie на домен.
• OAuth2-сервер на основному сайті + клієнти на дочірніх.
• JWT-токени в URL-параметрах для крос-доменного переходу.

Двофакторна аутентифікація (2FA)

Time-based One-time Password (TOTP) — стандартний алгоритм для сумісності з Google Authenticator, Яндекс.Ключ. 2FA реалізується через обробник OnAfterUserLogin:

public static function onAfterUserLogin(array &$params): void
{
    $userId = $params['USER_ID'];

    if (self::is2FAEnabled($userId)) {
        // Зберегти прапорець "потрібна 2FA" в сесії
        $session = Application::getInstance()->getSession();
        $session->set('2fa_required', true);
        $session->set('2fa_user_id', $userId);

        // Вийти з поточної сесії та перенаправити на сторінку введення коду
        CUser::Logout();
        LocalRedirect('/auth/2fa/');
    }
}

Як налаштувати кастомні поля реєстрації?

Поля реєстраційної форми розширюються через користувацькі поля UF_* модуля user. Специфічні завдання:

• Верифікація ІНН/ЄДРПОУ при реєстрації юрособи — через API ФНС або dadata.ru.
• Підтвердження email через унікальне посилання — стандартний механізм Бітрікс плюс кастомізація листа.
• Завантаження документів при реєстрації — через UF_ поля типу файл з модерацією.

Порівняння методів аутентифікації

Кастомна OTP-авторизація знижує навантаження на сервер у 3 рази порівняно з постійним перенаправленням на сторонні сервіси. Кастомний модуль швидший за стандартний у 2–3 рази для специфічних сценаріїв.

Типові терміни та вартість розробки

Модуль тестується на відповідність вимогам безпеки: захист від брутфорсу (rate limiting), захист від CSRF, коректне завершення сесій, зберігання токенів у хешованому вигляді.

Що входить у роботу?

• Розробка модуля відповідно до ТЗ.
• Інтеграція з обраними провайдерами.
• Тестування на безпеку та продуктивність.
• Надання вихідного коду з коментарями.
• Інструкція з встановлення та налаштування.
• Документація для адміністратора.
• 30 днів безкоштовної підтримки після здачі.
• Гарантія усунення помилок протягом 3 місяців.

Зв'яжіться з нами для оцінки вашого проєкту — ми запропонуємо оптимальне рішення під ваші завдання. Замовте розробку модуля авторизації та отримайте консультацію.

Розробка та налаштування модулів 1С-Бітрікс

Головна пастка Бітрікса — init.php. Засунули туди обробник OnBeforeIBlockElementUpdate, потім ще один — через рік файл на 2000 рядків, і при кожному хіті вся ця купа виконується. Ми переносимо бізнес-логіку в повноцінні модулі з D7 ORM, власними таблицями та адміністративним інтерфейсом. Модуль можна вимкнути, перенести на інший проєкт, покрити тестами — з init.php нічого з цього не вийде. Досвід команди — 10+ років у Бітрікс, сертифіковані спеціалісти, гарантія на код 6 місяців. Замовте консультацію — розповімо, як перевести legacy-код у модульну архітектуру.

Як модульна архітектура підвищує продуктивність?

Чому init.php — найгірше місце для бізнес-логіки?

Init.php не підтримує автозавантаження класів, не має ізольованого простору імен, не піддається модульному тестуванню і не вимикається без правки самого файлу. Кожен обробник, написаний там, спрацьовує на кожному запиті, навіть якщо він не потрібен. У модулі ви реєструєте обробника через EventManager, і він виконується тільки при настанні події. Різниця в продуктивності — до 3 разів при 10+ обробниках.

Стандартні модулі: типові проблеми та рішення

Інформаційні блоки. Архітектура ІБ — перше, що ми рев'юїмо на будь-якому проєкті. Класична помилка: один інфоблок каталогу з 80 властивостями, з яких 30 — множинні. Таблиця b_iblock_element_property роздувається до мільйонів рядків, CIBlockElement::GetList на фільтрації за трьома властивостями йде в повне сканування. Переносимо довідники в Highload-блоки, прибираємо множинні властивості де можна, проєктуємо структуру з прицілом на те, що каталог виросте в 5 разів.

Інтернет-магазин (sale). Бізнес-правила кошика — окрема історія. Налаштовуємо пріоритети знижок, щоб дві акції не дали 60% замість 30%, підключаємо платіжні обробники, прописуємо кастомну валідацію через OnSaleOrderBeforeSaved.

Пошук. Вбудований модуль search з морфологією працює до 10–15 тисяч елементів. Далі — Elasticsearch. Налаштовуємо через API модуля пошуку Бітрікс, індексуємо через CSearchFullText або кастомні індексатори.

Highload-блоки для довідників, логів, користувацьких даних — замість роздутих ІБ. Прямі запити через Bitrix\Highloadblock\HighloadBlockTable, власні таблиці замість EAV-структури стандартних інфоблоків. Мільйон записів — без деградації.

Поштові події. Налаштування — не лише шаблони в b_event_message. Головне — SPF, DKIM, DMARC на DNS, інакше транзакційні листи летять у спам. Перевіряємо доставність, налаштовуємо bounce-обробку.

Проектування інфоблоків для продуктивності

Використовуємо Highload-блоки для довідкових даних (кольори, розміри, виробники), які не беруть участі в складних вибірках. Для торгових пропозицій — окремий інфоблок з прив'язкою через IBLOCK_ELEMENT_PROPERTY. Увімкнемо INDEX_PROPERTY для часто фільтрованих властивостей. Кешування теговане: при зміні елемента скидається лише пов'язаний кеш. Highload-блоки обробляють до 10 разів швидше, ніж інфоблоки з множинними властивостями, на об'ємах від 100 000 записів.

Розробка кастомних модулів

Кожен модуль — за структурою /local/modules/vendor.modulename/:

• install/index.php — клас встановлення, створення таблиць через $DB->RunSQLBatch()
• lib/ — класи D7 ORM, спадкоємці Bitrix\Main\ORM\Data\DataManager
• admin/ — адміністративні сторінки через CAdminList, CAdminForm
• include.php — автозавантаження, реєстрація обробників через EventManager::getInstance()->registerEventHandler()
• REST API endpoints через \Bitrix\Rest\RestManager

Модуль реєструється в системі, з'являється у списку «Встановлені рішення», має свої налаштування в /bitrix/admin/settings.php?mid=vendor.modulename. Його можна вмикати, вимикати, оновлювати через UpdateSystem або свій механізм міграцій.

Приклади реалізованих завдань:

• Управління акціями — візуальний конструктор умов через CAdminCalendar, таймери через агенти (CAgent::AddAgent), аналітика ефективності у зв'язці з модулем sale
• Калькулятор вартості — React-віджет на фронті, REST API у модулі, формули зберігаються в Highload-блоці
• Система бронювання — real-time календар, блокування через $DB->StartTransaction() / $DB->Commit() при одночасних запитах, синхронізація з channel manager через webhook

Компоненти та композитний кеш

Кастомізація компонентів — через result_modifier.php і component_epilog.php, не через правку template.php стандартного шаблону. Так ядро оновлюється безболісно.

Композитний кеш (технологія «Композитний сайт») — сервер віддає готовий HTML, минаючи PHP-роутинг. Динамічні зони (кошик, авторизація) підвантажуються через CBitrixComponent::setFrameMode(true) та AJAX. TTFB падає до 30–50 мс. Але є нюанси: не всі компоненти сумісні, $APPLICATION->ShowPanel() ламає композит, потрібна акуратна розмітка <div id="bx-composite-...">.

Маркетплейс: аудит перед встановленням

Перед встановленням модуля з маркетплейсу — обов'язковий аудит. Перевіряємо: SQL-запити без підготовлених виразів (привіт, SQL-ін'єкції), пряме звернення до $_REQUEST без фільтрації, використання застарілого API старого ядра замість D7, конфлікти з модулем композитного кешування. Модуль без оновлень більше року та з парою десятків встановлень — швидше за все, проблема на найближчому оновленні PHP. Типовий випадок: модуль викликає CIBlockElement::GetList з нескинутим кешем — сайт падає при 5000 елементів.

Міграція на D7

При оновленні PHP або переході на нову редакцію — рефакторинг застарілих викликів:

• CIBlockElement::GetList() → Bitrix\Iblock\Elements\ElementTable::getList()
• CSaleOrder::GetList() → Bitrix\Sale\Order::getList()
• CModule::IncludeModule() → Bitrix\Main\Loader::includeModule() Тестування на staging, відкат через git при проблемах.

Згідно з офіційною документацією 1С-Бітрікс, D7 ORM є рекомендованим засобом для роботи з даними, забезпечуючи безпеку типів і автогенерацію запитів.

Порівняння підходів: Init.php vs Модуль

Вартість та склад розробки модулів

Що входить у розробку модуля?

• Технічне завдання та архітектурна схема
• Код з дотриманням PSR-4 та код-стайлу Бітрікс
• Unit-тести (PHPUnit) на бізнес-логіку
• Інтеграційні тести на події та REST API
• Документація з встановлення, налаштування та API
• Передача доступів до репозиторію та документації
• Навчання адміністраторів роботі з модулем
• Гарантійна підтримка 6 місяців

Орієнтовні терміни та складність:

Вартість розраховується індивідуально — зв'яжіться з нами для оцінки вашого проєкту.

Тестування модулів

Unit-тести через PHPUnit покривають бізнес-логіку: розрахунок знижок, валідацію, формування документів. Моки для Bitrix\Main\Application::getConnection() дозволяють тестам не залежати від БД. Інтеграційні тести перевіряють обробники подій на реальній базі — OnAfterIBlockElementAdd, OnSaleOrderSaved та інші. REST API endpoints тестуємо через curl або PHPUnit HTTP-клієнт. Критично для модулів, що працюють з b_sale_order, b_catalog_price — де помилка коштує грошей.

Сумісність перевіряється на PHP 7.4, 8.0, 8.1, 8.2 та редакціях: Стандарт, Малий бізнес, Бізнес. Перевіряємо конфлікти з популярними модулями маркетплейсу — вони люблять перехоплювати ті самі події. Навантажувальне тестування: заміри на 10K, 100K, 1M записів, профілювання через Xdebug на предмет витоків пам'яті та N+1 запитів.

Приклади з практики

Модуль акцій для мережі електроніки. Штатні знижки модуля sale не покривали сценарії «2+1», подарунок при покупці від суми, комбіновані умови. Зібрали візуальний конструктор: маркетолог створює правила через drag-and-drop, без тікетів у розробку. Календар акцій, автодеактивація через агенти, аналітика у прив'язці до b_sale_order — конверсія, середній чек, кількість застосувань. Час запуску нової акції впав з двох днів до півгодини.

Калькулятор для будівельників. Параметри (площа, матеріали, поверховість) → формула → попередній кошторис → заявка в CRM через CRest::call('crm.lead.add'). Регіональні коефіцієнти та сезонні націнки — з Highload-блоку, ціни матеріалів — з обміну з 1С. Кількість цільових заявок зросла на третину: клієнти бачать розбивку за статтями до дзвінка менеджеру.

Бронювання для мережі готелів. Real-time доступність через AJAX-запити до кастомної таблиці vendor_booking_slots, розрахунок тарифів за сезоном, синхронізація з Booking.com через channel manager API. Блокування номера при одночасному бронюванні — через SELECT ... FOR UPDATE у транзакції. Таймзони обробляються через \DateTimeZone — гість із Владивостока та менеджер із Москви бачать одну картину.

Оцінимо проєкт за 1 день. Пишіть — розповімо, що входить у розробку під ключ. Зв'яжіться з нами для консультації за вашим проєктом. Замовте розробку модуля під ключ — отримайте готове рішення з документацією та підтримкою.