Налаштування інтеграції Bitrix24 з OAuth-провайдерами
Реєстрація на корпоративному порталі з логіном і паролем — це бар'єр. Співробітник забуває пароль, скидає, знову забуває. Для порталів із зовнішніми користувачами (клієнти, партнери) проблема гостріша: людина не хоче заводити ще один обліковий запис. Вхід через Google, Facebook або Apple ID знижує тертя: користувач натискає кнопку, підтверджує доступ — і він всередину. У Bitrix24 за це відповідає модуль socialservices.
Модуль socialservices
Модуль socialservices управляє авторизацією через зовнішніх OAuth-провайдерів. Він входить у стандартну поставку Б24 (і хмара, і коробка). Модуль підтримує провайдерів з коробки:
- Google — OAuth 2.0 через Google Cloud Console
- Facebook (Meta) — OAuth через Facebook for Developers
- Apple — Sign in with Apple через Apple Developer Portal
- Яндекс, Mail.ru, ВКонтакте — для русськомовної аудиторії
- Microsoft Live — OAuth через Azure App Registration
Кожен провайдер підключається окремо. Для кожного потрібно зареєструвати додаток у провайдера та отримати Client ID і Client Secret.
Налаштування Google OAuth
Підключення через Google — найпоширеніший сценарій. Порядок дій:
- У Google Cloud Console створити проект (або використати існуючий).
- Включити Google+ API / People API.
- У розділі Credentials створити OAuth 2.0 Client ID. Тип: Web Application.
- Вказати Authorized redirect URI:
https://your-domain.bitrix24.by/bitrix/tools/oauth/google.php(для коробки) або відповідний URL хмари. - Скопіювати Client ID і Client Secret.
- У Б24: Параметри → Соціальні сервіси → Google — вставити Client ID і Client Secret, включити авторизацію.
Після активації на сторінці логіна Б24 з'являється кнопка «Увійти через Google». При першому вході користувачеві пропонується зв'язати Google-обліковий запис із існуючим обліковим записом або створити новий.
Налаштування Apple Sign-In
Apple вимагає додаткових кроків:
- Реєстрація App ID і Services ID в Apple Developer Portal.
- Генерація Private Key для аутентифікації (ключ використовується для створення Client Secret — Apple не видає статичний секрет, секрет генерується як JWT).
- Вказання Return URL і Domain Verification — Apple перевіряє домен через DNS-запис.
Apple передає ім'я користувача тільки при першому вході. Якщо дані не збережені з першого разу — Apple їх більше не видасть. Це потрібно враховувати при обробці.
Обробка токенів та безпека
При OAuth-авторизації Б24 отримує access token і (опціонально) refresh token від провайдера. Access token використовується для запиту профіля користувача (email, ім'я, аватар). Після отримання профілю Б24 створює сесію — подальша робота йде через внутрішню авторизацію Б24, OAuth-токен більше не використовується.
Рекомендації щодо безпеки:
- Обмежити список провайдерів — не включати всіх підряд. Для корпоративного порталу достатньо Google і Microsoft.
- Заборонити автоствворення облікових записів — якщо портал закритий, новий користувач через OAuth не повинен отримувати доступ автоматично. Налаштовується в модулі socialservices.
-
Прив'язка до домену — дозволити OAuth-вхід тільки для email із корпоративного домену (
@company.com).
Зв'язування облікових записів
Якщо користувач уже має обліковий запис у Б24, при першому OAuth-вході система пропонує зв'язати облікові записи. Після зв'язування користувач може входити як по логіну/паролю, так і через провайдера. Один користувач може привязати кілька провайдерів одночасно.
Управління прив'язками — у профілі користувача: Профіль → Прив'язка до соціальних мереж.
Що налаштовуємо
- Реєстрація OAuth-додатків у провайдерів (Google, Facebook, Apple)
- Підключення модуля socialservices та введення Client ID / Client Secret
- Налаштування redirect URI та верифікація домену
- Політика автоствворення облікових записів та прив'язки до існуючих користувачів
- Обмеження OAuth-входу за доменом email
- Тестування потоку авторизації для кожного провайдера