Налаштування двофакторної автентифікації 1С-Бітрікс
Двофакторна автентифікація (2FA) у Бітрікс нативно підтримується через OTP (одноразові паролі) за стандартом TOTP — сумісно з Google Authenticator, Authy, Microsoft Authenticator. Налаштування займає менше години, але є критично важливим для адміністраторських акаунтів.
Вбудована OTP-автентифікація
Модуль 2FA входить до складу модуля main. Вмикається в Налаштування → Головний модуль → Двофакторна авторизація.
Параметри:
- Примусове використання — для вибраних груп користувачів. Увімкніть обов'язково для групи «Адміністратори»
- Період дії коду — стандарт TOTP: 30 секунд. Не змінюйте без необхідності
- Довжина коду — 6 або 8 цифр
Після увімкнення користувач при наступній авторизації отримує QR-код для налаштування застосунку-автентифікатора. Секрет зберігається в b_user.OTP_SECRET у зашифрованому вигляді.
Налаштування для окремих груп
Якщо потрібно застосувати 2FA лише до частини користувачів (наприклад, лише до співробітників, але не до покупців):
-
Налаштування → Групи користувачів → [потрібна група] → Двофакторна авторизація: Обов'язкова - Або програмно через подію
OnAfterUserAuthorize— перевіряйте групу та перенаправляйте на сторінку налаштування OTP
SMS-автентифікація
Бітрікс не має вбудованого SMS-шлюзу для 2FA, але це вирішується через обробник події OnOTPCheck — можна підключити будь-якого SMS-провайдера (наприклад, SMS.ru, SMSC.ru). Реалізація: при першому вході генерується код, відправляється по SMS, вводиться користувачем.
Альтернатива — модулі з Маркетплейсу для SMS 2FA, якщо не хочеться писати власний обробник.
Випадок із практики
Інтернет-магазин: акаунт адміністратора зламано через підбір пароля (пароль Admin2023 не підпадав під обмеження мінімальної довжини в старій політиці). Зловмисник змінив реквізити в розділі прийому платежів. Після інциденту: примусова 2FA для груп «Адміністратори» і «Менеджери», аудит усіх існуючих паролів через b_user.PASSWORD на слабкі хеші (MD5 без солі — старі акаунти).
Резервні коди
Вбудований OTP не генерує резервні коди автоматично — це потрібно реалізувати окремо або налаштувати процедуру скидання 2FA через адміністратора. Документуйте процедуру: без доступу до телефону і без резервних кодів користувач втрачає доступ до акаунту.
Терміни виконання
Увімкнення та налаштування вбудованого OTP для всіх груп — 2–3 години. З кастомною SMS-інтеграцією — 1 робочий день.