Защита сайта на 1С-Битриксе: что включить в первую очередь и как проверить, что она работает

01

Сначала узнайте редакцию: от неё зависит, что можно включить

Редакция — это вид лицензии: «Старт», «Стандарт», «Малый бизнес», «Бизнес» и другие. Её видно в админке: Marketplace > Обновление платформы, вкладка «Установка обновлений» (урок 1С-Битрикс, 29.04.2026). Там же видно, до какой даты идут обновления: без действующей лицензии они не приходят, лицензию придётся продлить.

От редакции зависит, какие настройки есть в меню. Пометки взяты из уроков курса 1С-Битрикс «Администратор. Базовый» (открыты 20.10.2026).

Про «Старт» производитель говорит по-разному: курс помечает эти инструменты как недоступные там, а таблица лицензий 1С-Битрикс (1c-bitrix.ru, 20.10.2026) отмечает «Проактивную защиту» во всех шести редакциях. Почему так, мы не знаем: проще открыть Настройки > Проактивная защита и посмотреть, какие пункты есть.

Текущий уровень защиты видно на странице Настройки > Проактивная защита > Панель безопасности. Уровней три, они вложены друг в друга (урок 1С-Битрикс, 11.03.2026).

02

Шаг 1. Обновления: платформа и готовое решение отдельно

Рядом с вкладкой «Администрирование» в новых версиях видно статус сайта: зелёный «Сайт под защитой» или красный «Угроза безопасности». Это Монитор проактивной защиты; он появился в модуле защиты с версии 24.0.0, на давно не обновлявшемся сайте его может не быть. Он отсекает подозрительные запросы до установки обновлений, но, по словам производителя, без свежих обновлений полной защиты не гарантирует (урок 1С-Битрикс, 23.03.2026).

Обновлять надо два набора. Система и дополнения из каталога Маркетплейс обновляются в разделе Marketplace. «Аспро» и другие готовые решения для магазинов делают сторонние компании, и их обновление не приходит вместе с обновлением Битрикса. 06.02.2025 1С-Битрикс («Внимание пользователям решений Аспро», 1c-bitrix.ru) предупредил о росте взломов сайтов на решениях «Аспро»: под угрозой проекты, не обновлявшиеся с лета 2023 года, и перенесённые с ошибками. В актуальных версиях уязвимостей не зафиксировано; надо обновить решение, поставить патчер (программу, которая ставит исправления) и обратиться в «Аспро».

В феврале 2025 мы ставили такое исправление, патч, двум магазинам клиентов. У одного лицензия была старая, а в шаблоне стояли доработки, и результат патча заранее предсказать не получалось. Поэтому любое обновление сначала идёт на копию; порядок разобран в статье «Обновление Битрикса».

27 июля 2026 года 1С-Битрикс прислал письмо о критическом обновлении безопасности модулей; на двух магазинах мы обновили все модули из письма до 3 августа. Решите, кто у вас читает такие письма.

03

Шаг 2. Кто входит в админку: группы и их правила

Права человека, который состоит в нескольких группах, складываются: лишняя группа даёт лишние права (урок 1С-Битрикс, 18.02.2026).

Группа «Администраторы» должна стоять на «повышенном» уровне. По умолчанию так и есть; проверить и включить можно на Панели безопасности (урок 1С-Битрикс, 24.03.2026). На закладке «Безопасность» в форме группы включается проверка слабых паролей и требование сменить пароль, если он не подходит под правила (урок 1С-Битрикс, 10.02.2026). От слабых паролей производитель считает оптимальной двухэтапную авторизацию (тот же урок): код приходит из приложения в телефоне (урок 1С-Битрикс, 18.01.2026). Включайте её всем, кто входит в админку. Для обмена с 1С заведите отдельного пользователя, почему — в статье «Сайт взломали: что делать».

Жалоба «выкидывает из админки». В апреле и июле 2025 года двое клиентов жаловались на выход из админки через 10-20 минут, один просил продлить вход до 12 часов. Производитель дольше 20-30 минут не советует: тормозит сайт. Он предлагает привязать вход к адресу сети и хранить галочку «запомнить меня» не дольше недели (урок 1С-Битрикс, 19.02.2026). 12 часов удобны, пока ноутбук менеджера чист. Если он заражён, это 12 часов открытой админки для вируса, а вирусы на компьютерах администраторов — главная проблема со взломами, по статистике техподдержки 1С-Битрикс (урок 1С-Битрикс, 18.02.2026).

04

Шаг 3. Фильтр, стоп-лист и закрытый вход

Проактивный фильтр проверяет обращения к сайту (запросы) и отсекает опасные, включается кнопкой «Включить проактивную защиту». На стандартном уровне фильтр работает без исключений, то есть без страниц и действий, которые он пропускает без проверки (урок 1С-Битрикс, 24.03.2026). Иногда он блокирует нужное, например отправку формы. Тогда исключение лучше делать точечно и со специалистом: каждое снижает защиту. Стоп-лист — список заблокированных адресов. Опцию «Добавить IP-адрес атакующего в стоп-лист» производитель сам помечает риском: злоумышленник может добиться блокировки обычных посетителей.

Защита административного раздела открывает админку только с указанных адресов. Адрес здесь — IP-адрес вашего подключения к интернету, его покажет поиск «мой IP». У домашнего и мобильного интернета он меняется: сегодня вписали, завтра не вошли. Закрытый вход подходит, если вы работаете с постоянного адреса, например из офиса. Сначала впишите в список свой адрес, потом включайте (урок 1С-Битрикс, 24.04.2026). Если заперли себя, помогает специальный файл, но создать его может лишь тот, у кого есть доступ к серверу.

Осенью 2025 года у одного клиента защита была включена, наш адрес вписан, а админка открывалась с любого адреса; мы это исправили. Возьмите телефон, выключите Wi-Fi и откройте админку через мобильный интернет. Увидели форму ввода пароля — защита не работает: чужой адрес не должен видеть и её.

От подбора паролей закрывает «Контроль активности». Нужен модуль «Веб-аналитика» (урок 1С-Битрикс, 24.03.2026); по таблице лицензий (1c-bitrix.ru, 20.10.2026) он есть только у «Бизнеса» и «Энтерпрайза». В остальных редакциях от подбора защитит двухэтапная авторизация (шаг 2): одного угаданного пароля для входа станет мало. В декабре 2025 у одного магазина не было защиты от подбора паролей. Мы настроили её штатными средствами Битрикса, без своей разработки: «Контролем активности» и политикой безопасности группы.

05

Шаг 4. Журнал: увеличьте срок хранения и включите оповещения

Что писать в журнал событий и сколько хранить, задаётся в главном модуле: Настройки > Настройки продукта > Настройки модулей > Главный модуль, закладка «Журнал событий», поле «Сколько дней хранить события». По умолчанию там 7 дней, потом записи удаляются (урок 1С-Битрикс, 19.02.2026).

Семи дней мало: журнал нужен, чтобы после взлома посмотреть, что и когда происходило на сайте, а записи старше недели уже стёрты. Скрытые ссылки на чужие сайты, например, посетитель не видит. Сколько дней хранить, зависит от свободного места на сервере: его видно в панели хостинга.

Второе — оповещения. Кнопка «Оповещения журнала событий» шлёт сообщения на почту или по СМС (урок 1С-Битрикс, 24.02.2026). Журнал, который никто не открывает, полезен только после взлома, а оповещение приходит раньше: оно важнее.

06

Шаг 5. Раз в месяц: сканер, поиск троянов, контроль целостности

Сканер безопасности (кнопка «Запустить сканирование») проверяет настройки сайта, ищет слабые места в коде и, если адрес сайта указан в главном модуле, смотрит на него снаружи (урок 1С-Битрикс, 27.03.2026). Ещё он пробует подобрать пароли администраторов по словарю (урок 1С-Битрикс, 24.04.2026).

Поиск троянов (раздел «Сканирование файлов», кнопка «Начать поиск») ищет вирусы, спрятанные в файлах сайта, и оценивает каждый файл от 0 до 1. Производитель предупреждает: не всё найденное — трояны (урок 1С-Битрикс, 27.03.2026). Карантин отключает файл, и если он нужен сайту, сайт сломается. Без специалиста в карантин ничего не отправляйте.

Контроль целостности проверяет главные файлы системы и файлы сайта (урок 1С-Битрикс, 18.01.2026). В декабре 2025 у нашего клиента нашли вирус в системном файле, который собирает подвал страниц. Подмену таких файлов, по описанию производителя, он и ищет.

07

Если сайт уже заражали: настройки чистку не заменят

У Taiyan при второй чистке, 13.03.2025, мы искали остатки по образцам и чистили расписание задач на сервере (кейс).

Магазину спецодежды «Стандарт» из Томска в мае 2025 мы вернули сайт из копии и заблокировали на сервере 7 адресов, с которых всё время кто-то пытался войти. Потом запретили опасные функции PHP (языка, на котором работает сайт), и модуль, делавший картинки на лету, перестал работать: часть каталога открывалась пустой (кейс). После закрытия лазеек пройдите каталог, корзину и обмен с 1С и оставьте время на правки.

У «Живой русской бани» в январе 2026 войти в админку удалось только через сброс доступа. Вместо долгой чистки сохранили копию сайта, удалили из папки сайта всё, очистили базу и поставили 1С-Битрикс заново: 4 февраля система стояла (кейс). Копии включаются в разделе Настройки > Инструменты > Резервное копирование > Регулярное резервное копирование, не чаще раза в день (урок 1С-Битрикс, 15.02.2026). Хранить копию надо не только на сервере сайта, но и в облаке 1С-Битрикс или стороннем облаке: на сервере она пропадёт вместе с сайтом.

08

Проверка в админке: шесть пунктов

09

Когда в настройки защиты лезть не надо

Если сайт на поддержке у подрядчика, защиту админки и фильтр сами не включайте: можно запереть и себя, и обмен с 1С. Попросите отчёт по шести пунктам.

Если сайт уже заражён, сначала чистка и повторная проверка. Если сайт не на 1С-Битриксе, статья не про вас, общая версия — «Защита сайта от взлома».

Платный аудит за 90 000 ₽ нужен не всем. Если Панель безопасности показывает высокий уровень, обновления и решение свежие, а журнал шлёт оповещения, хватит проверки из шести пунктов раз в месяц. На старшую редакцию ради защиты мы бы первым шагом не переходили.

10

Сколько стоит, если делать не самим

Осмотр сайта снаружи бесплатный, без доступов. Аудит безопасности — 90 000 ₽, 1-2 недели, при переходе на поддержку засчитывается в первый месяц. Чистка после взлома — от 25 000 ₽ (один тип заражения), восстановление — от 50 000 ₽ (заражено несколько мест, есть закладки и чужие учётные записи), охрана — 3 000 ₽ в месяц. Поддержка сайта на 1С-Битрикс — 25 000 ₽ в месяц за 10 часов, час сверх пакета 2 500 ₽; что входит в поддержку, разобрано в статье «Что входит в поддержку сайта». Отдельной услуги «настроить защиту в админке» нет, после осмотра скажем, что куда войдёт.

Аудит безопасности сайта90 000 ₽, 1-2 недели Восстановление сайта после взломаЧистка от 25 000 ₽

12

Для технических специалистов

• Стандартный уровень: фильтр без исключений, журнал вторжений, группа администраторов на повышенном уровне, вывод ошибок «Только ошибки» или «Не выводить»; $DBDebug в /bitrix/php_interface/dbconn.php не true (про показ ошибок — статья «Ошибки 1С-Битрикс»). Высокий добавляет журналирование событий, защиту административного раздела, хранение сессий в базе; повышенный — двухэтапную авторизацию, контроль целостности, веб-антивирус.
• Файл-флажок, снимающий защиту по IP: ipcheck_disable_ и 32 случайных символа, путь задаётся в Настройки > Настройки продукта > Настройки модулей > Проактивная защита (урок 1С-Битрикс, 23.03.2026).
• Карантин поиска троянов переименовывает .php в .ph_. Сканеру нужны PHP-модуль tokenizer, max_execution_time от 20 с, memory_limit от 256 МБ. Подменённый файл из декабря 2025 — /bitrix/footer.php.
• Поиск троянов — модуль security от 23.0.0, оповещения журнала — главный модуль от 20.0.600, слабые пароли — от 21.500.

13

Читайте также

• Защита сайта от взлома
• Сайт взломали: что делать
• Обновление Битрикса
• Ошибки 1С-Битрикс