Права и группы в Битрикс: типичные ошибки доступа

В Битрикс ошибка в одной группе пользователей может открыть менеджеру настройки магазина, дать редактору удаление инфоблоков или, наоборот, заблокировать публикацию материалов. В этой статье — практический разбор для 1С-Битрикс: Управление сайтом 24.x: как разделять группы, выдавать минимальные права, проверять результат и не чинить доступ добавлением пользователя в администраторы.

Сначала разделите задачу на три уровня

В Битрикс права распределены не в одном окне. На результат влияют принадлежность пользователя к группам, разрешения модулей и доступ к конкретным объектам: инфоблокам, разделам, файлам или административным страницам.

• Группа пользователя. Определяет, какие наборы разрешений применяются к пользователю.
• Права модуля. Например, доступ к настройкам инфоблоков, управлению структурой или административной части.
• Права объекта. Это доступ к конкретному инфоблоку, разделу или элементу, а не ко всему модулю.

Из-за этого пользователь может видеть административный раздел, но не иметь права изменить нужный инфоблок. Или наоборот: получить доступ к данным через публичную часть, хотя в административной панели ничего не отображается.

Права доступа — набор разрешений, который отвечает на вопрос «что пользователь может сделать». Группа — способ объединить пользователей и назначить им такой набор. Не смешивайте эти понятия: группа не должна называться по человеку или проекту, если она описывает роль.

Четыре рабочих подхода и их цена

Для большинства рабочих сайтов лучше начинать с ролей, а не с людей: «Редактор новостей», «Менеджер каталога», «Модератор отзывов». Если одному сотруднику нужно временное расширение, сначала создайте отдельную временную группу с понятным названием и датой пересмотра.

Если доступ можно объяснить только фразой «так исторически сложилось», его уже пора пересматривать.

Типичные ошибки в настройке

Пользователю выдают права администратора

Это самый быстрый способ убрать симптом и самый дорогой — создать новую проблему. Администратор получает доступ не только к нужному разделу, но и к настройкам сайта, пользователям, модулям и потенциально чувствительным данным.

Сначала зафиксируйте конкретное действие: «создавать элементы инфоблока каталога», «редактировать новости», «просматривать заказы без изменения статуса». Затем выдайте минимальный набор прав на нужный объект. Проверяйте не название группы, а фактический результат.

Группа названа по фамилии сотрудника

Группа «Иванов» не объясняет, зачем она нужна и какие права содержит. После увольнения или смены должности такая настройка превращается в бесхозное исключение.

Используйте названия по роли и области действия: «Контент — новости», «Каталог — цены», «Поддержка — обращения». В описании группы укажите владельца процесса и дату последнего пересмотра. Самих пользователей храните отдельно от логики прав.

Права назначены модулю, но не объекту

Доступ к модулю инфоблоков не означает автоматический доступ ко всем инфоблокам. Аналогично, право видеть административный раздел не гарантирует возможность изменить конкретный элемент.

Проверяйте цепочку целиком: группа пользователя, разрешение модуля, настройки нужного инфоблока и ограничения раздела. Тестируйте на тестовой учетной записи с той же принадлежностью к группам, что и у реального сотрудника.

Все пользователи получают доступ через широкую группу

Широкие группы вроде «Все авторизованные пользователи» удобны для базовых действий, но опасны для операций записи, удаления и просмотра внутренних данных. Особенно внимательно проверяйте права на загрузку файлов, заказы, персональные данные и настройки интеграций.

Для публичного просмотра задавайте доступ на чтение, а операции изменения переносите в отдельную роль. Не используйте широкую группу как место для временного исправления.

После изменения не проверяют уже открытую сессию

Пользователь может продолжать работать в открытом окне браузера, а кеш или текущая сессия мешают увидеть новый результат. Поэтому проверяйте права в отдельном браузере или приватном окне, выйдя из учетной записи и войдя заново.

Как делать настройку по рабочей схеме

1. Опишите сценарий. Запишите объект и действие: например, «редактор меняет текст новости, но не удаляет её и не меняет настройки инфоблока». Проверка: из сценария понятно, что именно нужно разрешить и что должно остаться запрещено.
2. Создайте роль, а не персональное исключение. В разделе управления группами добавьте группу с названием по функции. Проверка: другой администратор понимает назначение группы без устного объяснения.
3. Назначьте группу тестовому пользователю. Не начинайте с учетной записи реального сотрудника: так проще отделить настройку от его старых групп. Проверка: в профиле тестового пользователя видна только ожидаемая принадлежность к группам.
4. Настройте права модуля и объекта. Откройте настройки соответствующего модуля, инфоблока или раздела и выдайте минимальный уровень доступа. Проверка: нужное действие доступно, а соседнее действие — например удаление или изменение настроек — недоступно.
5. Проверьте публичную и административную часть. Выполните вход тестовым пользователем в новом сеансе и повторите реальный рабочий маршрут. Проверка: пользователь видит только нужные пункты меню, страницы и операции.
6. Зафиксируйте результат. Запишите группу, объекты, разрешенные и запрещенные операции. Проверка: через месяц настройку можно восстановить без анализа десятков профилей.

Когда что выбирать

Ролевые группы выбирайте, если обязанности повторяются у нескольких сотрудников. Это основной вариант для редакции, каталога и поддержки.

Группы по разделам нужны, когда редакторы работают с разными информационными блоками или направлениями и не должны видеть соседние данные. Перед созданием таких групп оцените число разделов: при десятках подразделений матрица прав станет сложнее самой задачи.

Временную группу используйте для замещения, аудита или миграции. Название должно содержать назначение, а владелец сайта — заранее поставить дату проверки. Индивидуальное исключение оставляйте только для действительно разовой ситуации.

Что ломается и как искать причину

• Кнопка редактирования не появилась. Проверьте, есть ли у пользователя доступ к самому объекту, а не только к разделу модуля. Затем проверьте вход в новом сеансе.
• Пользователь видит лишние разделы. Составьте список всех его групп и ищите разрешение, которое приходит из другой роли. Удаление одной «лишней» группы часто безопаснее, чем десяток точечных запретов.
• Доступ работает у администратора, но не у сотрудника. Это не доказательство, что настройка выполнена правильно: у администратора другой набор полномочий. Проверяйте тестовой учетной записью с обычной ролью.
• После изменения ничего не поменялось. Выйдите из учетной записи, очистите кеш там, где это требуется конфигурацией сайта, и повторите проверку в приватном окне. Если результат прежний, ищите вторую группу с более широким доступом.
• Права стали непонятны после нескольких доработок. Не добавляйте новое исключение поверх старого. Сначала сохраните текущую схему, затем пересоберите роль на тестовом пользователе и удалите неиспользуемые группы.

Где подход ломается

Ролевой модели недостаточно, если доступ зависит не только от группы, но и от бизнес-условия: автора элемента, региона, статуса заказа или владельца проекта. В таких случаях не пытайтесь решить всё набором групп. Нужен отдельный разбор логики модуля или доработка, которая проверяет условие на уровне приложения.

Отдельно проверяйте права файловой системы и доступ к серверу. Запрет в административной части Битрикс не заменяет ограничения операционной системы, веб-сервера или резервного хранилища.

Что сделать дальше

Составьте таблицу «роль — объект — разрешенное действие — запрещенное действие» для пяти самых важных операций сайта: публикации, удаления, загрузки файлов, работы с заказами и доступа к персональным данным. Затем создайте тестовые учетные записи и прогоните по каждой роли реальные пользовательские сценарии.

После этого установите периодический пересмотр групп — например, при каждом изменении команды или структуры сайта. В первую очередь смотрите на группы с доступом к настройкам, удалению, экспорту и персональным данным: именно там цена ошибки выше всего.