Защита конфигурации 1С паролем и правами: что реально настраивается

Единой кнопки «Установить пароль на конфигурацию» в 1С 8.3 нет. Это самое частое заблуждение. Защита собирается из нескольких слоёв: пользователи с паролями, роли, запрет правки объектов через настройку поддержки и учётные записи хранилища.

Если нужно, чтобы чужой человек не открыл Конфигуратор и не поменял метаданные, делайте так: заведите администратора с паролем, уберите право администрирования у остальных, закройте изменение конфигурации в настройке поддержки. Ниже каждый шаг с путями меню.

Что именно вы хотите закрыть: выбор способа защиты

Слово «конфигурация» люди понимают по-разному. От этого зависит, какой слой нужен.

Таблица ниже показывает, какой слой от чего защищает.

Подготовка: резервная копия и первый администратор

Перед любыми изменениями прав сделайте копию. Ошибка в настройке ролей может закрыть вход даже вам.

1. Закройте базу у всех пользователей, если она файловая.
2. Откройте Конфигуратор и выберите Администрирование → Выгрузить информационную базу. Файл .dt сохраните вне каталога базы.
3. Для файловой базы дополнительно скопируйте целиком каталог с 1Cv8.1CD.
4. Проверьте, что у вас есть хотя бы один пользователь с ролью полных прав.

Если список пользователей пуст, база открывается без пароля. Так бывает у новых баз и у старых учётных систем, где про безопасность не думали. Первый шаг защиты как раз в том, чтобы этот список создать.

Пошаговая установка пароля пользователю

Пароль в 1С задаётся не конфигурации, а пользователю информационной базы.

Создание администратора

1. Запустите Конфигуратор: в окне запуска выберите базу и нажмите кнопку Конфигуратор.
2. Откройте Администрирование → Пользователи.
3. Нажмите кнопку добавления (зелёный плюс).
4. На вкладке «Основные» впишите имя: коротко, без пробелов, например Admin_Ivanov.
5. Отметьте «Аутентификация 1С:Предприятия».
6. Введите пароль и подтверждение. Длина от 10 символов, буквы разных регистров, цифры.
7. На вкладке «Прочее» отметьте роль с полными правами.
8. Нажмите ОК.

После этого при следующем запуске база спросит имя и пароль.

Обычные пользователи

Остальным сотрудникам создайте учётки так же, но выдайте только рабочие роли: бухгалтеру роли бухгалтера, кадровику роли кадров. Права администрирования им не нужны.

Что полезно отметить у обычного пользователя:

• 🔒 «Показывать в списке выбора» снимите, если не хотите, чтобы при входе были видны все имена;
• 🔒 «Защита от опасных действий» оставьте включённой: платформа запросит подтверждение перед потенциально опасными операциями;
• 🔒 запрет менять пароль включайте только для технических учёток, например для обмена.

Требования к паролям на уровне базы

В Конфигураторе откройте Администрирование → Параметры информационной базы. Там задаются минимальная длина пароля и проверка сложности. Включите оба параметра: простой пароль вроде 1234 тогда платформа просто не примет.

Запуск с паролем из командной строки

Для автоматических задач Конфигуратор можно запустить с параметрами:

"C:\Program Files\1cv8\<версия>\bin\1cv8.exe" DESIGNER /F "D:\Bases\Buh" /N "Admin_Ivanov" /P "ваш_пароль"

Путь к каталогу платформы зависит от установленной версии. Пароль в командной строке виден в списке процессов, поэтому в ярлыки на рабочем столе его не вписывайте.

Способы аутентификации: что выбрать

У пользователя можно включить несколько способов входа. Платформа проверит любой из отмеченных.

В офисе с доменом удобнее связать пользователя с доменной учёткой. Тогда пароль меняется в одном месте, а при увольнении блокировка учётной записи закрывает и вход в 1С. Если оставить оба способа сразу, злоумышленнику хватит любого слабого.

Порядок действий при увольнении сотрудника

Удалять пользователя не обязательно: в нём могут храниться ссылки на документы. Надёжнее закрыть вход.

1. Снимите отметки со всех способов аутентификации.
2. Уберите его из групп доступа.
3. Если он знал пароль общей технической учётки, смените его.
4. Проверьте, нет ли у него учётки в хранилище конфигурации, и удалите её.

Так вход закрыт, а история документов с его именем сохранена.

Роли и права: кто может открыть Конфигуратор и менять метаданные

Пароль отсекает посторонних. Роли решают, что может сделать свой.

Права на запуск режимов задаются в ролях. Пользователь, у которого нет права администрирования, Конфигуратор запустить не сможет, даже если знает свой пароль. Поэтому:

• 👤 дайте роль с полными правами 1–2 людям, не больше;
• 👤 для остальных используйте профили и группы доступа типовой конфигурации;
• 👤 не вносите правки в типовые роли: копируйте роль и меняйте копию.

Профили и группы доступа в типовых конфигурациях

В конфигурациях на БСП (Бухгалтерия, ЗУП, УТ) права удобно выдавать из пользовательского режима. Раздел Администрирование → Настройки пользователей и прав ведёт к справочникам пользователей, профилей и групп доступа.

Схема простая: профиль — это набор ролей под должность, группа доступа привязывает пользователей к профилю. Пользователю назначается группа, а не отдельные роли. Так при смене должности меняется одна строка, а не десять галочек.

Режимы запуска

У пользователя можно ограничить клиентские приложения: толстый клиент, тонкий клиент, веб-клиент. Право на запуск конкретного клиента даётся в роли. Если сотрудникам нужен только тонкий клиент, остальные режимы в их ролях не включайте.

Запрет правки: настройка поддержки конфигурации

Это ближайшее к «пароль на конфигурацию» по смыслу. Но пароля здесь нет: платформа просто не даёт менять объекты, пока вы не снимете запрет.

Путь: Конфигурация → Поддержка → Настройка поддержки.

Что вы увидите:

1. Кнопку «Включить возможность изменения». Пока она не нажата, конфигурация закрыта от правок.
2. Список объектов с режимами: можно не менять, менять с сохранением поддержки, снять с поддержки.
3. Правила для всей конфигурации и для отдельных веток дерева.

Если ничего не включали, а конфигурация доступна для правок, значит, она уже снята с поддержки или собрана самостоятельно. Тогда этот слой не работает и надеяться надо на роли.

Хранилище конфигурации: учётные записи разработчиков

Если над конфигурацией работает несколько человек, правки идут через хранилище. Оно имеет свой список пользователей и свои пароли, не связанные с пользователями базы.

Администратор хранилища создаёт учётки в разделе Конфигурация → Хранилище конфигурации → Администрирование → Пользователи хранилища. Права у них разные:

• 📖 чтение: можно только получать версию;
• ✏️ чтение и захват: можно брать объекты на правку;
• 🛡️ администратор: управляет пользователями хранилища.

Практика: разработчику даём право захвата, администратору хранилища — полные права, стажёру и подрядчику — чтение. Если подрядчик уходит, его учётку удаляйте в тот же день.

Забыли пароль или нужно снять защиту

Сценарии разные, и решения тоже.

Пароль забыл обычный пользователь

Самый простой случай. Администратор открывает Администрирование → Пользователи в Конфигураторе или справочник пользователей в 1С, выбирает пользователя и задаёт новый пароль. Старый для этого знать не нужно.

Пароль потерял единственный администратор

Здесь легального «взлома» нет. Что реально работает:

1. Поискать другого пользователя с правами администратора. Нередко такой есть: подрядчик, предыдущий админ.
2. Восстановить базу из копии, сделанной до смены пароля, и заново внести изменения.
3. Обратиться к обслуживающей организации. Если база принадлежит вам, она поможет подтвердить владение.

Утилиты «сброса пароля» из интернета не используйте. Часто это вредоносные программы, а изменение защиты базы без согласия владельца может нарушать закон.

Снять защиту с конфигурации

Чтобы вернуть возможность правок, откройте Конфигурация → Поддержка → Настройка поддержки и нажмите «Включить возможность изменения». Платформа предупредит о последствиях. Прочитайте предупреждение: после этого обновления придётся применять осторожнее.

Типичные ошибки и дыры в защите

Эти промахи встречаются чаще всего.

• ❌ Админ с паролем есть, но у всех остальных тоже полные права. Пароль при этом бесполезен.
• ❌ Пользователь Администратор без пароля остался с времён установки. Проверяйте список после каждого внедрения.
• ❌ Файловую базу хранят в общей папке, доступной всем. Пароль не защитит файл от копирования.
• ❌ Пароль записан в ярлыке запуска или в bat-файле на рабочем столе.
• ❌ Права выдают через «скопируйте у Иванова». Потом нельзя понять, что у кого и почему.

Для клиент-серверной базы часть вопросов закрывается на уровне СУБД и сервера: ограничьте доступ к серверу и к базе данных, а не только к самой программе.

Дополнительные меры: что ещё защищает метаданные

Пароль и роли не прячут исходный код. Если нужно, чтобы заказчик не видел модули, это решается при подготовке поставки: платформа позволяет создать файл поставки так, что исходные тексты модулей в нём не передаются. Конкретные настройки находятся в параметрах поставки в разделе Конфигурация → Поддержка.

Ещё несколько полезных мер:

• 💾 храните резервные копии отдельно от сервера, в том числе вне организации;
• 🔑 меняйте пароль администратора при уходе любого, кто его знал;
• 📋 ведите журнал изменений: кто, когда и что правил в хранилище;
• 🧪 проверяйте доработки на копии базы, а не на рабочей.

Частые вопросы