Как дать доступ к базе 1С клиентам и партнёрам и не открыть лишнего

Внешние пользователи в 1С — это учётные записи для людей вне вашей организации: клиентов, поставщиков, дилеров, агентов. Их включают флажком в Администрирование → Настройки пользователей и прав, каждую запись связывают с конкретным контрагентом или партнёром, а права выдают через отдельные профили групп доступа. В итоге человек входит в базу, обычно через браузер, и видит только свои заказы, счета и документы.

Задача типовая: партнёр хочет сам смотреть остатки и статус заказов, а вы не хотите пускать его в общий список контрагентов. Обычный пользователь с урезанными ролями тут не спасает. Ниже — как устроен механизм, в каком порядке его настраивать и где чаще всего ошибаются.

Чем внешний пользователь отличается от обычного

На уровне платформы 1С:Предприятие 8.3 «внешних пользователей» нет. Есть просто пользователи информационной базы. Понятие внешнего пользователя вводит Библиотека стандартных подсистем (БСП), на которой построены типовые конфигурации: Бухгалтерия 3.0, ЗУП 3.1, УТ 11, КА 2, ERP, УНФ.

Отличия от сотрудника:

• 👤 Отдельный справочник. Внешние пользователи хранятся не в справочнике «Пользователи», а в своём — «Внешние пользователи».
• 🔗 Объект авторизации. Каждая запись привязана к объекту базы: контрагенту, партнёру, контактному лицу, физическому лицу. Какие типы доступны — решает конфигурация.
• 🛡️ Свои профили прав. Профиль группы доступа помечается как предназначенный для внешних пользователей. Профили сотрудников им назначить нельзя.
• 🔒 Ограничение «только своё». Через ограничение доступа на уровне записей внешний пользователь видит данные, связанные с его объектом авторизации.
• 🌐 Обычно веб-клиент. Чаще всего они работают через опубликованную базу в браузере, без установки платформы.

Типичные сценарии: личный кабинет дилера с заказами, портал поставщика для подтверждения поставок, доступ агента к своим отчётам комиссионера, удалённый бухгалтер на аутсорсе с ограниченным набором разделов.

Как включить и создать внешних пользователей

Работа идёт в пользовательском режиме под администратором. Конфигуратор для этого не нужен.

Шаг 1. Включите механизм

1. Откройте Администрирование → Настройки пользователей и прав.
2. Установите флажок «Внешние пользователи».
3. В том же разделе появится ссылка на список внешних пользователей и их групп.

В Бухгалтерии 3.0, ЗУП 3.1 и УТ 11 путь одинаковый — раздел Администрирование, подраздел настроек пользователей и прав. В УНФ и ERP раздел настроек называется так же, но расположен в своей панели администрирования.

Шаг 2. Подготовьте объект авторизации

Прежде чем создавать учётку, убедитесь, что в базе есть тот, кого она представляет: карточка контрагента , партнёра или контактного лица. Одна запись внешнего пользователя — один объект авторизации. Если от поставщика заходят три менеджера, заводите их как контактных лиц (если конфигурация это поддерживает) и создавайте три учётки, а не одну общую.

Шаг 3. Создайте запись

1. Откройте список внешних пользователей и нажмите «Создать».
2. В поле объекта авторизации выберите контрагента, партнёра или контактное лицо.
3. Укажите имя для входа и установите флажок разрешения входа в программу.
4. Задайте пароль или способ аутентификации.
5. Сохраните запись.

При записи БСП создаёт пользователя информационной базы и связывает его с карточкой. Создавать его вручную в Конфигураторе не нужно — более того, вредно: такая учётка окажется «несопоставленной».

Шаг 4. Разложите по группам

Группы внешних пользователей нужны для массовой выдачи прав. Удобный приём — группа на роль: «Дилеры», «Поставщики», «Агенты». У группы можно указать тип участников, тогда в неё попадут, например, только партнёры. Есть и общая группа «Все внешние пользователи».

Права доступа внешних пользователей: профили, группы, ограничения

Права в типовых конфигурациях раздаются по схеме «профиль → группа доступа → участники». Для внешних пользователей схема та же, но с одним условием: профиль должен быть предназначен именно для них.

Профиль

Откройте Администрирование → Настройки пользователей и прав → Профили групп доступа. Поставляемые профили для внешних пользователей есть не во всех конфигурациях. Если подходящего нет:

1. Скопируйте близкий по смыслу профиль или создайте новый.
2. В настройках назначения профиля укажите, что он для внешних пользователей (при необходимости — и для каких типов объектов авторизации).
3. Отметьте роли. Минимум — роль базовых прав внешних пользователей из БСП, плюс роли на конкретные объекты: просмотр заказов, ввод заказов, чтение остатков.

Роль «Полные права» и роли администрирования в такой профиль не добавляйте. Список доступных ролей уже отфильтрован по назначению, но и среди оставшихся бывают роли шире, чем кажется по названию.

Группа доступа

1. Откройте Группы доступа, создайте группу на основе профиля.
2. На вкладке участников добавьте группу внешних пользователей, а не каждого человека отдельно.
3. Если в профиле есть виды доступа (например, по организациям или складам), задайте разрешённые значения.

Ограничение на уровне записей

Ключевое свойство механизма — внешний пользователь видит только записи, связанные с его объектом авторизации. Это работает через ограничение доступа на уровне записей (RLS). В типовых объектах оно уже прописано разработчиками. Если вы добавили свой документ или справочник, ограничение для внешних пользователей в нём само не появится — его нужно описать в роли.

Работа через браузер: публикация и веб-клиент

Внешних пользователей почти всегда пускают через веб-клиент. Партнёру не нужно ставить платформу, а вам — открывать RDP наружу.

Порядок:

1. Установите веб-сервер (Apache или IIS) и модули расширения веб-сервера из дистрибутива платформы той же версии, что и сервер 1С.
2. В Конфигураторе, запущенном от имени администратора Windows, выполните Администрирование → Публикация на веб-сервере. Задайте имя публикации и каталог.
3. Включите HTTPS на веб-сервере. Сертификат можно выпустить бесплатно через Let’s Encrypt или купить.
4. Откройте адрес вида https://portal.example.ru/base и войдите под тестовой учёткой внешнего пользователя.

Что важно для веб-клиента:

• 🌐 Поддерживаются актуальные версии Chrome, Firefox, Edge, Safari и Яндекс Браузера.
• 🖨️ Печать идёт через браузер, файлы выгружаются через его загрузки.
• 🧩 Внешние обработки и часть команд, работающих с локальными файлами, без расширения для работы с файлами не сработают.
• ⏱️ Длинные отчёты в браузере строятся заметно медленнее, чем в тонком клиенте. Для внешних пользователей держите отчёты лёгкими.

Публиковать наружу всю рабочую базу с полным набором HTTP-сервисов не нужно. В настройках публикации оставьте только то, чем реально пользуются партнёры.

Лицензии и ограничения

Платформа не различает внешних и внутренних пользователей. Для неё это одинаковые пользователи информационной базы, поэтому правила лицензирования общие:

• 🔑 Каждый одновременный сеанс внешнего пользователя занимает клиентскую лицензию, как и сеанс сотрудника.
• 🖥️ Для клиент-серверного варианта по-прежнему нужна лицензия на сервер 1С:Предприятия.
• 🌐 Веб-клиент лицензию не экономит: сеанс из браузера считается так же, как сеанс из тонкого клиента .
• 🧮 Считаются одновременные сеансы, а не созданные учётки. 50 дилеров, из которых одновременно работают 8, займут 8 лицензий.

Чтобы внешние пользователи не выбирали лицензии сотрудников, полезно ограничить их сеансы. Задайте в настройках входа время бездействия, после которого сеанс завершается, — тогда забытая вкладка браузера не держит лицензию всю ночь.

Свои ограничения есть и у самого механизма:

• Внешнему пользователю нельзя назначить профиль для сотрудников.
• Одна учётка — один объект авторизации. Сменить его можно, но история действий останется за прежней связкой.
• Доработки конфигурации требуют отдельной настройки ограничений доступа, иначе новый объект будет либо полностью закрыт, либо полностью открыт.

Безопасность и аудит действий

Открывая базу наружу, вы отвечаете за чужой доступ к своим данным. Если партнёр видит персональные данные (ФИО и телефоны контактных лиц, данные физлиц), это ещё и обработка персональных данных по 152-ФЗ — доступ должен быть минимально необходимым.

Пароли и вход

Откройте Администрирование → Настройки пользователей и прав → Настройки входа. Там отдельно задаются требования для внешних пользователей:

• минимальная длина и сложность пароля;
• срок действия пароля и запрет повторного использования;
• отключение входа после периода неактивности учётки;
• время бездействия до завершения сеанса.

Для внешних пользователей задайте требования строже, чем для сотрудников. Они входят из чужих сетей и с чужих устройств.

Блокировка доступа

Когда сотрудничество закончено, снимите флажок разрешения входа или пометьте запись как недействительную. Удалять учётку не стоит: пропадёт связь с историей действий в журнале. Отключение срабатывает при следующем входе; если нужно выгнать человека немедленно, завершите его сеанс в списке активных пользователей.

Журнал регистрации

Действия внешних пользователей пишутся в журнал регистрации наравне с остальными: Администрирование → Обслуживание → Журнал регистрации. Отбор по пользователю показывает входы, выходы, запись и проведение документов. Для аудита полезно раз в месяц смотреть:

• входы с неожиданного времени суток;
• массовые неудачные попытки входа под одной учёткой;
• изменения объектов, которые партнёр по смыслу менять не должен.

Сетевой уровень

• Публикуйте базу только по HTTPS.
• Если у партнёров постоянные адреса, ограничьте доступ к публикации по IP на веб-сервере.
• Не публикуйте наружу базу, в которой сотрудники входят без пароля через аутентификацию ОС.

Частые проблемы и как их решить

Частые вопросы