Защита базы ЗУП: пароли пользователей, права и политика входа

Чтобы поставить пароль на 1С ЗУП 3.1 , откройте Администрирование → Настройки пользователей и прав → Пользователи, создайте или откройте карточку пользователя, включите «Вход в программу разрешен» и нажмите «Установить пароль ». Первым обязательно заводят администратора: пока список пользователей пуст, программа пускает любого без пароля и с полными правами.

Пароль в ЗУП ставится не на базу целиком, а на каждого пользователя. Поэтому защита складывается из трёх слоёв: пароль у каждой учётной записи, права через группы доступа и правила входа (длина, срок действия, блокировка). Для файловой базы есть и четвёртый слой — права на папку в Windows.

Как устроен вход в ЗУП и что на самом деле защищает пароль

В ЗУП хранятся паспорта, СНИЛС, оклады и больничные сотрудников. Это персональные данные, и работодатель отвечает за их защиту. Пароль на входе — минимальная мера, а не вся защита.

Что важно знать до настройки:

• 🔑 Пользователи хранятся внутри базы. Пароль привязан к учётной записи информационной базы, а не к компьютеру и не к ярлыку в списке баз.
• 👤 Пустой список = открытая база. Если в базе нет ни одного пользователя, 1С запускается без окна авторизации, причём и в режиме «1С:Предприятие», и в Конфигураторе.
• 🛠 Конфигуратор защищён тем же паролем. Отдельного «пароля на Конфигуратор» нет: войти в него может пользователь с административными правами.
• 📁 Файловая база — это файл 1Cv8.1CD. Пароль 1С не шифрует его. Кто может скопировать файл, тот уносит все данные.

Уровни защиты удобно держать в голове таблицей:

Создаём администратора и ставим первый пароль в ЗУП

Порядок действий одинаков для файловой и клиент-серверной базы. Делайте его, когда в базе никто не работает : так проще проверить вход.

Шаг 1. Создайте пользователя с полными правами

1. Откройте Администрирование → Настройки пользователей и прав.
2. Перейдите по ссылке Пользователи и нажмите Создать.
3. Заполните «Полное имя» — например, Администратор или ФИО ответственного сотрудника.
4. Включите флажок «Вход в программу разрешен». Поле «Имя для входа» заполнится автоматически, при желании поменяйте его на короткое латинское или русское имя.
5. Нажмите «Установить пароль», дважды введите пароль и подтвердите.
6. Запишите карточку.

Первый пользователь, созданный в пустой базе, получает права администратора. Проверьте это на вкладке или по ссылке прав доступа в карточке: у него должен быть профиль «Администратор».

Шаг 2. Проверьте вход

Закройте 1С и запустите базу заново. Должно появиться окно с выбором пользователя и полем пароля. Если окно не появилось — пользователь не записан или у него снят флажок входа.

Шаг 3. Заведите остальных сотрудников

Для каждого кадровика, расчётчика или бухгалтера создайте отдельную карточку тем же способом. Одна общая учётная запись на отдел — плохая идея: в истории изменений не видно, кто именно поправил начисление или кадровый приказ.

Временный пароль для нового сотрудника

Администратор не должен знать постоянные пароли коллег. Удобная схема:

1. Задайте в карточке простой временный пароль и передайте его сотруднику лично.
2. Включите требование сменить пароль при следующем входе (флажок в блоке аутентификации карточки).
3. При первом запуске ЗУП сама попросит сотрудника придумать новый пароль, и дальше его знает только он.

Так в истории не остаётся ситуации «пароль знали двое», и спорные изменения в начислениях однозначно привязаны к человеку.

💡 В карточке есть флажок, который запрещает пользователю менять пароль самому, и флажок «Показывать в списке выбора». Второй стоит снять, если не хотите, чтобы в окне входа отображались все имена сотрудников, — тогда имя придётся вводить вручную.

Пароли и права сотрудников: группы доступа в ЗУП

Пароль отвечает на вопрос «кто вошёл». Права — на вопрос «что ему можно». В ЗУП 3.1 права выдаются не напрямую ролями, а через профили и группы доступа.

Как выдать права

1. В карточке пользователя откройте права доступа (ссылка «Права доступа» на панели навигации карточки).
2. Отметьте группы доступа, в которые нужно включить сотрудника.
3. Запишите изменения.

Списки настраиваются в Администрирование → Настройки пользователей и прав → Профили групп доступа и Группы доступа. Профиль — это набор ролей («что можно делать»). Группа доступа — профиль плюс конкретные люди и ограничения.

Принцип наименьших прав

Типовые профили ЗУП уже покрывают роли кадровика и расчётчика. Лучше копировать типовой профиль и править копию, чем менять сам типовой: при обновлении конфигурации поставляемые профили могут обновиться.

Ограничение на уровне записей

Если в одной базе ведётся несколько организаций или расчётчик должен видеть только своё подразделение, включите в Настройки пользователей и прав флажок «Ограничивать доступ на уровне записей». После этого в группах доступа появятся вкладки ограничений — например, по организациям.

💡 Ограничение на уровне записей замедляет работу на больших базах. Включайте его, когда разделение данных действительно нужно, а не «на всякий случай».

Как найти и закрыть пустые пароли

Самая частая дыра — учётные записи без пароля. Обычно это «Администратор», созданный при развёртывании базы, или карточки уволенных сотрудников.

Как проверить:

1. Откройте список Пользователи в Настройки пользователей и прав.
2. Пройдитесь по карточкам всех, у кого разрешён вход. При открытии формы установки пароля видно, задан ли он.
3. В конфигурациях на БСП есть отчёт «Сведения о пользователях», где можно вывести признак наличия пароля по всем записям сразу. Ищите его в разделе отчётов на странице Настройки пользователей и прав.

Что делать с найденным:

• 🔒 Действующий сотрудник — задайте временный пароль и потребуйте сменить его при следующем входе.
• 🚪 Уволенный сотрудник — снимите «Вход в программу разрешен» или отметьте пользователя недействительным . Удалять не нужно: его имя сохранится в истории документов.
• ❓ Непонятная запись (Пользователь1, test) — выясните, кто ею пользуется, и только потом отключайте. Иногда такую запись использует обмен с бухгалтерией.

💡 Учётным записям для обменов и регламентных заданий тоже нужен пароль. После его смены обновите пароль в настройках обмена, иначе синхронизация перестанет проходить.

Правила входа: длина, срок действия и блокировка после неудачных попыток

Один раз поставить пароли мало. Через год половина из них окажется вида 123 или qwerty. Требования к паролям задаются централизованно.

Настройки входа в ЗУП

В Администрирование → Настройки пользователей и прав откройте «Настройки входа». Там задаются:

• 📏 минимальная длина пароля;
• 🔣 проверка сложности (буквы разного регистра, цифры, символы);
• 📅 максимальный срок действия пароля и предупреждение о его окончании;
• 🔁 запрет повторять несколько последних паролей;
• 💤 отключение входа для пользователей, которые давно не заходили.

Разумная стартовая настройка для зарплатной базы: длина от 8 символов, проверка сложности включена, смена раз в 90 дней, запрет повтора последних 3–5 паролей. Слишком частая смена (раз в месяц) приводит к паролям на стикерах.

Блокировка подбора

В платформе 8.3 в Конфигураторе есть Администрирование → Параметры информационной базы. Там помимо требований к паролям настраивается блокировка входа после нескольких неудачных попыток: сколько попыток разрешено и на сколько минут закрывается вход. Для базы, к которой подключаются через интернет или удалённый рабочий стол, это обязательная настройка.

Блокировка сотрудников и управление сеансами

Иногда нужно не поменять пароль , а срочно закрыть доступ: увольнение, подозрение на утечку, работы с базой.

Закрыть доступ одному человеку

Откройте карточку пользователя и снимите «Вход в программу разрешен». Новые входы под этой записью будут невозможны. Но уже открытый сеанс продолжит работать, пока его не завершить.

Посмотреть и завершить сеансы

1. Откройте Администрирование → Настройки пользователей и прав и перейдите по ссылке «Активные пользователи».
2. Найдите сеанс нужного пользователя: в списке видны имя, компьютер и время начала работы.
3. Для клиент-серверной базы сеанс можно завершить из консоли кластера серверов или через блокировку работы пользователей.

Временно закрыть базу для всех

В Администрирование → Обслуживание есть «Блокировка работы пользователей». Задайте время начала и окончания, текст сообщения и код разрешения — с ним администратор сможет войти во время блокировки.

Файловая и серверная база: что защищать кроме пароля

Пароль в 1С ничего не стоит, если базу можно просто скопировать. Здесь пути у вариантов разные.

Вход через учётную запись Windows

В карточке пользователя можно включить «Аутентификация операционной системы» и указать доменного пользователя. Тогда сотрудник входит в ЗУП без ввода пароля 1С — 1С доверяет входу в Windows. Это удобно в домене с нормальной политикой паролей. На отдельных компьютерах без домена надёжнее оставить собственный пароль 1С.

Резервные копии

Копия базы — такая же база со всеми персональными данными. Храните архивы в папке с ограниченным доступом и не отправляйте .dt по почте без пароля на архив.

Какой пароль считать надёжным

Требования программы — это нижняя планка. Практические правила для сотрудников:

• ✅ длина важнее сложности: фраза из 3–4 слов с цифрой надёжнее и легче запоминается, чем 8 случайных символов;
• ✅ пароль от 1С не совпадает с паролем от почты, банк-клиента и Windows;
• ✅ пароль администратора хранится в менеджере паролей или в запечатанном конверте у руководителя;
• ❌ не использовать имя, дату рождения, табельный номер и название организации;
• ❌ не передавать пароль коллеге «на время отпуска» — для замещения заведите отдельные права.

Пример плохого и хорошего пароля:

Плохо:   Ivanova2024
Плохо:   Zup12345
Хорошо:  Синий-Чайник-Ждёт-47

💡 Кириллица в пароле 1С допустима, но если сотрудник иногда входит с компьютера без русской раскладки, выбирайте латиницу.

Частые вопросы