Защищаем вход в информационную базу 1С паролем

Пароль ставится не на базу целиком, а на пользователя. Чтобы поставить пароль на базу 1С, откройте Конфигуратор → Администрирование → Пользователи, создайте пользователя с полными правами и задайте ему пароль. Пока список пользователей пуст, база открывается любым желающим без вопросов.

Частое заблуждение: «есть какое-то поле “пароль базы” в настройках». Такого поля нет. Защита в 1С 8.3 строится на списке пользователей информационной базы. Появился первый пользователь — платформа начинает спрашивать имя и пароль при каждом входе.

Как платформа решает, кого пускать в базу

У каждой информационной базы есть свой список пользователей. Он хранится внутри самой базы, а не в Windows и не в ярлыке запуска.

При входе платформа проверяет три вещи:

• 👤 Есть ли пользователь в списке. Если список пуст, вход свободный и сразу с полными правами.
• 🔑 Как он аутентифицируется. Паролем 1С, учётной записью Windows или обоими способами.
• 🛡️ Какие у него роли. Роли задают, что человек видит и может менять после входа.

Отсюда главное правило: первым всегда создают администратора. Платформа не даст сохранить список, если ни у одного пользователя нет административных прав. Это защита от ситуации, когда в базу не может зайти вообще никто.

В типовых конфигурациях (БП 3.0, ЗУП 3.1, УТ 11) поверх ролей работает ещё один слой — группы доступа. Роли там руками почти не назначают: включают человека в группу, и программа сама выдаёт нужный набор ролей.

Как поставить пароль на базу 1С через Конфигуратор

Этот способ подходит для первого администратора и для нетиповых баз. Все действия делаются в режиме «Конфигуратор».

Шаг 1. Откройте список пользователей

1. Запустите 1С, выберите базу и нажмите Конфигуратор.
2. В меню откройте Администрирование → Пользователи.
3. Нажмите кнопку добавления (зелёный плюс) или клавишу Insert.

Шаг 2. Заполните вкладку «Основные»

• Имя — короткий логин, его вводят при входе: например, Администратор.
• Полное имя — как человек отображается в документах и журналах.
• Флажок «Аутентификация 1С:Предприятия» — включите.
• Пароль и Подтверждение пароля — введите одинаково дважды.
• «Показывать в списке выбора» — если снять, имя придётся вводить вручную. Чужой человек не увидит готовый список логинов.
• «Пользователю запрещено изменять пароль» — ставьте для общих служебных учёток, например для обмена.

Для доменной сети на той же вкладке есть флажок «Аутентификация операционной системы». Рядом указывается учётная запись Windows в формате \\ДОМЕН\ИмяПользователя. Если включить оба способа, человек входит автоматически под своей учёткой Windows. А с другого компьютера или под другим логином Windows платформа спросит пароль 1С.

Оба способа одновременно удобны для администратора: в обычный день он не вводит пароль, а при сбое домена всё равно может войти по паролю.

Шаг 3. Дайте права на вкладке «Прочие»

В списке «Доступные роли» отметьте роль с полными правами. В типовых конфигурациях она называется Полные права, в некоторых есть ещё отдельная роль Администратор системы — отметьте обе.

Там же выбирается режим запуска клиента и язык. Для администратора их можно оставить по умолчанию.

Шаг 4. Сохраните и проверьте

Нажмите «ОК» и закройте Конфигуратор. Запустите базу заново: теперь появится окно входа с полями «Пользователь» и «Пароль». Введите данные администратора.

Пароли пользователей в БП 3.0, ЗУП 3.1 и УТ 11

Остальных сотрудников в типовых конфигурациях создают в пользовательском режиме, а не в Конфигураторе. Причина: программа ведёт свой справочник «Пользователи» и связывает его с пользователями базы. Учётка, созданная только в Конфигураторе, не попадёт в группы доступа, и у человека не будет нужных прав.

Порядок одинаковый во всех трёх:

1. Нажмите «Создать» и заполните полное имя.
2. Включите флажок «Вход в программу разрешён».
3. Проверьте, что включена аутентификация 1С:Предприятия, и нажмите «Установить пароль ».
4. Задайте пароль. Если человек должен сам придумать свой, оставьте временный и сообщите его лично.
5. Запишите элемент и откройте «Права доступа »: включите пользователя в нужные группы («Бухгалтер», «Кадровик», «Менеджер по продажам» и т. д.).

💡 Если в базе пока нет ни одного пользователя, первым созданный здесь человек тоже должен получить полные права — группу доступа «Администраторы». Иначе платформа не даст записать пользователя.

Требования к паролю: длина, сложность, срок действия

По умолчанию 1С принимает любой пароль, даже из одной цифры. Это исправляется двумя способами.

На уровне платформы

В Конфигураторе откройте Администрирование → Параметры информационной базы. Там задаются:

• минимальная длина пароля — разумно от 8 символов;
• проверка сложности пароля — пароль должен быть не короче 7 символов и содержать символы минимум трёх типов из четырёх: заглавные буквы, строчные, цифры, спецсимволы.

Эти правила действуют на всех пользователей базы, в любой конфигурации. Срабатывают они в момент смены пароля: уже заданные пароли платформа задним числом не проверяет.

На уровне типовой конфигурации

В БП 3.0, ЗУП 3.1 и УТ 11 в разделе «Настройки пользователей и прав» есть ссылка «Настройки входа». Набор там шире, чем в Конфигураторе:

Настройки можно задать отдельно для внутренних пользователей и для внешних, если в базе есть кабинеты контрагентов.

Файловая и клиент-серверная база: где заканчивается защита паролем

Пароль 1С защищает вход через платформу. Он не шифрует данные и не мешает добраться до них в обход 1С. Поэтому для двух вариантов работы нужны разные дополнительные меры.

Файловая база

Вся база — это файл 1Cv8.1CD в папке на диске или в сетевой папке. Кто может скопировать этот файл, тот уносит все данные. Пароли внутри хранятся в виде хешей, но сторонние утилиты читают таблицы 1CD напрямую, минуя проверку пароля.

Что делать:

• 📁 Ограничьте права NTFS на папку базы: чтение и запись только для пользователей 1С, без доступа «Все».
• 🌐 Не открывайте общий ресурс с базой шире, чем нужно. Лучше — публикация на веб-сервере или работа через терминальный сервер .
• 💾 Храните резервные копии в другом месте, с теми же ограничениями доступа: архив .dt или копия .1CD открывает данные так же, как сама база.

Клиент-серверная база

Данные лежат в СУБД (MS SQL Server или PostgreSQL). Здесь три независимых уровня, и пароль нужен на каждом:

Пока у кластера не заданы администраторы, любой, у кого есть консоль администрирования и сетевой доступ к серверу, может создать базу, удалить её или изменить её параметры. Добавьте администратора кластера в консоли: раскройте узел кластера, откройте «Администраторы» и создайте пользователя с паролем.

💡 Для базы не используйте в подключении к СУБД учётку sa или postgres. Заведите отдельного пользователя СУБД с правами только на нужные базы.

Если забыли пароль администратора базы

Официальной кнопки «сбросить пароль администратора» в 1С нет. Ниже — варианты от самого безопасного к самому рискованному. Все они касаются только собственной базы, к которой у вас есть законный доступ.

Вариант 1. Другой пользователь с административными правами

Если в базе есть ещё один администратор, он заходит в Конфигуратор → Администрирование → Пользователи или в список пользователей программы и задаёт новый пароль. Старый пароль знать не нужно.

Вариант 2. Вход через Windows

Если у администратора была включена «Аутентификация операционной системы», войдите под той учётной записью Windows. Платформа пустит без пароля 1С, после чего пароль можно сменить.

Вариант 3. Резервная копия

Восстановите выгрузку .dt из того периода, когда пароль был известен, в отдельную базу и проверьте вход. Перенести из копии только список пользователей не получится: .dt загружается целиком, вместе с данными. Поэтому путь годится, если копия свежая и операции последних дней можно ввести заново.

Вариант 4. Клиент-серверная база: правка таблицы пользователей в СУБД

Метод известный среди администраторов, но требует аккуратности. Суть: на время переименовать в СУБД таблицу пользователей базы, чтобы платформа увидела пустой список и пустила в Конфигуратор, затем вернуть таблицу и сменить пароль .

Для MS SQL Server первые команды выглядят так:

EXEC sp_rename 'v8users', 'v8users_old';
UPDATE Params SET FileName = 'users.usr_old' WHERE FileName = 'users.usr';

Перед этим сделайте полную копию базы средствами СУБД и отключите всех пользователей. Действие обрывает сеансы, поэтому проводите его вне рабочего времени. Порядок возврата таблицы отличается в зависимости от версии платформы; если не делали этого раньше, поручите работу администратору сервера или обслуживающему партнёру 1С.

Вариант 5. Файловая база

Для файловой базы похожий приём возможен только сторонними утилитами, которые правят файл 1Cv8.1CD. Фирма 1С их не поддерживает, а ошибка повреждает базу. Работайте только с копией файла.

Что ещё закрыть, кроме пароля на вход

Пароль — первый рубеж. Без следующих настроек он закрывает базу лишь наполовину.

• 🧩 Внешние обработки. Обычным пользователям не нужны права на открытие внешних отчётов и обработок. Через них можно выполнить произвольный код.
• 🛑 Защита от опасных действий. Флажок в карточке пользователя в Конфигураторе. Платформа предупреждает, прежде чем выполнить потенциально опасный код из внешнего файла.
• 🪟 Аутентификация ОС. Для доменной сети удобно: пароль 1С не хранится в головах и на стикерах, доступ отзывается вместе с учёткой Windows.
• 🧾 Ярлыки и bat-файлы. Строка запуска с ключом пароля хранит его открытым текстом.

"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /F"D:\Bases\Buh" /N"Обмен" /P"секрет"

Такие строки допустимы только для служебных учёток с минимальными правами и в папках, куда нет доступа у посторонних.

• 🔒 Конфигуратор. Право запускать Конфигуратор оставьте одному-двум администраторам. Из Конфигуратора выгружается вся база в .dt.
• 📋 Журнал регистрации. Раз в месяц просматривайте события входа и неудачной аутентификации. Серия ошибок входа подряд по одному логину — повод выяснить, кто подбирает пароль.

Частые ошибки при настройке паролей

• ❌ Одна учётка на весь отдел. Пароль знают пятеро, в журнале регистрации непонятно, кто провёл документ.
• ❌ Первый пользователь без полных прав. Платформа не даст записать такой список, а при попытке обойти ограничение в нетиповой базе можно запереть всех.
• ❌ Сотрудники созданы в Конфигураторе в типовой базе. Они не видят разделы, потому что не входят в группы доступа.
• ❌ Уволенного удалили из списка. Пользователя лучше не удалять, а снять флажок «Вход в программу разрешён». Удалённый пользователь пропадает из истории документов и журнала.
• ❌ Пароль администратора знает только один человек. Заведите второго администратора или храните пароль в корпоративном хранилище паролей.

Частые вопросы