Пароль пользователя 1С: почему его не увидеть и как вернуть доступ
Содержание
Посмотреть готовый пароль пользователя в Конфигураторе 1С нельзя — ни администратору, ни разработчику. Платформа хранит не сам пароль, а его хеш, и обратно развернуть его в исходную строку невозможно. Зато администратор за минуту задаёт новый пароль: Администрирование → Пользователи → карточка пользователя → поле «Пароль».
Если забыт пароль не рядового сотрудника, а самого администратора, путей тоже несколько: найти пароль там, где его могли записать открытым текстом (ярлыки, bat-файлы, задания планировщика), восстановить базу из резервной копии или войти под другим пользователем
с полными правами. Ниже разберём, как устроено хранение паролей, чем тут помогут журнал регистрации и logcfg.xml, и чем файловая база отличается от клиент-серверной. Всё описанное относится к платформе 8.3 и не зависит от конфигурации.
Как 1С хранит пароли пользователей
Список пользователей информационной базы — это отдельная служебная таблица, а не справочник конфигурации. В ней лежат имя, набор ролей, настройки входа и хеш пароля.
- 🔐 Хеш — результат односторонней функции. Из него нельзя получить исходный пароль.
- 📁 Файловая база — список пользователей хранится внутри файла
1Cv8.1CD. - 🗄️ Клиент-серверная база — список хранится в самой базе данных на MS SQL Server или PostgreSQL.
При входе 1С считает хеш от введённой строки и сравнивает его с сохранённым. Совпало — пускает. Поэтому в карточке пользователя поле «Пароль» показывает только звёздочки: они означают, что пароль задан, но не раскрывают ни его символы, ни длину.
Справочник «Пользователи» в БП 3.0, ЗУП 3.1 и УТ 11 — это надстройка конфигурации на БСП. Он связан с пользователем базы, но паролей тоже не хранит и не показывает.
Программы, которые обещают «показать пароль 1С», на деле перебирают варианты по хешу. Короткий пароль вроде 123 подбирается быстро, длинный и со спецсимволами — практически никогда. Скачивать такие утилиты на рабочий компьютер опасно: это распространённый способ занести вредоносный код в сеть предприятия.
Почему пароль не увидеть, но легко сбросить
Раз исходный пароль нигде не хранится, «узнать» его штатными средствами не получится. Но если вы входите в базу с правами администратора, это и не нужно — задайте пользователю новый пароль и сообщите его.
Сброс пароля в Конфигураторе
- Запустите 1С в режиме Конфигуратор под пользователем с административными правами.
- Откройте
Администрирование → Пользователи. - Двойным щелчком откройте нужного пользователя.
- На вкладке «Основные» проверьте, что включён флаг «Аутентификация 1С:Предприятия».
- Сотрите звёздочки в поле «Пароль», введите новый пароль и повторите его в поле подтверждения.
- Нажмите «ОК».
Если пароль нужно убрать совсем, оставьте оба поля пустыми. Тогда сотрудник войдёт без пароля.
Флаг «Пользователю запрещено изменять пароль» не даёт сотруднику сменить пароль самому. Снимите его, если хотите, чтобы человек задал пароль сам после первого входа.
Сброс в режиме Предприятия
В типовых конфигурациях то же самое делается без Конфигуратора. Откройте карточку сотрудника в списке пользователей — в ней есть команда смены пароля. Доступна она только пользователю с полными правами, а сама смена фиксируется в журнале регистрации. Этот способ обычно удобнее Конфигуратора.
Пути к списку пользователей в типовых конфигурациях на платформе 8.3:
| Конфигурация | Путь к списку пользователей |
|---|---|
| Бухгалтерия 3.0 | Администрирование → Настройки пользователей и прав → Пользователи |
| Зарплата и управление персоналом 3.1 | Администрирование → Настройки пользователей и прав → Пользователи |
| Управление торговлей 11 | НСИ и администрирование → Настройки пользователей и прав → Пользователи |
В карточке пользователя в этих конфигурациях рядом с полем пароля есть и настройки: запрет на смену пароля самим сотрудником и требование сменить пароль при входе. Их удобно выставить сразу при сбросе.
Вход под учётной записью Windows
Ещё вариант — включить в карточке пользователя «Аутентификацию операционной системы» и указать доменную учётную запись в формате \\ДОМЕН\имя. Тогда 1С пускает сотрудника под его записью Windows, и пароль 1С вводить не нужно.
Где пароль мог остаться открытым текстом
Платформа пароль не раскрывает, но люди часто записывают его в местах, о которых потом забывают. Если потерян пароль администратора, начните с проверки этих мест — это быстрее и безопаснее любых технических методов.
| Где искать | Что там бывает |
|---|---|
| Ярлык 1С на рабочем столе | Строка запуска с параметрами /N"Администратор" /P"пароль" |
| bat- и cmd-файлы | Скрипты выгрузки .dt, пакетного обновления, закрытия сеансов |
| Планировщик заданий Windows | Аргументы задачи резервного копирования или обмена |
| Настройки внешних систем | Параметры COM-соединения Usr=...;Pwd=... в обработках, сервисах интеграции, на сайте |
| Документы внедрения | Акт передачи базы, паспорт системы, письмо партнёра-внедренца |
Пример строки запуска, в которой логин и пароль видны целиком:
"C:\Program Files\1cv8\common\1cestart.exe" DESIGNER /F"D:\Base\Buh" /N"Администратор" /P"Qw12345"
Пароль, найденный в скрипте, — это уже утечка. Вернув доступ, смените его и уберите из открытых файлов.
Журнал регистрации и logcfg.xml: что покажут
Ни журнал регистрации, ни технологический журнал пароль не записывают. Но они отвечают на другой важный вопрос: кто, когда и с какого компьютера входил или пытался войти.
Журнал регистрации
В Конфигураторе он открывается через Администрирование → Журнал регистрации, в БП 3.0 — через Администрирование → Обслуживание → Журнал регистрации.
Что смотреть:
- 👤 события группы «Сеанс» — начало сеанса, аутентификация, ошибка аутентификации;
- 🖥️ колонку «Компьютер» — с какого рабочего места шёл вход;
- 🔄 изменения пользователей — кто и когда менял свойства учётной записи.
Серия ошибок аутентификации под одним именем подряд — повод проверить, не подбирает ли кто-то пароль к базе. Журнал также покажет, под какой учётной записью уже сейчас кто-то работает в базе: если доступ к базе есть хотя бы у одного сотрудника с полными правами, именно через него проще всего задать новый пароль, не прибегая к крайним мерам.
По умолчанию журнал регистрации хранит записи за большой период, но его можно периодически сокращать через настройки, чтобы файл не разрастался. Для разбора инцидента с доступом удобнее отфильтровать журнал по дате, имени пользователя и важности событий «Ошибка» — так лишние строки не мешают.
Технологический журнал через logcfg.xml
Технологический журнал включается файлом logcfg.xml в каталоге conf установленной платформы, например C:\Program Files\1cv8\conf\. В клиент-серверном варианте файл кладут на рабочий сервер 1С. Минимальная настройка для записи событий сеансов выглядит так:
<?xml version="1.0" encoding="UTF-8"?>
<config xmlns="http://v8.1c.ru/v8/tech-log">
<log location="D:\1c_techlog" history="24">
<event>
<eq property="name" value="SESN"/>
</event>
<property name="all"/>
</log>
</config>
Параметр history — сколько часов хранить логи. Технологический журнал быстро растёт в объёме, поэтому включайте его на время разбора, а потом удаляйте logcfg.xml.
Логи пишутся в UTF-8 в подкаталоги по процессам. Ищите по имени пользователя — в записях оно указано в свойстве Usr.
Что делать, если забыт пароль администратора файловой базы
Это самый неприятный случай: войти в Конфигуратор некому, а без него штатно сбросить пароль нельзя. Действуйте по убыванию безопасности — от простого к крайнему.
1Cv8.1CD сторонними средствами легко делают базу нечитаемой.Прежде чем предпринимать что-либо с единственным файлом 1Cv8.1CD, сделайте его побайтовую копию. Любая операция с ним необратима, а восстановить повреждённый файл сложнее, чем вернуть пароль.
Регулярная резервная копия закрывает этот сценарий полностью. Настройте автоматическую выгрузку .dt или копирование каталога базы по расписанию — тогда потеря пароля администратора перестаёт быть катастрофой.
Особенности клиент-серверной базы и SQL
В клиент-серверном варианте список пользователей хранится в самой базе данных на SQL Server или PostgreSQL, а не в файле. Но принцип тот же: там лежит хеш, а не пароль, и прочитать исходный пароль из таблиц SQL нельзя.
Важное отличие в правах доступа:
- 🔑 Пароль пользователя 1С задаётся в Конфигураторе или в режиме Предприятия — так же, как в файловой базе. Прямая правка таблиц в SQL для этого не нужна и опасна: платформа кеширует список пользователей, и рассинхронизация ломает вход.
- 🧩 Пароль администратора кластера серверов — это другое. Он хранится в служебных файлах кластера на сервере 1С, не в самой базе. Если потерян именно он, не пересоздавайте кластер и не удаляйте его настройки: это оборвёт работу всех опубликованных баз. Правильный путь — восстановить служебные файлы кластера из резервной копии сервера или обратиться к администратору сервера.
Остановка службы «Агент сервера 1С» (1C:Enterprise 8.3 Server Agent) завершает сеансы всех пользователей всех баз на этом сервере. Делайте это только в согласованное окно и после резервной копии.
Чтобы задать пользователю базы новый пароль в клиент-серверном варианте, подключитесь к базе через Конфигуратор под администратором и действуйте так же, как описано выше. Таблицы v8users и подобные трогать напрямую не нужно.
Профилактика: управление доступом вместо восстановления
Большинство историй с «покажите пароль» заканчиваются там, где налажено управление учётными записями. Несколько правил снимают проблему заранее.
- 👥 Держите минимум двух пользователей с полными правами. Тогда потеря одного пароля не блокирует базу.
- 🔁 Настройте резервное копирование
по расписанию — автоматическую выгрузку
.dtили копирование каталога файловой базы, для SQL — средствами сервера. - 📝 Храните учётные данные в менеджере паролей, а не в ярлыках и bat-файлах. Параметр
/Pв строке запуска — это пароль в открытом виде для всех, у кого есть доступ к компьютеру. - 🔐 Включите политику сложности паролей в настройках: минимальная длина, обязательные цифры и буквы. Это поле есть в настройках пользователей и прав типовых конфигураций.
- 🪪 Используйте аутентификацию Windows для сотрудников в домене — тогда отдельный пароль 1С им не нужен, а доступ управляется централизованно.