Нет пароля к пользователю 1С: как законно вернуть доступ и закрыть базу от чужих

«Взломать» пользователя 1С законно нельзя, а вернуть доступ к своей базе можно почти всегда: пароль любого пользователя сбрасывает администратор в Конфигураторе (Администрирование → Пользователи) или в самой программе (Администрирование → Настройки пользователей и прав → Пользователи). Если пароль потерян у единственного администратора, выручают вход через учётную запись Windows, второй администратор, резервная копия или подрядчик, который настраивал базу.

Подбор паролей и правка служебных файлов чужой базы — это неправомерный доступ к компьютерной информации. Поэтому дальше речь только о двух законных задачах: как вернуть доступ владельцу базы и как настроить права и блокировки так, чтобы базу не «вскрыл» никто посторонний.

Как 1С проверяет, кто входит в базу

Платформа 1С:Предприятие 8.3 хранит список пользователей внутри самой информационной базы. У каждого пользователя включён один или несколько способов входа:

• 🔑 Аутентификация 1С:Предприятия — имя и пароль, которые хранит сама база. Самый частый вариант в небольших фирмах.
• 🖥️ Аутентификация операционной системы — пользователь 1С привязан к учётной записи Windows вида ДОМЕН\Иванов. Пароль 1С не спрашивается: кто вошёл в Windows, тот и вошёл в базу.
• 🌐 OpenID — вход через другую базу-провайдера, встречается в связке с веб-клиентом.

В актуальных версиях платформы есть и двухфакторная аутентификация, но в типовых офисных базах её включают редко.

Одно правило объясняет почти все истории «зашёл без пароля». Если в базе нет ни одного пользователя, платформа пускает любого, кто её открыл, с полными правами. Пока список пустой, база по сути открыта.

Второе правило: платформа не даст сохранить список пользователей, в котором ни у кого нет административных прав. Хотя бы один администратор в базе есть всегда.

Как вернуть доступ к своей базе

Порядок действий зависит от того, кто потерял пароль: обычный сотрудник или единственный администратор.

Забыл пароль рядовой пользователь

Это рабочая ситуация, а не авария. Её решает любой пользователь с правом администрирования.

1. Войдите в базу под администратором.
2. Откройте Администрирование → Настройки пользователей и прав → Пользователи (так в Бухгалтерии 3.0, ЗУП 3.1, УТ 11).
3. Откройте карточку сотрудника и нажмите кнопку установки пароля.
4. Задайте временный пароль и включите требование сменить его при следующем входе, если такая настройка есть в карточке.
5. Сообщите пароль сотруднику лично, не в общем чате.

В Конфигураторе то же самое делается через Администрирование → Пользователи: двойной щелчок по пользователю, вкладка «Основные», поле «Пароль».

Пароль потерян у единственного администратора

Здесь нет кнопки «сбросить». Проверьте варианты по порядку:

Решение «подобрать пароль программой» или «поправить файл базы вручную» отвергайте сразу. Даже в своей базе это легко её повредит. А если база принадлежит работодателю или клиенту, это уже уголовно наказуемое деяние по статье 272 УК РФ.

Чтобы не попасть в эту ситуацию снова, держите в базе двух администраторов. Пароль второго храните в запечатанном конверте у руководителя или в корпоративном менеджере паролей.

Доступ к серверной базе: кластер и информационная база

В клиент-серверном варианте есть два независимых уровня защиты, и их часто путают.

Администраторы кластера и центрального сервера. Их задают в консоли администрирования серверов 1С. Они управляют базами: создают и удаляют их, видят сеансы, завершают их. Права работать с данными внутри базы этот уровень не даёт.

Пользователи информационной базы. Тот же список, что в файловой базе. Его ведут в Конфигураторе или в режиме 1С:Предприятие.

Что стоит настроить на сервере:

• 🛡️ Задайте администратора центрального сервера. Пока его нет, консоль доступна любому, кто может подключиться к агенту сервера по порту 1540.
• 🛡️ Задайте администратора кластера. Без него любой с доступом к консоли может удалить базу из кластера.
• 🛡️ В свойствах базы в консоли включите «Блокировку начала сеансов» на время регламентных работ. В поле кода разрешения задайте код, с которым сможет войти администратор.
• 🛡️ Учётную запись СУБД (PostgreSQL или MS SQL) не раздавайте пользователям. Через неё данные читаются в обход прав 1С.
• 🛡️ Для внешних обработок используйте профили безопасности кластера. Они ограничивают доступ кода к файлам, сети и COM-объектам.

Потерян пароль администратора кластера? Не пересоздавайте кластер. Это делает администратор сервера: он останавливает службу агента в окно, когда в базе никто не работает , и восстанавливает настройки кластера из резервной копии. При остановке службы оборвутся сеансы всех пользователей сервера, поэтому делайте это вне рабочего времени.

Роли, группы доступа и ограничение по записям

Права пользователя в 1С складываются из ролей. Роль разрешает действия с объектами: читать документ, проводить, удалять, открывать отчёт.

В типовых конфигурациях на базе БСП роли вручную не назначают. Права выдают через профили групп доступа:

1. Профиль группы доступа — набор ролей под должность: «Бухгалтер», «Кассир», «Кадровик».
2. Группа доступа — профиль плюс список участников и, при необходимости, ограничения: по организациям, складам, подразделениям.
3. Пользователь попадает в одну или несколько групп и получает сумму их прав.

Всё это настраивается в Администрирование → Настройки пользователей и прав.

Если нужно, чтобы кассир видел документы только своей организации, включите там же флажок «Ограничивать доступ на уровне записей». Это механизм RLS: права проверяются по значениям реквизитов в каждой строке. Учтите, что на больших базах RLS заметно замедляет списки и отчёты.

Какие права опаснее всего раздавать:

• ⚠️ Полные права и Администрирование — дают всё, включая управление пользователями.
• ⚠️ Открытие внешних отчётов и обработок — внешняя обработка исполняет любой код. Через неё можно изменить данные в обход ролей, если базу не защищают безопасный режим и профили безопасности.
• ⚠️ Удаление помеченных объектов — одно неосторожное действие удаляет документы безвозвратно.
• ⚠️ Доступ к Конфигуратору — по сути то же, что полные права.

Принцип простой: у сотрудника ровно те права, которые нужны для его работы. Ролей «на всякий случай» быть не должно.

Блокировка входа и отключение пользователей

Уволенного сотрудника не удаляйте из списка. Его имя стоит в документах, журнале регистрации и истории изменений. Отключите ему вход.

В карточке пользователя (Администрирование → Настройки пользователей и прав → Пользователи) снимите флажок «Вход в программу разрешён». Пользователь останется в справочнике, но войти не сможет. Заодно проверьте вкладку с группами доступа и уберите его из всех групп.

Если сотрудник входил через Windows, отключите его учётную запись и в домене. Иначе при повторном включении входа в 1С он снова попадёт в базу без пароля.

Для временного закрытия базы на время обновления есть отдельная блокировка работы пользователей. Её команда находится в разделе Администрирование → Обслуживание. Программа предупредит пользователей и через заданное время завершит их сеансы. Не включайте блокировку посреди рабочего дня без предупреждения: несохранённые документы у людей пропадут.

Политику паролей в типовых конфигурациях задают в Администрирование → Настройки пользователей и прав → Настройки входа. Там же ограничивают минимальную длину и сложность пароля, срок его действия и автоматическое отключение пользователей, которые давно не входили.

Слабые места базы и как их закрыть

Большинство «взломов» 1С — это не хакерские атаки, а открытые двери. Вот что проверить в первую очередь.

Файловая база особенно уязвима. Кто может скопировать её папку, тот унесёт все данные, включая персональные данные сотрудников. А за их утечку компания отвечает по закону о персональных данных 152-ФЗ.

Журнал регистрации: кто и что сделал

Даже при идеальных правах нужен ответ на вопрос «кто это поменял». Его даёт журнал регистрации.

Открыть журнал можно двумя путями:

• в программе: Администрирование → Обслуживание → Журнал регистрации;
• в Конфигураторе: Администрирование → Журнал регистрации.

Что искать при расследовании:

1. Отберите события по пользователю и периоду через кнопку отбора.
2. Посмотрите события входа и выхода. Видно, с какого компьютера и в какое время вошёл пользователь.
3. Посмотрите изменения данных: запись, проведение, удаление документов.
4. Проверьте события изменения пользователей и паролей. Если кто-то менял себе права, это видно здесь.

В Конфигураторе через Администрирование → Настройка журнала регистрации задаётся уровень записи. Для расследований нужен уровень «Регистрировать все события», иначе часть действий не попадёт в журнал. Там же журнал можно сократить, если он разросся до нескольких гигабайт.

Для серверных баз в помощь журналу есть технологический журнал платформы. Его включают файлом logcfg.xml в каталоге настроек сервера 1С. Он пишет детальные события: запросы, исключения, вызовы. Обычному бухгалтеру он не нужен, но для разбора инцидентов незаменим.

Частые вопросы