Закрываем вход в базу 1С:Предприятие 8.3 уволенному сотруднику, подрядчику или всем сразу

Чтобы заблокировать доступ пользователя в 1С 8.3, откройте Администрирование → Настройки пользователей и прав → Пользователи, найдите сотрудника и снимите в его карточке флажок «Вход в программу разрешен». Запись сохраните. Это работает в БП 3.0, ЗУП 3.1, УТ 11 и других конфигурациях на БСП. Пользователь останется в справочнике, его документы и история никуда не денутся, но новый сеанс он уже не откроет.

Флажок не выбрасывает того, кто уже работает. Открытый сеанс нужно завершить отдельно: в консоли кластера или через список активных пользователей. А если закрыть базу надо для всех на время обновления, используют другой механизм — блокировку начала сеансов. Оба случая разобраны ниже, вместе с файловой базой, внешними подключениями и контролем попыток входа.

Какой способ блокировки выбрать

Сначала определите задачу. Уволенному бухгалтеру, подрядчику после окончания работ и всем пользователям на время регламента нужны разные действия.

Блокировка пользователя в режиме 1С:Предприятие

Это основной и самый безопасный способ. Его делает администратор программы, Конфигуратор не нужен.

Запрет входа в карточке пользователя

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи.
2. Найдите нужного человека. Удобно искать по фамилии строкой поиска списка.
3. Откройте карточку и снимите флажок «Вход в программу разрешен».
4. Нажмите «Записать и закрыть».

Программа сама обновит учётную запись пользователя информационной базы. Пароль, роли и группы доступа сохраняются. Если сотрудник вернётся, достаточно снова поставить флажок.

Срок действия доступа

В карточке рядом с флажком входа есть ссылка для настройки ограничений. Через неё задают дату, после которой вход закрывается автоматически. Там же можно указать, через сколько дней бездействия программа перестанет пускать пользователя.

Это удобно для аудиторов, внедренцев и сотрудников на испытательном сроке. Не нужно помнить, что через месяц доступ надо снять вручную.

Пометка «Недействителен»

Флажок «Недействителен» в карточке тоже запрещает вход и вдобавок скрывает пользователя из списков выбора. Его ставят тем, кто ушёл окончательно. Для временной блокировки (отпуск, декрет, проверка) достаточно снять флажок входа.

Почему увольнение в ЗУП не закрывает доступ

Документ «Увольнение» в ЗУП 3.1 оформляет кадровое событие для физлица. Учётная запись пользователя программы с ним напрямую не связана. Поэтому после увольнения бывший сотрудник может спокойно зайти в базу, если администратор не снял флажок входа.

Включите блокировку пользователя в обходной лист при увольнении. Это одна минута работы, а утечка данных из 1С стоит гораздо дороже.

Блокировка через Конфигуратор

Конфигуратор нужен, если база не на БСП, интерфейс программы недоступен или нужно отключить именно способ аутентификации.

1. Запустите базу в режиме «Конфигуратор» под администратором.
2. Откройте Администрирование → Пользователи.
3. Дважды щёлкните по пользователю.
4. На вкладке «Основные» снимите флажки «Аутентификация 1С:Предприятия» и «Аутентификация операционной системы».
5. Если у пользователя есть вход через OpenID, снимите и этот флажок.
6. Нажмите «ОК».

Без включённого способа аутентификации платформа не даст войти под этой учёткой. Пользователя при этом можно оставить в списке.

В конфигурациях на БСП правьте пользователей в режиме 1С:Предприятие. Справочник «Пользователи» и список Конфигуратора связаны, и изменения, сделанные в обход справочника, программа при следующих действиях администратора может перезаписать.

Как закрыть доступ всем в клиент-серверной базе

Для серверной базы есть штатная блокировка начала сеансов. Она нужна на время обновления конфигурации, загрузки архива, свёртки базы.

Через консоль кластера

1. Откройте «Администрирование серверов 1С Предприятия».
2. Разверните кластер, затем «Информационные базы».
3. Откройте свойства нужной базы.
4. Включите флажок «Блокировка начала сеансов включена».
5. Задайте время начала и окончания блокировки, текст сообщения для пользователей.
6. Заполните поле «Код разрешения», например upd2026.
7. При необходимости включите «Блокировка регламентных заданий включена».
8. Нажмите «ОК».

Администратор входит в заблокированную базу с ключом /UC и кодом разрешения:

"C:\Program Files\1cv8\common\1cestart.exe" ENTERPRISE /S"srv1c\buh" /UCupd2026

Через интерфейс программы

В конфигурациях на БСП то же самое включается из режима 1С:Предприятие: Администрирование → Обслуживание, команда «Блокировка работы пользователей». Там задают сообщение, период и код разрешения. Программа сама предупредит работающих пользователей и через несколько минут завершит их сеансы.

Для пакетных обновлений в БСП есть параметры запуска:

1cv8.exe ENTERPRISE /S"srv1c\buh" /N"Администратор" /P"пароль" /C"ЗавершитьРаботуПользователей" /UCupd2026
1cv8.exe ENTERPRISE /S"srv1c\buh" /N"Администратор" /P"пароль" /C"РазрешитьРаботуПользователей" /UCupd2026

Первая команда ставит блокировку и выгоняет пользователей, вторая снимает.

Завершить сеанс конкретного человека

Блокировка входа не трогает уже открытые сеансы. Чтобы выгнать конкретного пользователя:

1. В консоли кластера откройте базу и узел «Сеансы».
2. Найдите строку с его именем.
3. Через контекстное меню удалите сеанс.

Из командной строки сеанс завершают утилитой rac: список выводит rac session list --cluster=<id>, завершение делает rac session terminate. Точные параметры смотрите в rac help session.

Особенности файловой базы

В файловом варианте нет консоли кластера. Блокировку для всех ставят из программы: та же команда «Блокировка работы пользователей» в разделе Администрирование → Обслуживание или параметр запуска /C"ЗавершитьРаботуПользователей".

Отдельного пользователя блокируют так же, как в серверной базе: флажком в карточке или в Конфигураторе. Но у файловой базы есть слабое место. Файл 1Cv8.1CD лежит в обычной папке, и кто имеет к ней доступ, тот может скопировать базу целиком и открыть её у себя.

Поэтому для файловой базы блокировку в 1С дополняют правами Windows:

• 🔒 уберите доступ к сетевой папке у учётной записи Windows уволенного сотрудника;
• 🔒 выдавайте права на каталог базы группе, а не отдельным людям, тогда отключение сводится к удалению из группы;
• 🔒 после смены прав проверьте, что у бывшего сотрудника не осталось подключённого сетевого диска с кешированными учётными данными.

Пока у пользователя открыт сеанс, файл базы занят. Если нужно срочно выгнать человека из файловой базы, а интерфейс программы недоступен, сеанс закрывают на его компьютере. Закрытие сетевого файла на сервере тоже обрывает работу, но может оставить незаписанные данные, поэтому это крайняя мера.

Внешние подключения и ограничение по IP

Пользователь может зайти в базу не только через клиент. Есть COM-соединение, веб-сервисы, HTTP-сервисы, OData, мобильные клиенты. Интеграции работают под отдельной учётной записью, и её тоже нужно контролировать.

Права на способ подключения

У корня конфигурации есть отдельные права: «Тонкий клиент», «Толстый клиент», «Веб-клиент», «Внешнее соединение», «Automation». Если у роли пользователя нет права «Внешнее соединение», подключиться к базе через COM он не сможет, даже зная пароль.

В типовых конфигурациях роли не правят напрямую. Права меняют через профили групп доступа, а при необходимости более тонкой настройки — через расширение конфигурации .

Ограничение по IP-адресу

Своей настройки «пускать только с этих адресов» у пользователя 1С нет. Ограничение делают на уровне сети:

• 🌐 серверная база — правило брандмауэра Windows на сервере 1С: разрешить порты 1540, 1541 и диапазон рабочих процессов (по умолчанию 1560–1591) только для подсети офиса и адресов VPN;
• 🌐 веб-доступ — ограничение по адресам в IIS или Apache для каталога публикации;
• 🌐 удалённая работа — доступ только через VPN, и при увольнении блокируется учётка VPN.

Пример правила для Windows Server через PowerShell:

New-NetFirewallRule -DisplayName "1C office only" -Direction Inbound `
  -Protocol TCP -LocalPort 1540,1541,1560-1591 `
  -RemoteAddress 192.168.10.0/24 -Action Allow

Учтите, что это правило разрешающее. Оно сработает как ограничение, только если другие правила не открывают эти порты для всех.

Смена пароля как быстрая мера

Смена пароля помогает, когда нужно закрыть доступ немедленно, а прав на изменение карточки нет или учётка общая. Например, под одним логином «Склад» работают три кладовщика и один уволился.

1. В карточке пользователя нажмите кнопку установки пароля.
2. Задайте новый пароль и сообщите его только тем, кто остаётся.
3. Завершите текущие сеансы под этой учёткой.

Но у смены пароля есть ограничения:

• ❗ если включена аутентификация операционной системы, человек войдёт под своей учёткой Windows без пароля 1С;
• ❗ уже открытый сеанс продолжит работать;
• ❗ общая учётная запись сама по себе риск: в журнале регистрации не видно, кто именно провёл документ.

Надёжнее завести каждому свою учётную запись, а общую отключить. Тогда увольнение одного человека не задевает остальных.

Как проверить, что доступ закрыт, и отследить попытки входа

После блокировки убедитесь, что она работает, и посмотрите, не заходил ли человек в базу перед уходом.

Журнал регистрации

Откройте Администрирование → Обслуживание → Журнал регистрации или журнал в Конфигураторе через меню Администрирование. Установите отбор:

1. По пользователю — фамилия заблокированного сотрудника.
2. По событиям — группа «Сеанс»: аутентификация, ошибка аутентификации, начало и завершение.
3. По периоду — последние недели работы.

Неуспешные попытки входа после блокировки видны как ошибки аутентификации с указанием компьютера. Если такие записи идут регулярно, кто-то продолжает пробовать.

Там же видны действия перед увольнением: массовое удаление, выгрузки, изменение реквизитов контрагентов и банковских счетов.

Парольная политика и блокировка после неудачных попыток

В Конфигураторе, в меню Администрирование, есть настройки параметров аутентификации: минимальная длина и сложность пароля, срок действия, ограничение числа неудачных попыток ввода с временной блокировкой. Набор доступных полей зависит от версии платформы. В БСП аналогичные требования к паролям и входу задают в разделе Администрирование → Настройки пользователей и прав.

Частые ошибки при блокировке доступа

• ❌ Удаляют пользователя вместо блокировки. Пропадает связь с документами и записями журнала, восстановить картину действий становится сложнее.
• ❌ Блокируют, но не выгоняют. Сотрудник в открытом сеансе может работать до вечера, пока сам не закроет программу.
• ❌ Меняют только пароль 1С при доменной аутентификации. Вход через Windows продолжает работать.
• ❌ Забывают про файловую папку. Учётка в 1С закрыта, а копия 1Cv8.1CD спокойно уходит на флешку.
• ❌ Не снимают блокировку сеансов после обновления. Утром никто не может войти, а в окне висит сообщение администратора. Проверьте свойства базы в кластере или снимите блокировку командой РазрешитьРаботуПользователей.