Насколько безопасно открывать базу 1С через 1С-Линк и что настроить самому

В 1С-Линк данные идут по зашифрованному HTTPS-каналу, а сама база остаётся на вашем компьютере или сервере: сервис её не копирует и не хранит. Порты наружу открывать не нужно, потому что соединение начинает программа-агент изнутри вашей сети. Но шифрование канала закрывает только перехват. Кто войдёт в базу и что увидит, решают пароли, права пользователей 1С и порядок на машине, где лежит база.

Защита данных клиентов в 1С-Линк складывается из двух половин. Первую обеспечивает сервис: безопасность соединения, сертификат, туннель. Вторую — вы: учётные записи, права, журнал, обновления и резервные копии. Ниже обе половины по пунктам.

Как устроен защищённый канал 1С-Линк

Схема простая. На компьютер с базой ставится агент 1С-Линк. Он сам устанавливает исходящее соединение с серверами сервиса и держит его открытым. Пользователь открывает выданный адрес в браузере или в тонком клиенте, а сервис передаёт его запросы агенту по уже открытому туннелю.

Что из этого следует для безопасности:

• 🔒 Нет открытых портов. Не нужен «белый» IP и проброс порта на роутере. Снаружи к вашему компьютеру напрямую не подключиться, сканеры портов его не увидят.
• 🌐 Весь трафик идёт по HTTPS. От браузера пользователя до сервиса — стандартный TLS, тот же, что у интернет-банков.
• 💾 База не покидает ваш компьютер. Через канал идут только данные открытых форм, отчётов и команд. Файл 1Cv8.1CD никуда не выгружается.
• ⏸️ Выключили агент — доступа нет. Если компьютер выключен или служба агента остановлена, по ссылке база не откроется.

Сравните с привычными способами удалённого доступа:

Последний столбец показывает главное: у 1С-Линк слабое место не канал, а учётные записи внутри базы.

Кто может войти в базу: два уровня доступа

Доступ через 1С-Линк проходит две проверки.

Первая — на стороне сервиса. Владелец базы в настройках 1С-Линк решает, кому выдана ссылка и кто вообще может открыть опубликованную базу. Пока пользователь не добавлен, он не дойдёт даже до окна входа 1С.

Вторая — в самой базе. После сервиса открывается обычное окно аутентификации 1С: имя пользователя и пароль. Здесь работают все механизмы платформы и конфигурации: роли, профили групп доступа, ограничения по организациям.

Чаще всего проблемы возникают на втором уровне. Типичная картина в небольшой фирме: в базе пять пользователей, у двух пароль пустой, у всех роль «Полные права». Через локальную сеть это годами никого не беспокоило. Опубликовали через интернет — и пустой пароль стал реальной дырой.

Что настроить в базе до публикации

1. Откройте Администрирование → Настройки пользователей и прав → Пользователи и проверьте каждую запись. Пользователю без пароля задайте пароль.
2. Уволенных сотрудников и тестовые учётные записи отключите: снимите флажок разрешения входа в программу. Удалять пользователя не нужно — его документы останутся привязаны к нему.
3. Полные права оставьте одному-двум людям. Остальным назначьте профили по работе: бухгалтер, кассир, менеджер.
4. В том же разделе откройте настройки входа и включите требования к паролю: минимальная длина, проверка сложности, срок действия.
5. Если база общая для нескольких организаций, ограничьте доступ на уровне записей, чтобы сотрудник одной фирмы не видел данные другой.

Пользователь без пароля в опубликованной базе — открытая дверь для любого, у кого есть ссылка. Проверьте это первым делом.

Шифрование: что закрывает HTTPS и что остаётся за вами

TLS шифрует данные на пути между пользователем и сервисом. Посторонний в той же Wi-Fi-сети кафе или провайдер видят только факт соединения и объём трафика. Содержимое — суммы, реквизиты контрагентов, паспортные данные сотрудников — для них нечитаемо.

Однако шифрование канала не шифрует саму базу. Это разные вещи:

Отдельно о файловой базе. Файл 1Cv8.1CD можно открыть, просто скопировав его. Пароли пользователей 1С не заменяют защиту файла: унесённую копию можно сколько угодно изучать на другом компьютере. Поэтому доступ к папке с базой в Windows должен быть только у учётной записи, под которой работает агент и сама 1С, и у администратора.

Персональные данные клиентов

В 1С лежат персональные данные: ФИО и паспорта сотрудников, телефоны и адреса покупателей. Закон о персональных данных требует от оператора принимать меры защиты, а не только «выбирать безопасный сервис». На практике это и есть пункты выше: пароли, права, журнал, копии. Если вы бухгалтер на аутсорсе и работаете в базе клиента, обговорите с ним, кто отвечает за эти настройки.

Защита от перехвата и подмены соединения

Перехват зашифрованного трафика на практике возможен в одном случае: пользователь сам соглашается на поддельный сертификат. Поэтому основная защита здесь — внимательность.

Что делать пользователям:

• ✅ Входить только по выданной ссылке. Сохраните её в закладки браузера или в список баз тонкого клиента . Не ищите «1С-Линк вход» в поисковике каждый раз.
• ✅ Смотреть на адресную строку. Значок замка, адрес в домене сервиса, без лишних букв и подмен символов.
• ❌ Не нажимать «Всё равно перейти». Предупреждение браузера о недоверенном сертификате на адресе 1С-Линк — повод остановиться и позвонить администратору, а не идти дальше.
• ❌ Не вводить пароль 1С на сторонних страницах. Письмо «ваша база заблокирована, войдите по ссылке» с незнакомым адресом — фишинг.

Что делать администратору:

1. Отправляйте ссылку на базу по известному каналу: лично, в корпоративном мессенджере. Не публикуйте её в общих чатах.
2. Если ссылка ушла не туда, сразу отзовите доступ этого пользователя в настройках сервиса и смените пароли учётных записей 1С, которые могли увидеть посторонние.
3. Следите, чтобы на компьютерах пользователей не было самоподписанных корневых сертификатов от сомнительных программ. Такие сертификаты ставят некоторые «ускорители интернета» и поддельные антивирусы, и они позволяют подменять HTTPS.

Журнал регистрации: кто и когда заходил в базу

1С пишет все входы в журнал регистрации, в том числе входы через 1С-Линк. Это главный инструмент, чтобы заметить чужого в базе.

Где смотреть в Бухгалтерии 3.0 и ЗУП 3.1: Администрирование → Обслуживание → Журнал регистрации.

Какие события отбирать:

• 🔑 Сеанс. Аутентификация — успешный вход. Смотрите имя пользователя и время.
• 🚫 Сеанс. Ошибка аутентификации — неверный пароль. Серия таких событий за несколько минут — признак подбора.
• 👤 Изменения в пользователях — кто-то добавил учётную запись или поменял права.
• 🗑️ Пометка и удаление объектов — массовое удаление документов стоит проверить.

Как читать журнал на практике. Раз в неделю отфильтруйте события входа за неделю и пробегите глазами список. Подозрительно:

1. Вход ночью или в выходные, когда никто не работает .
2. Вход под учётной записью сотрудника, который в отпуске или уволен.
3. Десяток ошибок аутентификации подряд под именем администратора.
4. Два одновременных сеанса одного пользователя из разных мест.

Список подключённых прямо сейчас покажет обработка «Активные пользователи» в том же разделе обслуживания. Если в нём есть незнакомый сеанс, завершите его и смените пароль этой учётной записи.

Обслуживание: обновления, копии и компьютер с агентом

Защищённость соединения — забота сервиса. Протоколы шифрования и сертификаты на его стороне обновляет фирма 1С, пользователю здесь делать ничего не нужно. Ваша зона — всё, что стоит на вашей стороне туннеля.

Агент и платформа

• 🔄 Держите агент 1С-Линк в актуальной версии. Старые версии агента со временем перестают подключаться, когда сервис отказывается от устаревших протоколов.
• 🔄 Обновляйте платформу 1С и конфигурацию. В обновлениях платформы закрывают и ошибки безопасности.
• 🖥️ Обновляйте Windows на компьютере с базой. Это машина, которая постоянно связана с интернетом, — её нельзя держать без обновлений годами.

Резервные копии

Шифрование не спасёт от шифровальщика, от случайно удалённого документа или от умершего диска. Копии нужны в любом случае, а при удалённом доступе — тем более.

Минимальная схема для файловой базы:

1. Ежедневная копия через Администрирование → Обслуживание → Резервное копирование и восстановление в Бухгалтерии 3.0 или выгрузка .dt из Конфигуратора.
2. Хранение копий не только на том же компьютере. Копия на диске D: погибнет вместе с диском C: при атаке шифровальщика.
3. Раз в месяц пробное восстановление копии в отдельную пустую базу. Копия, которую ни разу не разворачивали, — лотерея.

Компьютер с агентом

• Отдельная учётная запись Windows для работы базы, без прав администратора у обычных пользователей.
• Антивирус с актуальными базами.
• Блокировка экрана при уходе. Доступ к компьютеру физически — это доступ ко всем данным, никакой 1С-Линк этого не отменит.

Когда 1С-Линк лучше не использовать

Сервис подходит для большинства небольших фирм и бухгалтеров на аутсорсе. Но есть случаи, где нужен другой путь:

• 🏛️ Требования регулятора к обработке данных. Если по вашей деятельности установлены особые требования к средствам защиты, канал через внешний сервис нужно согласовать со специалистом по информационной безопасности.
• 🏢 Большой клиент-серверный контур. Десятки пользователей и несколько баз удобнее обслуживать через собственную публикацию или терминальный сервер с корпоративным VPN.
• 🔐 Политика «никаких внешних посредников». Некоторые компании запрещают любые туннели через сторонние серверы. 1С-Линк — именно такой туннель, пусть и защищённый.

Для остальных риск при правильной настройке ниже, чем у проброшенного наружу RDP с паролем «123».

Частые вопросы