Администрирование · 11 мин
Где хранятся логины и пароли в 1С
Где 1С хранит логины и пароли пользователей: файловые и клиент-серверные базы, списки пользователей, хранение хэшей, восстановление доступа и защита данных.
Вопрос о том, где 1С хранит логины и пароли, возникает у администраторов в трёх типичных ситуациях: когда нужно восстановить доступ к базе, когда проводится аудит безопасности и когда переносится список пользователей на новый сервер. Ответ зависит от режима работы информационной базы — файлового или клиент-серверного — и от способа аутентификации, который настроен для конкретного пользователя.
Важно понимать ключевой принцип: 1С не хранит пароли пользователей в открытом виде. В базе данных сохраняются только хэши — результат необратимого преобразования пароля. Поэтому «подсмотреть» чужой пароль штатными средствами невозможно, можно лишь сбросить его и задать новый. Это осознанное проектное решение платформы, и любые инструменты, обещающие «извлечь пароль из базы», следует расценивать как потенциально опасные.
Ниже разберём, где физически находятся данные об учётных записях в разных режимах работы, как устроено хранение хэшей, какие пароли 1С всё-таки сохраняет в файлах на диске и что делать, если доступ к базе утерян.
Как 1С хранит данные об учётных записях
Список пользователей информационной базы — это часть самой базы, а не отдельный файл рядом с ней. Каждая учётная запись содержит имя пользователя, полное имя, настройки аутентификации, роли, язык интерфейса и хэш пароля. Всё это платформа записывает во внутренние структуры базы данных и сама управляет их чтением при входе.
Для пользователя с правами администратора список доступен через конфигуратор: меню «Администрирование» → «Пользователи». В режиме «1С:Предприятие» в типовых конфигурациях есть аналогичный раздел — обычно «Администрирование» → «Настройка пользователей и прав». Через эти интерфейсы можно менять любые параметры учётных записей, но поле пароля всегда отображается пустым или маскируется — прочитать текущее значение невозможно.
Файловый режим: база 1Cv8.1CD
В файловом варианте работы вся информационная база, включая список пользователей и хэши их паролей, находится в одном файле — 1Cv8.1CD. Это основной файл базы, который лежит в каталоге, выбранном при её создании. Рядом могут находиться служебные файлы журнала регистрации и временные файлы, но учётные данные — именно в 1Cv8.1CD.
Файл имеет внутренний бинарный формат платформы. Открыть его обычным редактором или просмотрщиком и найти там пароли не получится: данные структурированы по страницам, а значения паролей представлены хэшами. Прямая правка файла сторонними утилитами почти гарантированно приводит к повреждению базы, особенно если база открыта пользователями в этот момент.
Практический вывод для администратора: файл 1Cv8.1CD содержит всё необходимое для входа, поэтому его нельзя передавать посторонним, выкладывать в общие сетевые папки без ограничения доступа и отправлять по почте. Кто получил файл базы — тот при наличии времени и инструментов может попытаться подобрать пароли по хэшам.
Клиент-серверный режим: MS SQL, PostgreSQL и другие СУБД
В клиент-серверном варианте данные пользователей хранятся в служебных таблицах базы данных на стороне СУБД — Microsoft SQL Server, PostgreSQL, Oracle или IBM DB2. Платформа создаёт эти таблицы автоматически при развёртывании базы, и их структура считается внутренней: фирма «1С» не гарантирует её неизменность между релизами платформы.
Администратор СУБД технически может увидеть таблицу с параметрами пользователей, но и там пароли лежат в виде хэшей. Чтение и тем более изменение этих таблиц напрямую запросами SQL — рискованная практика: платформа кэширует данные и не ожидает внешних изменений, поэтому прямая правка может привести к рассинхронизации и ошибкам при входе пользователей.
Отдельная тема — учётная запись самого сервера 1С и доступа к СУБД. Логин и пароль пользователя, от имени которого сервер 1С подключается к SQL-базе, указываются при создании информационной базы в консоли кластера и хранятся в настройках сервера 1С. Эти данные должен знать только администратор, их компрометация даёт полный доступ ко всем базам на сервере.
Какие пароли 1С хранит в открытом или обратимом виде
Есть несколько мест, где 1С сохраняет пароли не хэшами, а в обратимом виде, потому что они нужны системе для автоматического подключения к внешним ресурсам. Именно эти точки чаще всего становятся источником утечек.
- Настройки почты в типовых конфигурациях. Пароль от почтового ящика, используемого для отправки документов и уведомлений, сохраняется в базе в обратимом виде — иначе система не смогла бы авторизоваться на почтовом сервере.
- Пароли в коде и обработках. Строки подключения к веб-сервисам, FTP, обменам с сайтом, которые разработчики «зашивают» прямо в модули.
- Файл списка баз на компьютере пользователя. Если при добавлении базы в список запомнили логин и пароль, они сохраняются локально в файле настроек пользователя, что позволяет войти без ввода.
- Хранилище конфигурации. Пароли разработчиков для подключения к хранилищу могут кэшироваться на их машинах.
Как восстановить доступ, если пароль утерян
Поскольку пароли не хранятся в открытом виде, восстановление всегда означает сброс и установку нового пароля. Порядок действий зависит от того, есть ли в базе хотя бы один работающий администратор.
- 1Проверьте, есть ли второй пользователь с правами администратора — пусть он войдёт и задаст вам новый пароль через список пользователей
- 2Если администратор один и пароль утерян, проверьте, не включена ли аутентификация операционной системы — иногда вход возможен по учётной записи Windows
- 3Восстановите доступ из резервной копии: разверните актуальную выгрузку .dt, войдите под старым известным паролем и настройте учётные записи заново
- 4После восстановления доступа обязательно смените пароли всех привилегированных учётных записей и проверьте журнал регистрации на предмет подозрительных входов
Если ни одного доступа нет и резервной копии с известным паролем тоже нет, ситуация становится сложной. Существуют неофициальные методы сброса флага аутентификации в файловой базе, но они не поддерживаются вендором, могут повредить данные и в корпоративной среде должны применяться только с письменного согласия владельца базы. Правильная профилактика — минимум две учётные записи с административными правами и регулярные выгрузки .dt.
Аутентификация операционной системы и OpenID
Помимо парольного входа, платформа поддерживает аутентификацию средствами операционной системы. В этом случае пароль в 1С вообще не хранится: платформа доверяет проверке, которую выполнила Windows при входе пользователя в систему. Учётная запись 1С просто связана с конкретной учётной записью Windows, и вход в базу происходит автоматически.
Этот вариант удобен в доменной сети: политики сложности паролей, блокировки и сроки действия управляются централизованно через Active Directory, а администратору 1С не нужно следить за паролями внутри базы. Минус — зависимость от инфраструктуры: при недоступности контроллера домена вход может стать невозможным, поэтому резервная локальная учётная запись администратора всё равно нужна.
В веб-сценариях платформа также поддерживает OpenID-аутентификацию, где проверку выполняет внешний провайдер. Во всех этих схемах принцип один: чем меньше паролей хранится в самой базе, тем меньше поверхность для утечки.
Сравнение вариантов аутентификации
Универсальный вариант, работает всегда. Хэш хранится в базе. Требует самостоятельного контроля сложности паролей
Подходит для доменной сети, пароль в базе не хранится. Не работает без доступа к учётной записи Windows, нужен резервный локальный администратор
Для веб-клиентов и публикаций через интернет. Требует настройки внешнего провайдера и публикации базы на веб-сервере
Как защитить учётные данные в базе
Защита сводится к трём направлениям: ограничение доступа к файлам базы, гигиена паролей и контроль обратимо хранимых секретов. Практический минимум, который стоит внедрить в любой организации:
- Ограничьте права на каталог файловой базы и на тома SQL-сервера — доступ только у служебных учётных записей и администраторов.
- Назначьте минимум двух администраторов с индивидуальными учётными записями и сложными паролями.
- Отключите у всех пользователей возможность входа без пароля; включите в настройках базы требования к минимальной длине и сложности пароля, если версия платформы это позволяет.
- Периодически ищите пароли в коде конфигурации: глобальный поиск по модулям по словам «пароль», «password», «pass» быстро находит зашитые секреты.
- После передачи копии базы подрядчику или увольнения администратора меняйте пароли всех привилегированных учётных записей.
Как проверить результат
Каждый сотрудник входит под своей учётной записью, пароль задан у всех, включая администраторов
Есть общие учётные записи, пустые пароли или уволенные сотрудники с активным доступом
Доступ к папке имеют только серверная учётная запись и администраторы
Папка открыта всем пользователям сети на чтение и запись
Пароли внешних сервисов вынесены в защищённые настройки, в коде их нет
В текстах модулей найдены строки подключения с паролями в открытом виде
Что важно запомнить
Логины и хэши паролей хранятся внутри информационной базы: в файле 1Cv8.1CD или в служебных таблицах SQL-сервера. Пароли в открытом виде не восстанавливаются — только сбрасываются. Держите двух администраторов, регулярно выгружайте копии и не храните секреты в коде конфигурации.
Частые вопросы
Можно ли узнать пароль пользователя 1С, имея доступ к базе?
Нет, штатными средствами — невозможно. В базе хранится только необратимый хэш. Администратор может лишь установить новый пароль, после чего старый перестанет действовать. Теоретически возможен подбор пароля по хэшу сторонними инструментами, но для сложного пароля это практически нереализуемо.
Где лежит файл со списком пользователей в файловой базе?
Отдельного файла нет. Список пользователей — часть файла 1Cv8.1CD, который находится в каталоге информационной базы. Просмотреть и изменить список можно только через конфигуратор или программно средствами платформы.
Что делать, если утерян пароль единственного администратора?
Сначала проверьте наличие резервных копий, из которых можно войти под известным паролем, и возможность входа через аутентификацию операционной системы. Если ничего не помогает, обращайтесь к специалистам по 1С — неофициальные методы сброса существуют, но применять их без резервной копии и согласия владельца базы опасно.
Хранит ли 1С пароль от почты, настроенной в программе?
Да, и в обратимом виде — иначе система не смогла бы авторизоваться на почтовом сервере при отправке писем. Поэтому для служебной почты заводите отдельный ящик с уникальным паролем и ограничивайте доступ к базе, где он настроен.
Безопасно ли передавать файл базы 1Cv8.1CD подрядчику?
Файл содержит все данные и хэши паролей, поэтому передача возможна только доверенному подрядчику по договору. Перед передачей смените пароли на временные, а после возврата базы — смените их снова. Альтернатива — выгрузка .dt с предварительным удалением чувствительных данных.
Чем отличается пользователь информационной базы от пользователя кластера серверов 1С?
Пользователь базы нужен для входа в конкретную информационную базу, его данные хранятся внутри неё. Администратор кластера управляет сервером 1С в целом, его учётные данные хранятся в настройках кластера отдельно и не дают автоматического доступа внутрь баз.