Где хранятся пароли в 1С и как они защищены

Пароли пользователей 1С не хранятся в открытом виде и не лежат в отдельном текстовом файле, который можно просто открыть и прочитать. Платформа 1С:Предприятие сохраняет в информационной базе не сам пароль, а его хеш — результат необратимого криптографического преобразования. Поэтому «посмотреть» чужой пароль штатными средствами невозможно: можно только сбросить его и задать новый.

Физическое место хранения зависит от режима работы базы. В файловом варианте данные пользователей находятся внутри файла 1Cv8.1CD, в клиент-серверном — в таблицах базы данных на стороне СУБД (MS SQL Server, PostgreSQL и других). Дополнительно существует аутентификация операционной системы и OpenID, при которых пароль вообще не сохраняется в 1С.

Понимание того, где и в каком виде хранятся пароли, важно администратору в трёх ситуациях: при восстановлении доступа после утери пароля, при аудите безопасности и при переносе базы между серверами. Ниже разобраны все варианты хранения, способы проверки и безопасные действия в каждом сценарии.

Как 1С хранит пароли: хеши вместо открытого текста

При создании пользователя и вводе пароля платформа вычисляет от него хеш по криптографическому алгоритму и записывает в базу именно этот хеш. При следующем входе система хеширует введённый пароль и сравнивает результат с сохранённым значением. Сам пароль нигде не фиксируется — ни в базе, ни в журналах.

Хеширование необратимо: по сохранённому значению нельзя вычислить исходный пароль. Это принципиальное ограничение, а не недостаток конкретной версии платформы. Поэтому любые обещания «узнать пароль пользователя» технически означают либо подбор (перебор), либо сброс пароля, либо использование сторонних утилит сомнительной легальности.

Из практики это следует важное правило: если сотрудник забыл пароль, администратор не «напоминает» его, а задаёт новый через конфигуратор или в режиме предприятия. Пользователь при первом входе обязан сменить временный пароль, если включён соответствующий флаг.

Где лежат пароли в файловой базе 1С

В файловом варианте вся информационная база, включая список пользователей и хеши их паролей, находится в одном файле 1Cv8.1CD в каталоге базы. Рядом могут лежать служебные файлы и папки (журнал регистрации, временные файлы), но данные аутентификации — только внутри основного файла базы.

Найти каталог базы можно в окне запуска 1С: выделите базу в списке — путь отображается в нижней части окна. Открывать файл 1Cv8.1CD сторонними редакторами или шестнадцатеричными просмотрщиками не следует: любое изменение структуры файла вне штатных механизмов почти гарантированно приводит к повреждению базы.

Пароль на файл базы как таковой в файловом режиме не ставится: защита обеспечивается только внутренней аутентификацией 1С и правами доступа к папке на уровне операционной системы. Поэтому каталог с файловой базой должен быть доступен по сети только тем, кому это действительно необходимо.

Где хранятся пароли в клиент-серверном режиме

При работе через сервер 1С:Предприятия данные пользователей хранятся в таблицах базы данных на стороне СУБД. Платформа управляет структурой этих таблиц самостоятельно, и прямой доступ к ним через SQL-запросы не предусмотрен и не поддерживается. Даже администратор СУБД, имеющий полный доступ к базе, увидит только хеши, а не сами пароли.

Отдельно существует учётная запись администратора сервера 1С и администраторов кластера — их пароли хранятся в служебных файлах сервера 1С (в каталоге srvinfo), а не в информационной базе. Это другой контур доступа: он защищает управление кластером, консоль администрирования и подключение к агенту сервера.

Как посмотреть список пользователей и сбросить пароль

Штатный способ работы с пользователями — конфигуратор. Откройте базу в конфигураторе и перейдите в меню «Администрирование» → «Пользователи». Здесь видны все учётные записи, их роли, настройки аутентификации, но поле пароля всегда скрыто: можно только ввести новое значение.

В типовых конфигурациях список пользователей доступен и в режиме 1С:Предприятие — обычно в разделе «Администрирование» → «Пользователи и права». Администратор с соответствующими правами может сбросить пароль коллеги, заблокировать учётную запись или изменить её состав ролей без входа в конфигуратор.

1. 1
   Откройте базу в конфигураторе под учётной записью с правами администратора
2. 2
   Перейдите: Администрирование → Пользователи
3. 3
   Дважды щёлкните по нужному пользователю и на вкладке аутентификации введите новый пароль дважды
4. 4
   Установите флаг «Потребовать установку пароля при входе», если нужно принудительно сменить пароль
5. 5
   Сохраните изменения и проверьте вход пользователя с новым паролем

Если утерян пароль единственного администратора файловой базы, ситуация сложнее: штатного способа сброса без входа в конфигуратор нет. Варианты — восстановление из резервной копии с известным паролем или обращение к специалистам по обслуживанию 1С. Это ещё один аргумент в пользу минимум двух учётных записей с полными правами.

Аутентификация ОС и OpenID: когда пароль в 1С не хранится

Для пользователя можно включить аутентификацию операционной системы. В этом случае 1С доверяет проверку подлинности Windows: если человек вошёл в систему под учётной записью, сопоставленной с пользователем 1С, пароль при запуске базы не запрашивается. Соответственно, в базе 1С пароль такого пользователя не хранится вовсе.

Аналогично работает OpenID-аутентификация: проверку выполняет внешний провайдер, а 1С получает только подтверждение личности. Эти схемы удобны в доменной сети и снижают число паролей, которые нужно помнить и защищать.

Способы аутентификации в 1С

Пароль 1С

Универсальный вариант; хеш хранится в базе, требует политики сложности и регулярной смены

Аутентификация ОС

Подходит для доменной сети; пароль в 1С не хранится, вход без запроса

OpenID

Для веб-доступа и федеративных сценариев; проверку выполняет внешний провайдер

Комбинировать способы можно: например, оставить парольную аутентификацию как резервную на случай проблем с доменом. Но для учётных записей с полными правами лучше не полагаться только на аутентификацию ОС — при компрометации Windows-учётки злоумышленник автоматически получит доступ и к 1С.

Где хранятся пароли от внешних ресурсов внутри 1С

Отдельная категория — пароли, которые пользователи вводят в самой конфигурации: учётные данные почты в настройках обмена, ключи доступа к сервисам обмена с банками, пароли к ЭДО и сайтам. В типовых конфигурациях такие секреты сохраняются в безопасном хранилище (объект встроенного языка ОбщегоНазначения.ЗаписатьДанныеВБезопасноеХранилище и аналоги), а не в открытых реквизитах справочников.

Безопасное хранилище шифрует данные, но администратор с полными правами технически может их прочитать через встроенный язык. Поэтому доступ к роли «Полные права» должен быть строго ограничен, а пароли к внешним сервисам — периодически меняться, особенно после увольнения сотрудников, имевших административный доступ.

Как проверить, что пароли защищены правильно

Базовая проверка занимает несколько минут. Откройте список пользователей и убедитесь: нет учётных записей без пароля, нет «общих» пользователей вроде «Менеджер» или «Склад», у всех действующих сотрудников включена парольная или доменная аутентификация, а учётные записи уволенных заблокированы.

Дополнительно проверьте настройки сложности паролей в конфигураторе (свойства информационной базы) и в типовых конфигурациях — параметры в разделе настройки пользователей и прав: минимальная длина, срок действия пароля, запрет повторного использования. Эти механизмы работают только если их явно включить.

Контрольные точки

Как проверить результат

Список пользователей

Норма

У каждого пользователя включён хотя бы один способ аутентификации

Тревожный признак

Есть учётные записи без пароля и без аутентификации ОС

Учётные записи администраторов

Норма

Минимум две записи с полными правами, пароли известны ответственным лицам

Тревожный признак

Один администратор, пароль знает только уволившийся сотрудник

Каталог файловой базы

Норма

Доступ по сети ограничен списком пользователей

Тревожный признак

Папка с базой открыта на общем ресурсе для всех

Часто задаваемые вопросы

Можно ли узнать текущий пароль пользователя 1С?

Нет. В базе хранится только необратимый хеш, поэтому ни администратор, ни разработчик не могут «посмотреть» пароль. Возможные действия — сбросить пароль и задать новый либо настроить аутентификацию операционной системы, чтобы пароль вообще не требовался.

Что делать, если забыт пароль единственного администратора файловой базы?

Штатного способа сброса нет. Практические варианты: восстановить базу из резервной копии, где пароль известен, или привлечь специалиста по 1С. Чтобы не попадать в такую ситуацию, держите минимум две учётные записи с полными правами и храните их пароли в корпоративном менеджере паролей.

Защищён ли файл 1Cv8.1CD, если его скопировать на другой компьютер?

Файл базы не зашифрован: скопировав его, злоумышленник получает всю информационную базу целиком. Защиту обеспечивают разграничение доступа к папке на уровне ОС, шифрование диска и резервных копий, а также внутренняя аутентификация 1С как последний рубеж.

Хранятся ли пароли в файле выгрузки dt?

Да. Файл выгрузки содержит базу полностью, включая список пользователей и хеши паролей. После загрузки dt на новом месте все учётные записи и пароли сохраняются, поэтому файлы выгрузки нужно защищать так же, как саму базу, и не передавать по открытым каналам.

Видит ли администратор SQL-сервера пароли пользователей 1С?

Он видит только хеши в таблицах базы данных, а не сами пароли. Однако администратор СУБД имеет полный доступ к данным базы в целом, поэтому эта роль должна быть у доверенного сотрудника, а доступ к серверу БД — строго регламентирован.

Безопасно ли сохранять пароль в окне запуска 1С?

Платформа позволяет не вводить пароль при каждом запуске, но сохранённые на рабочей станции учётные данные уязвимы при компрометации компьютера. На общедоступных или недостаточно защищённых машинах сохранение пароля лучше отключить, а в доменной сети предпочтительнее аутентификация ОС.