Администрирование · 10 мин
Редактирование уровней доступа в 1С-Битрикс: что можно настроить и как
Какие уровни доступа можно редактировать в 1С-Битрикс: группы пользователей, права на модули, инфоблоки, файлы и страницы. Пошаговые инструкции и типичные ошибки.
1С-Битрикс (как «Управление сайтом», так и коробочный «Корпоративный портал») построен на многоуровневой системе прав: доступ определяется одновременно группой пользователя, настройками модулей, правами на инфоблоки, файлы и отдельные элементы. Из-за этой многослойности у администраторов часто возникает вопрос, какие именно уровни доступа можно редактировать штатными средствами, а где потребуется доработка.
Штатно редактируются практически все уровни: группы пользователей и их права на модули, доступ к инфоблокам и их разделам, права на файлы и папки структуры сайта, доступ к страницам и разделам публичной части, а также роли в CRM и бизнес-процессах. Ограничения касаются в основном технических групп (например, группы «Администраторы» с ID 1) и отдельных системных операций, зашитых в ядро.
Ниже разобраны все редактируемые уровни доступа с указанием путей в административном разделе, условий применения и типичных ошибок. Материал ориентирован на администраторов, работающих через веб-интерфейс без изменения кода ядра.
Группы пользователей: базовый уровень доступа
Основной уровень доступа в Битриксе — группа пользователей. Каждый пользователь может входить в несколько групп одновременно, и итоговые права складываются по принципу максимума: если хотя бы одна группа даёт право, пользователь его получает. Редактирование выполняется в разделе «Настройки → Пользователи → Группы пользователей».
Для каждой группы доступны: название и описание, привязка к сайтам (в режиме многосайтовости), вкладка «Доступ» с правами на модули и вкладка «Пользователи» для управления составом. Можно создавать неограниченное количество собственных групп — например, «Контент-менеджеры», «Менеджеры интернет-магазина», «Модераторы форума».
Типовые предустановленные группы («Администраторы», «Пользователи, имеющие доступ к административной части», «Редакторы сайта») тоже редактируются, за одним исключением: группа «Администраторы» с ID 1 является технической. Её нельзя удалить, нельзя понизить её права, а пользователь с ID 1 всегда обладает полным доступом независимо от настроек.
Права на модули: что настраивается на вкладке «Доступ»
На вкладке «Доступ» в карточке группы перечислены все установленные модули системы — от «Главного модуля» до «Интернет-магазина», «Форума», «Веб-аналитики» и других. Для каждого модуля выбирается уровень доступа из выпадающего списка: «Закрыт», «Чтение», «Редактирование», «Полный доступ» — набор вариантов зависит от конкретного модуля.
Например, для модуля «Управление структурой» уровень «Редактирование файлов и папок» позволяет менять страницы, а «Полный доступ» дополнительно разрешает управлять правами на них. Для модуля «Информационные блоки» уровень по умолчанию может быть переопределён настройками конкретного инфоблока — об этом ниже.
Отдельно редактируется право на доступ к административной части в целом. Оно задаётся на уровне главного модуля и в настройках прав группы: пользователь может иметь права на модуль, но без доступа к админке он увидит только публичную часть. Это удобно для внешних пользователей — например, подписчиков или покупателей.
Доступ к инфоблокам: типы и отдельные инфоблоки
Инфоблоки — основной способ хранения контента в Битриксе, и права на них редактируются на двух уровнях. Первый уровень — тип инфоблоков (например, «Каталоги», «Новости», «Сервисы»): настройки находятся в «Контент → Информ. блоки → Типы информ. блоков». Здесь для каждой группы задаётся базовый уровень: «Закрыт», «Чтение», «Изменение» и другие варианты.
Второй уровень — конкретный инфоблок. В карточке инфоблока на вкладке «Доступ» можно либо унаследовать права от типа, либо задать расширенные права. Расширенный режим позволяет назначить группам разные операции: чтение, добавление элементов, редактирование своих и чужих элементов, изменение статусов, управление разделами.
В расширенном режиме права можно давать не только группам, но и отдельным пользователям, а также привязывать доступ к разделам инфоблока. Это позволяет, например, разрешить одному отделу редактировать только свой раздел каталога, не открывая остальные.
- 1Откройте «Контент → Инфоблоки» и перейдите в редактирование нужного инфоблока.
- 2На вкладке «Доступ» снимите флаг наследования от типа инфоблоков, если он установлен.
- 3Включите расширенный режим управления правами.
- 4Добавьте нужные группы или пользователей и назначьте им операции: чтение, добавление, редактирование.
- 5Сохраните изменения и проверьте доступ под тестовым пользователем из соответствующей группы.
Права на файлы, папки и страницы сайта
Структурный уровень доступа — права на физические файлы и папки сайта. Редактируется он в «Настройки → Управление структурой» либо через файловый менеджер: для каждой папки и файла можно задать уровень доступа по группам («Наследовать», «Закрыт», «Чтение», «Запись», «Полный доступ»). Права на папку наследуются вложенными объектами, пока не переопределены явно.
Этот механизм позволяет, например, закрыть папку /personal/ для неавторизованных пользователей или дать контент-редакторам право менять только раздел /about/, не затрагивая остальную структуру. В публичной части страницы и разделы также имеют настройку «Доступ», доступную через кнопку «Изменить страницу/раздел» в режиме правки.
Важно различать права файловой системы Битрикса и права на уровне операционной системы (владелец файлов, chmod). Первые управляются из админки и касаются логики работы сайта; вторые настраиваются на сервере и влияют на возможность PHP-процесса читать и записывать файлы. Ошибка на любом из этих уровней проявляется по-разному: при нехватке прав в Битриксе пользователь видит «Доступ запрещён», при нехватке прав ОС — ошибки записи, белый экран или сбои обновления.
Роли и права в CRM и корпоративном портале
В редакциях с CRM и в «Корпоративном портале» добавляется ещё один редактируемый уровень — роли CRM. Настройка находится в разделе «CRM → Настройки → Права доступа» (в новых интерфейсах — «Настройки CRM → Права доступа»). Роль объединяет набор разрешений на сущности: лиды, сделки, контакты, компании, счета, предложения.
Для каждой сущности внутри роли настраиваются операции (чтение, добавление, изменение, удаление, экспорт, импорт) и область действия: «все», «свои», «свои и своего отдела», «свои и подчинённых отделов». Это позволяет строить иерархию: руководитель отдела видит сделки отдела, менеджер — только свои.
Помимо CRM, в коробочной версии редактируются права на бизнес-процессы, диск и документы, рабочие группы и проекты, календари, задачи. Для каждого из этих инструментов права задаются либо через группы, либо через собственные настройки модуля — например, в «Диске» доступ настраивается на уровне папок с гранулярностью до отдельных пользователей.
Где редактировать доступ: выбор уровня
Подходит для грубого разграничения: кто работает с магазином, кто с контентом. Ограничение — нельзя разделить доступ внутри одного инфоблока между разделами без расширенного режима.
Подходит, когда разным отделам нужны разные разделы каталога или разные операции с элементами. Требует более тщательной проверки, так как переопределяет права типа.
Подходит для разграничения работы с клиентами и сделками по отделам и должностям. Не влияет на доступ к контенту сайта и административным настройкам.
Что нельзя редактировать штатно и как проверить результат
К не редактируемым штатно элементам относятся: техническая группа «Администраторы» (ID 1) и встроенный пользователь с ID 1, системные операции ядра (установка и удаление модулей доступны только администраторам), а также отдельные служебные права, зашитые в коде конкретных модулей. Обход этих ограничений требует кастомизации — например, обработчиков событий, которые дополнительно фильтруют доступ программно.
Проверка настроенных прав — обязательный этап. Создайте тестового пользователя, включите его только в проверяемую группу и пройдите типовые сценарии: вход в админку, открытие инфоблока, попытка редактирования чужого элемента, доступ к закрытой папке. Проверять под администратором бессмысленно — эта учётная запись игнорирует ограничения.
Дополнительно полезен инструмент «Анализ прав доступа» (в старших редакциях и на корпоративном портале), который показывает сводную картину прав по пользователям и группам. Он помогает найти избыточные права и конфликты наследования до того, как они приведут к инциденту.
Как проверить результат
Пользователь видит только разрешённые разделы и модули
Видна вся админка или, наоборот, пустое меню при наличии прав на модули
Доступны только разрешённые операции и разделы
Кнопки редактирования активны там, где должно быть только чтение
Неавторизованный или чужой пользователь получает отказ в доступе
Страница открывается всем — наследование прав настроено неверно
Часто задаваемые вопросы
Можно ли дать пользователю права, не включая его в группу?
На уровне модулей и групп — нет, права назначаются только через группы. Но расширенные права инфоблоков и права на папки «Диска» позволяют назначать доступ конкретному пользователю напрямую, минуя групповое членство.
Почему пользователь не видит элементы инфоблока, хотя права на модуль выданы?
Чаще всего права ограничены на уровне самого инфоблока или его типа: настройки инфоблока переопределяют модульные. Проверьте вкладку «Доступ» в карточке инфоблока и уровень доступа группы к типу инфоблоков.
Что делать, если потерян доступ к административному разделу?
Если есть доступ к базе данных, можно вернуть пользователя в группу администраторов через таблицу привязки пользователей к группам. Если доступа к базе нет, потребуется помощь хостинг-провайдера или специалиста с доступом к серверу. Поэтому перед изменением прав всегда оставляйте резервную учётную запись администратора.
Наследуются ли права на разделы инфоблока от прав на сам инфоблок?
Да, в расширенном режиме права можно задать отдельно для разделов, и по умолчанию разделы наследуют настройки инфоблока. Явно заданные права на раздел имеют приоритет над унаследованными.
Можно ли ограничить доступ к админке по IP-адресу?
Да, в настройках главного модуля есть параметр безопасности «Ограничение доступа к административному разделу по IP-адресам». Он работает независимо от групповых прав и применяется ко всем пользователям, включая администраторов, поэтому перед включением убедитесь, что ваш текущий адрес статичен и внесён в список.
Что важно запомнить
В 1С-Битрикс редактируются группы пользователей, права на модули, типы и отдельные инфоблоки, файлы и папки структуры, а также роли CRM. Неизменяемы только техническая группа «Администраторы» и ряд системных операций ядра. Любые изменения прав проверяйте под тестовым пользователем и сохраняйте резервную учётную запись с полным доступом.