Аудит безопасности сайта на 1С-Битрикс под ключ

Битрикс хорошо защищён из коробки, пока его обновляют. Проблемы появляются в доработках, обмене с 1С и просроченной лицензии.

Рассчитать стоимость

от 29 900 ₽

стоимость пакетов

3–4 недели

срок типового проекта

отраслевых модуля в калькуляторе

У сайта на 1С-Битрикс обычно длинная история: его делала одна студия, дорабатывала вторая, а обмен с учётной системой настраивал программист 1С на стороне компании. Лицензия на обновления когда-то закончилась, и платформа застряла на версии трёхлетней давности. В 2022 году именно такие сайты массово ломали через уязвимость в стандартном модуле опросов.

Кроме ядра, мы смотрим то, что сделано поверх: собственные компоненты в /local, шаблоны с прямыми запросами к базе, обработчики AJAX без проверки прав. Стандартный сканер Битрикса эти места не проверяет, потому что не знает, что в них должно быть.

Отдельно проверяем обмен с 1С. Через него на сайт приходят цены и остатки, а с сайта уходят заказы с данными покупателей. Учётная запись обмена с полными правами и простым паролем — частая находка.

Почему у Битрикса свой набор рисков

Платформа построена из модулей, и каждый обновляется отдельно. Сайт может быть на свежем ядре, но со старым модулем блога, который никто не использует, а он всё равно отвечает на запросы.

Вторая особенность — доработки. Битрикс поощряет писать свои компоненты, и за годы их набирается десятки. Проверить их может только человек, который читает код.

Модули и места, которые смотрим в первую очередь

Где	Что проверяем
Административная часть	Двухэтапный вход, ограничение по IP, группы с доступом к /bitrix/admin
Модули опросов, блогов, форумов	Установлены ли без нужды и обновлены ли до версий с исправлениями
Обработчик обмена с 1С	Доступность снаружи, права пользователя обмена, журнал выгрузок
Папка /local и шаблоны	Прямые запросы к базе, вывод данных без экранирования
Загрузка файлов	Типы файлов в формах и инфоблоках, исполнение скриптов в /upload

Калькулятор

Аудит сайта на 1С-Битрикс — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 19 900 ₽

+ 29 900 ₽

+ 24 900 ₽

+ 9 900 ₽

от 14 900 ₽ за роль

от 24 900 ₽ за 50 методов

+ 69 900 ₽

+ 79 900 ₽

+ 49 900 ₽

+ 39 900 ₽

от 24 000 ₽ за 10 ч

+ 14 900 ₽

Ваша смета

Пакет «Орбита»129 000 ₽
Проверка обмена с 1С19 900 ₽
Проверка собственных компонентов29 900 ₽

Стоимость работ

0 ₽

Срок: 3–4 недели

Счёт сейчас: 89 400 ₽ — предоплата 50%, остаток после приёмки

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Встроенная защита и внешний аудит

Проактивная защита Битрикса

Фильтрует типовые атаки на входе
Ведёт журнал подозрительных запросов
Сравнивает файлы ядра с эталоном

Аудит

Находит ошибки в ваших компонентах
Проверяет права групп и обмен с 1С
Показывает, какие модули удалить, а не только обновить

Пример: магазин запчастей на Битриксе с выгрузкой из 1С

Редакция «Малый бизнес», лицензия истекла два года назад, доработки трёх подрядчиков. Пакет «Орбита» (129 000 ₽) + проверка обмена с 1С (19 900 ₽) + проверка собственных компонентов (29 900 ₽). Итог — 178 800 ₽ и 3–4 недели. По итогам компания продлевает лицензию, обновляет модули, закрывает обработчик обмена по IP и переписывает два компонента с прямыми запросами к базе.

Собрать свой вариант

Вопросы и ответы

Вопросы о проверке сайта на Битриксе

Лицензия закончилась — сайт в опасности?

Сайт работает, но перестаёт получать исправления. Чем дольше пауза, тем больше известных уязвимостей. Часто продление лицензии оказывается дешевле, чем исправлять каждую дыру вручную.

Встроенный сканер Битрикса показывает «всё хорошо». Зачем аудит?

Сканер проверяет настройки и стандартные модули. Ваши доработки, обмен с 1С и права групп он не анализирует, а именно там находим большую часть проблем.

Проверите облачный Битрикс24?

Нет, облачный Битрикс24 — сервис вендора, проверять его инфраструктуру без разрешения вендора нельзя. Проверяем коробочную версию на вашем сервере и ваши интеграции с облаком.

Работаете с программистом 1С компании?

Да. По обмену обычно нужен созвон с ним: договариваемся о правах пользователя обмена и ограничении по адресам.

Сайт работает на «Битрикс: Веб-окружение». Сервер тоже посмотрите?

В «Галактике» — да: версии PHP и MySQL, настройки nginx и Apache, доступ к phpMyAdmin, резервные копии. В «Орбите» сервер проверяем только снаружи, по открытым портам и служебным адресам.

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →