כיצד להגדיר חשבונות משתמש מאובטחים בחנויות מקוונות 1C-Bitrix

כיצד להגדיר חשבונות משתמש מאובטחים בחנויות מקוונות 1C-Bitrix

לאחר השקת חנות מקוונת על 1C-Bitrix, הבעלים מתמודדים לעתים קרובות עם שתי בעיות: זרם של בוטים הנרשמים לאלפי חשבונות מזויפים, או דליפות נתונים עקב מדיניות סיסמאות חלשה. תצורת ברירת המחדל הסטנדרטית אינה מגנה מפני ניסיונות פיצוח סיסמאות—3-5 ניסיונות יכולים לפצח סיסמה פשוטה כמו 123456.

אימות לקוחות מאובטח ותצורת אבטחה חזקה הם הכרחיים. החברה שלנו מגדירה רישום ואימות כדי לחסל בעיות אלו. אנחנו לא רק מפעילים CAPTCHA ואישור דוא"ל; אנחנו מתכננים ארכיטקטורה עמידה בפני תקיפות session ו-OAuth flooding. ניסיון: 5+ שנים ו-50+ פרויקטים עבור חנויות עם מחזור מכירות מ-10 מיליון RUB.

אנחנו פותרים מורכבויות טכניות ספציפיות. לאחר ההגדרה, תקבלו מערכת מאובטחת שבה כל שלב התחברות מאומת. ההגדרה שלנו מפחיתה רישומים מזויפים פי 3 בהשוואה לגרסת הקופסה—הודות לעידון עמוק של המדיניות. הגדרת 1C-Bitrix זו בדרך כלל חוסכת ללקוחות מעלпо индивидуальному расчёту בשנה בהונאות נמנעות.

לדוגמה, לקוח אחד חסךпо индивидуальному расчёту בשנה לאחר יישום ההגדרה שלנו. ההגדרה הבסיסית שלנו עולהпо индивидуальному расчёту ובדיקה מלאה עולה עדпо индивидуальному расчёту.

כיצד אנו מגדירים הרשמה והרשאה ב-1C-Bitrix

מדוע מדיניות סיסמאות היא קריטית

בלעדיה, לקוחות משתמשים בסיסמאות חלשות, מה שמגביר את הסיכון לפריצה לחשבון. אנו מגדירים אורך מינימלי, דורשים ספרות ותווים מיוחדים ב-Settings → Password Policies. עבור חנויות שמעבדות נתוני תשלום, אנו ממליצים על מינימום של 12 תווים ומרווח שינוי של 90 יום.

רכיבי הרשמה

רכיבי ליבה:

• bitrix:main.register – טופס הרשמה עם שדות הניתנים להתאמה אישית (טלפון, כתובת וכו')
• bitrix:main.login – התחברות עם תמיכה ב"זכור אותי" (משך חיי ה-cookie מוקטן ל-7–14 ימים)
• bitrix:main.profile – עריכת פרופיל

פרמטרים עיקריים עבור main.register:

• REGISTRATION_FIELD_* – רשימת השדות המוצגים
• EMAIL_CONFIRM – אם Y, המשתמש מופעל רק לאחר לחיצה על קישור האישור
• DEFAULT_GROUP – קבוצת משתמשים ברירת מחדל (למשל, "לקוחות")

תהליך אישור דוא"ל

הגדרת EMAIL_CONFIRM = Y מאפשרת הרשמה דו-שלבית: המשתמש ממלא את הטופס, מקבל דוא"ל עם קישור, ולוחץ עליו כדי להפעיל את החשבון. תבנית דוא"ל: Settings → Mail → Mail templates → NEW_USER_CONFIRM. חשבונות שאינם מאושרים (b_user.CONFIRM_CODE שאינו NULL) אינם יכולים להתחבר.

הרשאה חברתית

Bitrix תומך ב-OAuth באמצעות bitrix:socialservices.auth. ספקים: VKontakte, Google, Facebook, Yandex, GitHub. כל אחד מוגדר ב-Settings → Social Services—צרו אפליקציה בצד הספק והזינו App ID ו-Secret. אנו מחברים עד 5 ספקים ביום אחד.

אמצעי אבטחה

חובה:

• HTTPS – אימות באמצעות HTTPS בלבד. קוקיז עם דגל Secure מוגדרים דרך הגדרות PHP session.
• קוקיז HttpOnly – הגנה מפני XSS. יש להגדיר session.cookie_httponly = On בקובץ dbconn.php או בהגדרות PHP.
• כותרות CSP – יש להגדיר ברמת שרת האינטרנט או באמצעות handler בקובץ init.php.
• הגנה מפני brute force – חסימת IP מובנית לאחר N ניסיונות כושלים (מוגדר במודול הראשי).

ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1);
ini_set('session.use_only_cookies', 1);
ini_set('session.gc_maxlifetime', 14400);

השוואה: Basic מול התצורה שלנו

טבלת ספקי אימות חברתי

למה לבחור בקונפיגורציה שלנו

אנחנו לא משתמשים בפתרונות מוכנים ללא התאמה. כל פרויקט עובר ביקורת אבטחה. לאחר הקונפיגורציה, אתה מקבל:

• תיעוד המתאר את כל הפרמטרים;
• הדרכת צוות על הפעלת הרכיבים;
• אחריות ל-30 יום על פונקציונליות ההרשאה.

הקונפיגורציה שלנו טובה פי 3 מההגדרה הסטנדרטית במניעת התקפות brute force. בהשוואה לברירת המחדל, ההגדרה שלנו יעילה פי 3 במניעת גישה בלתי מורשית. המשמעות היא שאתה מקבל פי 5 פחות הרשמות מזויפות מאשר עם הגדרה בסיסית.

תהליך העבודה

1. ניתוח – סקירת הסכימה הנוכחית, זיהוי נקודות תורפה.
2. עיצוב – יצירת תצורה (שדות, ספקים, מדיניות).
3. מימוש – הגדרת רכיבים, אינטגרציה של OAuth, בדיקה בסביבת staging.
4. בדיקות – אימות כל התרחישים: הרשמה, אישור, שחזור סיסמה, התחברות חברתית.
5. פריסה – העלאה לייצור, ניטור במשך 48 השעות הראשונות.

לוחות זמנים וערבויות

הגדרה בסיסית (אימות דוא"ל, מדיניות סיסמאות, CAPTCHA) – 6 עד 8 שעות. הרשאה חברתית (3–5 ספקים) – יום עבודה אחד. ביקורת מלאה עם תיקון פגיעויות – עד יומיים. העלות מחושבת באופן אישי, החל מ-по индивидуальному расчёту (הגדרה בסיסית) ועדпо индивидуальному расчёту (ביקורת מלאה). לקוחות טיפוסיים חווים ירידה של 90% בניסיונות brute force וירידה פי 3 בהרשמות מזויפות.

אם ברצונך להימנע מבעיות אבטחה, דבר איתנו על תצורה. בקש ייעוץ—נעריך את הפרויקט שלך.

מה כלול (תוצרים)

• הגדרת רכיבי main.register, main.login, main.profile
• הגדרת מדיניות סיסמאות ו-CAPTCHA
• אינטגרציה של ספקי OAuth (עד 5)
• הגדרת תבניות דואר לאישור כתובת דוא"ל
• בדיקת כל תרחישי ההרשאה
• תיעוד הגדרה מלא (PDF)
• מפגש הדרכה למנהלים (שעתיים)
• 30 ימי תמיכה לאחר הפריסה

לקריאה נוספת:

• אימות OAuth בוויקיפדיה
• תיעוד רכיב main.register ב-1C-Bitrix Dev