Как 1С обновляет расширения — и почему это важно для вашего сайта
Листал ленту и зацепился за статью про автоматические обновления расширений в 1С. Не про хакеров, а про то, как система сама подтягивает новые функции. И тут вспомнил: у многих клиентов 1С — и у них тоже могут быть такие «подключения». И не всё так гладко, как кажется.
О чём речь и почему это важно для сайта
Речь о том, как в 1С появился сервис, где можно подключать расширения с автоматическим обновлением. Не просто файл, а функция, которая приходит «из облака» и сама обновляется. На первый взгляд — удобно. Но я считаю, что это важный момент для любого сайта, где используется 1С: это не просто функция, это ещё и точка входа для уязвимостей, если обновление идёт без контроля. Если расширение плохо написано — оно может привести к сбоям, утечкам или зависаниям. А ведь у многих сайтов 1С — это не просто бухгалтерия, а часть бизнес-процесса, включая выгрузку данных, интеграции, формы. Поэтому автоматическое обновление — это не панацея, а риск, если не контролировать, что и когда приходит.
Как это устроено — что тут вообще происходит
Всё просто: есть каталог расширений, в нём — готовые модули. Пользователь выбирает, нажимает «установить» — и система сама загружает, устанавливает, обновляет. Обновления идут в фоне, без участия администратора. Разработчик отвечает за безопасность и поддержку. Но самое важное — это не то, что обновление автоматическое, а то, что оно может быть не проверенным. Если расширение написано не по стандартам, оно может внести в систему уязвимости, которые потом будут сканироваться ботами. И если у клиента 1С — это не только программа, а часть сайта (например, интеграция с CRM или формой), то уязвимость может стать точкой входа для атак.
Как понять, что это касается вашего сайта
У меня нет доступа к вашей 1С, но я проверяю это всегда: смотрю, есть ли у клиента расширения, подключённые через 1С:Плюс. Если да — то проверяю, кто их разработал, совместимы ли они с текущей версией, и есть ли у них обновления. Следующий шаг — проверка, кто отвечает за поддержку. Если это внешний поставщик, то у него может быть слабая безопасность. Я уже начал проверять у своих клиентов, кто и что подключил. Особенно если у них есть интеграции с внешними сервисами. Это не про конкретного клиента — про практику. Считаю, что важно не просто «установил», а «понимаю, что установлено».
Что с этим делать
Что я делаю в таких случаях? Сначала — не трогаю ничего. Делаю резервную копию. Потом — проверяю, какие расширения установлены, кто их разработал, когда последнее обновление. Если есть подозрительные — отключаю, пока не проверю. Если обновление автоматическое — ставлю его в плановом окне, а не в режиме «сейчас». Обновляю только после проверки. Если расширение критично — сначала тестирую в тестовой среде. Важно не скорость, а безопасность. И если у клиента нет резервной копии — сразу добавляю это в план. Объём работы зависит от количества расширений и их сложности. Но даже одно неизвестное расширение — это риск.
Что здесь даёт поддержка
На постоянной поддержке я закрываю эту задачу так: обновления не идут автоматически, если не проверены. Всё в плановом окне — с резервной копией, с отключением перед обновлением. Слепое обновление — типовая причина падений. На поддержке это не допускается. У нас в компании сертификаты PHP и MySQL у всех разработчиков — это не просто бумага, это гарантия, что обновления делаются с учётом безопасности и стабильности. А ещё — мы не просто ставим обновления, мы смотрим, что они меняют. И если что-то не так — возвращаемся к предыдущей версии. Приглашаю на бесплатный аудит сайта — проверим, что установлено, и как это влияет на безопасность.