Битрикс в белых списках: как работает фильтрация и почему 1С и Битрикс24 остаются доступными

Что такое белые списки и зачем они нужны

Белый список (allowlist, whitelist) — это перечень ресурсов, доступ к которым сохраняется даже при ограничении мобильного интернета. В России с сентября 2025 года Минцифры формирует такой перечень для сервисов, которые считаются социально значимыми. Принцип работы противоположен чёрному списку: блокируется всё, кроме разрешённого. Это сделано для того, чтобы в условиях повышенной беспилотной опасности, когда операторы ограничивают интернет, люди могли пользоваться банками, такси, доставкой и госуслугами.

Технически фильтрация реализована через DPI (Deep Packet Inspection) на оборудовании ТСПУ, которое установлено у операторов и управляется РКН. Когда пользователь запрашивает сайт, DPI сверяет домен и IP с перечнем: если совпадение есть — соединение проходит, если нет — запрос зависает. Важно, что ограничения касаются только мобильного интернета, домашний и офисный Wi-Fi работают без фильтрации.

Как формируется белый список и кто в него попадает

Первую версию перечня Минцифры опубликовало 5 сентября 2025 года, в неё вошли 20 сервисов. С тех пор список дополнялся более пяти раз и сейчас включает более 120 ресурсов. Основные категории: операторы связи (МТС, МегаФон, билайн, t2, Ростелеком), банки (Альфа-Банк, ВТБ, ПСБ, Газпромбанк), госуслуги, маркетплейсы (Wildberries, Ozon), такси (Яндекс Go, Максим), соцсети (ВКонтакте, Одноклассники, Max), доставка (Яндекс Еда, Вкусно — и точка), онлайн-кинотеатры и СМИ.

Ключевое условие для включения — вычислительные мощности сервиса должны находиться на территории России. Именно поэтому Telegram не попал в список, а Сбербанк пока отсутствует, хотя глава ЦБ предлагала добавить все банки. Списки операторов могут отличаться от официального: например, МТС включает МТС Банк, а билайн — Яндекс Банк. Поэтому при проверке доступа важно сверяться и с перечнем Минцифры, и со списком своего оператора.

Почему Битрикс и 1С входят в белый список

В официальный перечень Минцифры включены «1С» и «Битрикс» (в виде платформы «1С-Битрикс» и связанных сервисов). Это связано с тем, что данные продукты широко используются в государственных и коммерческих структурах для документооборота, бухгалтерии и управления сайтами. Например, портал Госуслуг и многие сайты министерств работают на «1С-Битрикс». Включение в белый список гарантирует, что даже при ограничении мобильного интернета пользователи смогут получить доступ к этим системам, что критично для бизнеса и госсектора.

Однако важно понимать: белый список касается только доступа к сайтам и приложениям, а не внутренней безопасности. Для разработчиков на Bitrix Framework «белый список» — это ещё и архитектурный приём, который помогает защитить код от атак. В этом контексте включение в перечень не даёт автоматических привилегий, а лишь обеспечивает доступность.

Белый список как модель безопасности в Bitrix Framework

В разработке на Bitrix Framework белый список — это подход, при котором явно задаётся набор допустимых значений, а всё остальное отклоняется. Например, при обработке параметра sort:

$allowedSortFields = ['NAME', 'DATE_CREATE', 'SORT'];
$sort = (string)($_GET['sort'] ?? '');
if (!in_array($sort, $allowedSortFields, true)) {
    $sort = 'SORT';
}

Такой подход надёжнее чёрного списка, потому что заранее неизвестно, какие значения могут быть опасными. Белый список отвечает на вопрос «что разрешено?», а не «что запрещено?». Это особенно важно при обработке HTTP-параметров, имён файлов, URL, redirect-адресов и других данных, которые приходят извне.

В Bitrix Framework белый список не является отдельным API, а используется как архитектурный приём на разных уровнях: валидация входных данных, проверка действий, фильтры, сортировки. Он не заменяет авторизацию, а дополняет её: сначала проверяется, что действие существует, затем — имеет ли пользователь право его выполнить.

Примеры применения белых списков в коде Bitrix

Рассмотрим несколько практических примеров.

Белый список действий API-контроллера:

$actions = [
    'create' => 'createAction',
    'update' => 'updateAction',
    'delete' => 'deleteAction',
];
$action = (string)($_POST['action'] ?? '');
if (!isset($actions[$action])) {
    throw new \RuntimeException('Action is not allowed');
}
$method = $actions[$action];
$this->{$method}();

Это предотвращает вызов произвольных методов класса через HTTP-параметр.

Белый список полей для сортировки в ORM:

$allowedSorts = [
    'name' => 'NAME',
    'created' => 'DATE_CREATE',
    'order' => 'SORT',
];
$sort = (string)($_GET['sort'] ?? 'order');
if (!isset($allowedSorts[$sort])) {
    $sort = 'order';
}
$query = SomeTable::query()
    ->setOrder([$allowedSorts[$sort] => 'ASC']);

Здесь внешний параметр не раскрывает внутренние имена полей, что снижает риск SQL-инъекций.

Белый список направлений сортировки:

$allowedDirections = ['asc' => 'ASC', 'desc' => 'DESC'];
$direction = strtolower((string)($_GET['direction'] ?? 'asc'));
if (!isset($allowedDirections[$direction])) {
    $direction = 'asc';
}

Такие проверки обязательны для любого публичного API.

Белый список и права доступа: разграничение уровней

Важно понимать разницу между белым списком действий и авторизацией. Белый список лишь определяет, какие действия существуют, но не проверяет, может ли конкретный пользователь их выполнить. Например:

$allowedActions = ['view', 'edit', 'delete'];
$action = (string)($_POST['action'] ?? '');
if (!in_array($action, $allowedActions, true)) {
    throw new \RuntimeException('Unknown action');
}
if (!$USER->IsAuthorized()) {
    throw new \RuntimeException('Authentication required');
}
// Дополнительная проверка бизнес-права.

В Bitrix Framework права доступа строятся на группах, ролях и разрешениях. Роль связывает access-коды с разрешениями, а пользователь, находящийся в нескольких группах, получает максимальные права. Поэтому при проектировании защищённого endpoint нужно последовательно применять: белый список → аутентификация → авторизация → бизнес-правила. Нельзя заменять последний этап первым.

Белый список групп и ролей пользователей

В простых сценариях можно ограничить доступ по группам:

$allowedGroups = [1, 5]; // Администраторы, Редакторы
$groups = $USER->GetUserGroupArray();
if (!array_intersect($groups, $allowedGroups)) {
    throw new \RuntimeException('Access denied');
}

Однако такой подход не универсален. Для сложных бизнес-сценариев лучше проверять конкретные разрешения или роли. Например, роль content_editor может иметь право на article.view, article.create, article.update, но не на article.delete. Белый список ролей помогает ограничить набор допустимых субъектов, но окончательное решение о доступе должно приниматься на основе разрешений.

В Bitrix Framework права могут назначаться на файлы, каталоги, инфоблоки и модули. При этом действует принцип максимальных прав: если пользователь состоит в нескольких группах, он получает права с наивысшим уровнем. Это нужно учитывать при построении защищённых функций.

Почему белые списки могут не работать и что делать

На практике пользователи иногда жалуются, что сервисы из белого списка не открываются. Причины могут быть разными:

• Ресурс не входит в перечень Минцифры или оператора.
• Некорректно настроена фильтрация на стороне оператора.
• Сервис хранится на разных серверах, и часть из них заблокирована.
• Оборудование DPI не справляется с нагрузкой.

Если сайт из списка не работает, стоит проверить настройки DNS (переключить на автоматические), очистить кэш браузера или приложения. Также можно попробовать перезагрузить устройство. Если проблема сохраняется, остаётся только переключиться на Wi-Fi или проводной интернет, которые не фильтруются.

Для владельцев сервисов важно обеспечить размещение всех ресурсов на территории России, чтобы соответствовать требованиям для включения в белый список. Также рекомендуется следить за обновлениями перечня и оперативно добавлять новые домены.

Как подготовиться к ограничениям и оставаться на связи

Ограничения мобильного интернета включаются не по расписанию и длятся от нескольких часов до суток. Чтобы не остаться без связи, рекомендуется:

• Скачать офлайн-карты в Яндекс Картах и 2ГИС.
• Сохранить музыку и фильмы на устройство.
• Иметь при себе наличные, так как оплата по QR-коду может не работать.
• Сделать скриншоты электронных билетов и броней.

Голосовая связь и СМС обычно продолжают работать, поэтому их можно использовать как резервный канал. Включите VoLTE для более устойчивого соединения. Помните, что домашний Wi-Fi и общественные сети не подвергаются фильтрации, поэтому они — основной способ обхода ограничений.

Будущее белых списков и влияние на бизнес

Система белых списков продолжает развиваться. Список регулярно дополняется, и в будущем в него могут войти новые сервисы, включая Сбербанк. Для бизнеса это означает, что критически важные онлайн-сервисы должны быть готовы к включению в перечень: размещение в России, соответствие требованиям безопасности, стабильная работа под нагрузкой.

Для разработчиков на Bitrix Framework белый список остаётся важным инструментом защиты. Включение в государственный белый список не освобождает от необходимости внедрять белые списки в коде. Наоборот, это повышает требования к безопасности, так как сервис становится более доступным и привлекательным для злоумышленников.

В целом, белые списки — это компромисс между доступностью и безопасностью. Они позволяют сохранить работу ключевых сервисов в условиях ограничений, но требуют от владельцев ресурсов дополнительных усилий по обеспечению надёжности и защите данных.

Вопросы и ответы