Обновление 1С-Битрикс: зачем нужно и что будет, если не обновлять

Сайт на 1С-Битрикс без обновлений накапливает известные уязвимости и рано или поздно становится мишенью для автоматических атак. Разбираем, как устроены обновления платформы, при чём тут лицензия, как обновляться без поломок и что делать с сайтом, который не трогали годами.

Большинство взломанных Битрикс-сайтов, которые попадают к нам на восстановление, объединяет одно: обновления не ставились от года до пяти лет. Взламывают их не таргетированно, а конвейером: боты сканируют интернет на сайты с известными уязвимостями, для которых вендор давно выпустил заплатки. Владельцы просто их не установили.

Короткий ответ на вопрос из заголовка: обновлять нужно, потому что обновления — это в первую очередь безопасность, и только во вторую — новые функции. Теперь по порядку.

Как устроены обновления Битрикса

Платформа обновляется через встроенную технологию SiteUpdate: система скачивает обновления ядра и модулей с серверов 1С-Битрикс и устанавливает их. В обновления входят:

• исправления уязвимостей — самое ценное;
• исправления ошибок ядра и модулей;
• новые функции и изменения интерфейса;
• совместимость с новыми версиями PHP и MySQL — без неё сайт однажды не переживёт обновление сервера у хостера.

Доступ к обновлениям привязан к лицензии. Год после покупки они бесплатны, дальше продление за 25% стоимости лицензии. Непродлённая лицензия не выключает сайт: он работает, но замирает в том состоянии, в каком был. Вместе с ним замирают и незакрытые дыры.

Здесь регулярное недопонимание: владельцы воспринимают продление как «оброк за то, что и так купили». Практичнее смотреть на это как на подписку на заплатки безопасности. 11 750 ₽ в год за редакцию «Малый бизнес» против восстановления после взлома за 50–150 тысяч — арифметика сходится быстро.

Что происходит с сайтом без обновлений

По нарастающей:

Первые полгода — ничего. Это опасный период, потому что он формирует привычку «и так работает».

Дальше начинаются мелкие несовместимости: модуль из маркетплейса требует более свежее ядро, платёжная система обновила протокол, хостер поднял версию PHP и часть страниц посыпалась.

Параллельно накапливаются публично известные уязвимости. Ключевое слово «публично»: после выхода заплатки информация об уязвимости доступна всем, включая тех, кто пишет ботов. Сайт с ядром двухлетней давности — это сборник инструкций по собственному взлому. Какие дыры эксплуатируются прямо сейчас, мы разбирали в отдельной статье.

Финал типовой: заражённый сайт рассылает спам или редиректит посетителей, хостер блокирует аккаунт, Яндекс помечает сайт опасным. Лечение — от суток работы специалиста, и всё равно заканчивается установкой всех пропущенных обновлений, только уже в аварийном режиме.

Как обновляться правильно

Порядок, который используем мы. Он избыточен для лендинга и обязателен для магазина с доработками:

1. Полный бэкап: файлы и база. Проверить, что копия скачивается и открывается.
2. Развернуть тестовую копию сайта и установить обновления на ней.
3. Проверить на копии ключевые сценарии: каталог, корзину, оплату, обмен с 1С, доработанные компоненты.
4. Установить обновления на боевом сайте в период минимального трафика.
5. Повторить проверку сценариев на боевом, посмотреть логи ошибок.

Почему не «просто нажать кнопку в админке»: обновление меняет ядро, а большинство живых проектов содержит доработки. Если разработчики когда-то правили ядро напрямую (так делать нельзя, но так делают), обновление затрёт правки. Если использовали устаревшие методы API, после обновления они могут перестать работать. Тестовый контур ловит это до того, как увидят клиенты.

Типовые проблемы после обновления и их причины

«Поехала вёрстка» — обновился штатный компонент, шаблон которого был кастомизирован не через папку шаблона, а в системной. Лечится переносом кастомизации в правильное место.

«Отвалился обмен с 1С» — изменился формат обмена, а модуль на стороне 1С остался старым. Обновляться должны обе стороны.

«Сайт стал медленнее» — после крупных обновлений стоит перепроверить настройки композитного кеша и агентов. Иногда обновление сбрасывает часть настроек производительности.

Все три проблемы решаемы за часы, если есть бэкап и тестовый контур. И превращаются в аврал, если обновление накатили сразу на прод в пятницу вечером.

Если сайт не обновлялся несколько лет

Плохая новость: перепрыгнуть с ядра пятилетней давности на актуальное одной кнопкой обычно не выходит. Обновления ставятся цепочкой, по пути ломаются устаревшие доработки, и процесс превращается в мини-проект на несколько дней с обязательным тестовым контуром.

Хорошая: это всё равно дешевле, чем жить на пороховой бочке или переделывать сайт с нуля. Мы проходили такие цепочки не раз; главное — не пытаться сделать это на живом сайте без копии.

Начать стоит с диагностики: какая версия ядра, активна ли лицензия, какие модули доработаны. По итогам станет ясно, обычное это обновление или проект по реанимации. Такая диагностика входит в наш технический аудит, а регулярная установка обновлений — в поддержку Битрикс-сайтов.