Безопасность

Безопасность Битрикс24 Вайбкод

Мы строим платформу так, чтобы по умолчанию всё было закрыто. Сервер, который создаст ваш ИИ-агент, невидим из интернета. Доступ к приложению по умолчанию есть только у вас. Ключи выдаются с ограниченными правами. Вы остаётесь хозяином своих данных и сами решаете, кому и что открыть.

Самое важное

1

Двухфакторный вход

Один шаг защищает от 99% попыток украсть аккаунт. Включается за минуту.

2

Единый ключ - как ключ от сейфа

Он открывает всё, к чему есть доступ у вас. Не вставляйте в код, не пересылайте в чатах.

3

Публичный режим - осознанно

Это полный доступ из интернета без входа. Не включайте, если не понимаете последствий.

Кто за что отвечает

В работе с платформой участвуют три стороны. У каждой - своя зона. Это поможет понять, что мы берём на себя, а что зависит от вас.

Платформа

Битрикс24 Вайбкод

  • Безопасность инфраструктуры
  • Защита данных при передаче и хранении
  • Изоляция приложений друг от друга
  • Выдача и отзыв ключей
  • Журналы доступа и действий
ИИ-инструмент

Claude Code, Cursor и др.

  • Генерация кода приложения
  • Не гарантирует, что код безопасен

Это сторонний сервис. Любой код от любого ИИ стоит проверять - это общая практика индустрии, не особенность Вайбкода.

Вы

Пользователь

  • Какие данные доверить приложению
  • Какие права выдать ИИ-агенту и ключам
  • Кому открыть доступ к приложению
  • Проверка результата перед запуском
  • Пароль, двухфакторный вход, защита аккаунта
  • Соглашения и закон по данным ваших клиентов

Что мы взяли на себя

Работает без вашего участия и защищает по умолчанию.

Серверы Black Hole

По умолчанию все серверы запускаются в непубличном режиме - все порты закрыты, снаружи не зайти. Попасть на сервер могут только те, кому открыли доступ, и только через зашифрованный туннель.

Доступ только у вас

Каждое приложение по умолчанию доступно только владельцу. Расширение доступа - пошаговое: сотрудники, отдел, портал. Каждое изменение - в журнале.

Защита данных

Данные защищены при передаче по защищённому каналу и при хранении. Ключи к сторонним сервисам хранятся в зашифрованном виде.

Российская инфраструктура

Серверы Вайбкода работают на инфраструктуре в России. Битрикс24 Вайбкод - проект экосферы Битрикс24.

Безопасный вход

Вход устроен так, что секретные данные сессии не попадают в браузер посетителя. Попытки выдать себя за другого отсекаются на самом входе.

Гибкие ключи доступа

Можно ограничить права, задать срок действия, включить режим «только чтение» (когда нельзя ничего изменить или удалить) и отозвать ключ в любой момент.

Самое важное

Единый ключ Вайбкода - как ключ от сейфа

Чтобы ИИ-агент начал собирать для вас приложение, вы выдаёте ему единый ключ Вайбкода и передаёте его во внешний инструмент. По сути этот ключ - главный пропуск ко всему, к чему есть доступ у вас. Кто держит ключ - тот и распоряжается доступом. Относитесь к нему строже, чем к обычному паролю.

Как с ним обращаться

  • Сохраните при создании - ключ показывается один раз.
  • Храните в безопасном месте, о котором знаете только вы.
  • Никогда не вставляйте ключ в код и публичные ресурсы.
  • Не пересылайте в мессенджерах и по почте.
  • Один ключ - одна задача. Так его проще отозвать.
  • Меняйте и отзывайте: новый ключ время от времени, старые - отключайте.

Чем грозит кража ключа

Украденный ключ - это доступ к вашим данным. И через него злоумышленник может запускать ИИ-обращения и расходовать баланс - иногда раньше, чем вы успеете заметить.

Если ключ мог попасть не в те руки

Отзовите его в интерфейсе, создайте новый, обновите приложения, которые им пользуются, и просмотрите журнал запросов на незнакомые адреса.

Что зависит от вас

Шесть простых действий. Не требует навыков программирования.

1

Защитите аккаунт

Большинство учёток теряют не из-за дыр в платформах, а из-за слабых паролей и украденных доступов. Начинаем отсюда.

  • Включите двухфакторный вход (2FA). При входе нужен будет одноразовый код. Даже если пароль украдут - без второго шага в аккаунт не войти. Это касается обоих ваших аккаунтов - и в Битрикс24, и в Битрикс24 Вайбкод. Администратор может сделать 2FA обязательным для всей компании.
  • Поставьте надёжный, уникальный пароль. Не короче 10–12 символов, без имён и дат рождения, и не такой же, как на других сайтах.
  • Выходите из аккаунта на чужих устройствах. Кнопка «Выйти» - в меню в правом верхнем углу.
2

Выдавайте ИИ-агентам минимум прав

Это важнейшее правило вайбкодинга, и вот почему.

  • Агент получает ровно те же права, что и у вашей учётной записи. Представьте, что вы дали кому-то связку ключей: он сможет открыть все двери, к которым ключи подходят.
  • Минимальные права. Нужно читать сделки - не давайте право их удалять.
  • Режим «только чтение». Если приложение должно лишь показывать данные, включите READONLY - тогда оно физически не сможет ничего изменить.
3

Не вводите в ИИ лишнего

ИИ-инструменты - сторонние сервисы. Прежде чем вставлять что-то в запрос, подумайте, что именно вы передаёте.

  • Не вставляйте секреты - пароли, ключи, токены доступа.
  • Будьте осторожны с персональными данными клиентов. Если для задачи реальные данные не нужны - используйте тестовые.
  • Помните про свой ключ (BYOK). Если подключаете собственный ключ к OpenAI, Anthropic, Google и другим - вы платите провайдеру напрямую. Сторонний ИИ-сервис может использовать переданный ему контент по своим правилам - условия конкретного провайдера стоит прочитать заранее.
4

Проверьте приложение на уязвимости перед запуском

Хорошая новость для тех, кто не умеет читать код: проверку можно поручить ИИ. Плохая новость - нельзя поручить её тому же агенту, который писал приложение: он склонен «оправдывать» собственную работу и может убедительно сказать, что всё хорошо, даже если это не так.

  • Запустите отдельную, чистую проверку. Откройте новую сессию (или другой ИИ-инструмент / другую модель) и дайте агенту доступ только на чтение. Пусть он выступит в роли независимого аудитора безопасности.
  • Используйте понятный запрос: «Проверь это приложение и его сервер на типичные утечки и дыры. Найди и перечисли простым языком, без жаргона: 1) открытые точки доступа, которые работают без авторизации; 2) пароли, ключи или токены, зашитые прямо в код; 3) к каким данным приложение обращается и может ли менять или удалять лишнее; 4) кто сейчас может открыть приложение. По каждому пункту скажи, опасно это или нет, и что исправить.»
  • Проверьте настройки сами - это можно без кода. Посмотрите в интерфейсе: у ключа нет лишних прав, политика доступа точно не «Публичный» по ошибке, приложение ведёт себя как ожидалось на заведомо тестовых данных.
  • Для чувствительных задач - позовите человека. Если приложение работает с платежами, медицинскими или персональными данными клиентов, не полагайтесь только на ИИ-проверку - попросите специалиста или сертифицированного партнёра Битрикс24 посмотреть результат. Это не признак слабости, а нормальная зрелая практика.

Если вы не уверены - лучше всегда доверить аудит безопасности приложения специалисту по информационной безопасности или компании, которая оказывает такие услуги.

5

Откройте доступ осознанно

Когда приложение готово, решите, кто должен им пользоваться, и выставьте доступ по принципу «не больше, чем нужно».

6

Если публикуете приложение для других

Собираетесь выложить приложение в каталог или дать им пользоваться другим? Тогда вы становитесь его автором и обязаны приложить свои пользовательское соглашение и политику конфиденциальности, соответствующие законам РФ, - так, чтобы человек не мог начать пользоваться приложением, не согласившись с условиями.

Публичный режим

Что произойдёт, если включить «Публичный»

Самый открытый режим доступа называется «Публичный». Прежде чем включать его, важно понимать, что именно происходит.

Когда вы переключаете в «Публичный»

  • Приложение получает обычный адрес в интернете, доступный кому угодно.
  • Вход больше не требуется - без пароля, без приглашения, без портала.
  • Всё, что приложение умеет показывать и делать, становится доступно всем.
  • Боты постоянно сканируют интернет и находят открытые приложения за час. Ваше приложение может оказаться, например, в выдаче поисковых систем.

Поэтому

Сервер никогда не переходит в публичный режим сам - только после вашего явного подтверждения, и каждое такое изменение записывается в журнал.

Включайте «Публичный» только тогда, когда это действительно нужно - например, для общедоступной формы или лендинга, где нет чувствительных данных и нет доступа на изменение вашего портала. Если сомневаетесь - не включайте. Открыть доступ позже всегда проще, чем разбираться с последствиями утечки.

Что важно знать про ИИ

Эти вещи касаются любого ИИ-инструмента, включая Вайбкод. Без них дальше - никак.

ИИ действует от вашего имени

Что бы он ни делал - это считается вашими действиями. Если из-за слишком широких прав или нечёткого запроса агент сделает что-то нежелательное, отвечать будете вы. Поэтому права - по минимуму, контроль - за вами.

ИИ можно обмануть

Злоумышленник может подсунуть скрытую команду внутри страницы, документа или письма, которое читает ИИ. Это называется prompt-инъекция: модель видит «постороннюю» инструкцию и иногда её выполняет. Защита простая - давайте агенту минимум прав и не подключайте лишние внешние источники.

ИИ ошибается

Сгенерированный текст и код могут не соответствовать фактам - ИИ может «придумать» функцию или ошибиться в логике. Проверяйте результат и не доверяйте важные решения с юридическими или финансовыми последствиями только ИИ - последнее слово остаётся за человеком.

BitrixGPT

О нашей модели - отдельно

Встроенная модель платформы BitrixGPT работает в нашем контуре и не использует ваши данные для своего обучения. Ваши промты обрабатываются только для ответа на конкретный запрос и не уходят в обучающую выборку.

Если вы подключаете сторонние ИИ-сервисы через свой ключ (BYOK), политика этого сервиса - на стороне провайдера. Сами условия использования стоит прочитать у конкретного сервиса.

Чтобы вы вовремя замечали важное

Часть рисков снимает не настройка, а внимание - мы стараемся помочь его удержать.

Подтверждение в интерфейсе

Действия с риском требуют подтверждения. Включить «Публичный» режим, выпустить новый ключ с широкими правами, изменить настройки двухфакторного входа - в каждом случае мы покажем, что именно произойдёт, и попросим подтвердить.

Письма о важных событиях

О критичных операциях и подозрительных попытках входа стараемся уведомлять письмом на вашу почту. Если получили письмо о действии, которое не совершали - это повод сразу проверить аккаунт и при необходимости сменить пароль.

Чек-листы - на 5 минут перед запуском

Скопируйте, пройдите по пунктам - и закроете большую часть проблем заранее.

Перед запуском приложения

  • Запустил(а) независимую ИИ-проверку на ошибки (в отдельной сессии, доступ только на чтение).
  • Проверил(а) в интерфейсе: у ключа нет лишних прав.
  • Единый ключ Вайбкода хранится в надёжном месте, не в коде и не в переписке.
  • Политика доступа соответствует задаче. Публичный режим не включён по ошибке.
  • Приложение протестировано на заведомо тестовых данных.
  • Для чувствительных данных - результат посмотрел(а) специалист или партнёр.

Безопасность аккаунта и команды

  • Включён двухфакторный вход (по возможности - обязательный для всей компании).
  • Пароль надёжный и уникальный.
  • Права сотрудников выданы по принципу «минимум необходимого».
  • Настроено, кто может приглашать новых пользователей.
  • Время от времени проверяю и отзываю неиспользуемые ключи.
  • Команда знает, как выглядит фишинг (см. ниже).

Как распознать фишинг

Фишинг - попытка выманить пароль или данные через поддельные письма и сайты. Самый частый и эффективный способ взлома - и его легко заметить, если знать признаки.

!

Похожий, но не тот адрес

Например, bltrix вместо bitrix, ноль вместо буквы «O», лишний дефис.

!

Срочность и давление

«Срочно», «иначе доступ заблокируется сегодня», «осталось 5 минут».

!

Просьба перейти по ссылке и ввести пароль

Настоящие сервисы так не делают. Откройте сайт вручную через закладку.

!

Подозрительные вложения

Файлы .exe, .scr или с двойным расширением вроде document.pdf.exe.

Сомневаетесь - не переходите по ссылке из письма. Откройте сервис вручную через закладку или поисковую строку. Просьбу о деньгах или данных подтвердите по другому каналу - звонком или в рабочем чате.

Короткий словарь

Без жаргона. Если что-то на странице непонятно - скорее всего, объяснение здесь.

2FA (двухфакторный вход)

Вход в два шага: пароль плюс одноразовый код.

Единый ключ Вайбкода

Главный пропуск, который вы выдаёте ИИ-агентам. Открывает доступ ко всему, к чему есть доступ у вас.

Права (скоуп) ключа

Что именно разрешено пропуску - например, только читать CRM.

Prompt-инъекция

Спрятанная в тексте команда, которой можно обмануть ИИ.

BYOK

«Свой ключ» - использование вашего личного ключа к стороннему ИИ-сервису.

Оператор персональных данных

Тот, кто решает, какие данные о людях собирать и зачем (в случае ваших клиентов - это вы).

Серверы Black Hole

Серверы Вайбкода без публичного адреса в интернете - закрыты по умолчанию, доступны только через зашифрованный туннель.

Публичный режим

Доступ к приложению из интернета без входа, для любого посетителя.

Если что-то пошло не так

Спокойный и быстрый план на три случая.

Подозреваете, что взломали аккаунт или утёк ключ

Смените пароль, включите 2FA, отзовите подозрительные ключи и выйдите из всех сессий. Затем сообщите в поддержку через форму обратной связи. Чем быстрее - тем лучше.

Заметили проблему в своём приложении

Лишний доступ, странное поведение, неожиданный счёт за ИИ-запросы - сузьте политику доступа или временно переведите приложение в режим «только чтение», отзовите лишние права у агента и ключей, проверьте журнал доступа.

Нашли уязвимость в самой платформе

Пожалуйста, оперативно пришлите информацию о ней нам на почту bugbounty@bitrix.ru. Не раскрывайте уязвимость публично до её устранения - мы со своей стороны постараемся отреагировать оперативно.

За помощью пишите через форму обратной связи в личном кабинете - это самый быстрый канал.