Настройка интеграции Битрикс24 с OAuth-провайдерами
Регистрация на корпоративном портале с логином и паролем — барьер. Сотрудник забывает пароль, восстанавливает, забывает снова. Для порталов с внешними пользователями (клиенты, партнёры) проблема острее: человек не хочет заводить ещё одну учётку. Вход через Google, Facebook или Apple ID снижает трение: пользователь нажимает кнопку, подтверждает доступ — и он внутри. В Битрикс24 за это отвечает модуль socialservices.
Модуль socialservices
Модуль socialservices управляет авторизацией через внешних OAuth-провайдеров. Он входит в стандартную поставку Б24 (и облако, и коробка). Модуль поддерживает провайдеров из коробки:
- Google — OAuth 2.0 через Google Cloud Console
- Facebook (Meta) — OAuth через Facebook for Developers
- Apple — Sign in with Apple через Apple Developer Portal
- Яндекс, Mail.ru, ВКонтакте — для русскоязычной аудитории
- Microsoft Live — OAuth через Azure App Registration
Каждый провайдер подключается отдельно. Для каждого нужно зарегистрировать приложение на стороне провайдера и получить Client ID и Client Secret.
Настройка Google OAuth
Подключение через Google — самый частый сценарий. Порядок действий:
- В Google Cloud Console создать проект (или использовать существующий).
- Включить Google+ API / People API.
- В разделе Credentials создать OAuth 2.0 Client ID. Тип: Web Application.
- Указать Authorized redirect URI:
https://your-domain.bitrix24.by/bitrix/tools/oauth/google.php(для коробки) или соответствующий URL облака. - Скопировать Client ID и Client Secret.
- В Б24: Настройки → Социальные сервисы → Google — вставить Client ID и Client Secret, включить авторизацию.
После активации на странице логина Б24 появляется кнопка «Войти через Google». При первом входе пользователю предлагается связать Google-аккаунт с существующей учёткой или создать новую.
Настройка Apple Sign-In
Apple требует дополнительных шагов:
- Регистрация App ID и Services ID в Apple Developer Portal.
- Генерация Private Key для аутентификации (ключ используется для создания Client Secret — Apple не выдаёт статический секрет, секрет генерируется как JWT).
- Указание Return URL и Domain Verification — Apple проверяет домен через DNS-запись.
Apple передаёт имя пользователя только при первом входе. Если данные не сохранены с первого раза — повторно Apple их не отдаст. Это нужно учитывать при обработке.
Обработка токенов и безопасность
При OAuth-авторизации Б24 получает access token и (опционально) refresh token от провайдера. Access token используется для запроса профиля пользователя (email, имя, аватар). После получения профиля Б24 создаёт сессию — дальнейшая работа идёт через внутреннюю авторизацию Б24, OAuth-токен больше не используется.
Рекомендации по безопасности:
- Ограничить список провайдеров — не включать все подряд. Для корпоративного портала достаточно Google и Microsoft.
- Запретить автосоздание учёток — если портал закрытый, новый пользователь через OAuth не должен получать доступ автоматически. Настраивается в модуле socialservices.
-
Привязка к домену — разрешить OAuth-вход только для email из корпоративного домена (
@company.com).
Связывание учёток
Если у пользователя уже есть учётка в Б24, при первом OAuth-входе система предлагает связать аккаунты. После связывания пользователь может входить как по логину/паролю, так и через провайдера. Один пользователь может привязать несколько провайдеров одновременно.
Управление привязками — в профиле пользователя: Профиль → Привязка к социальным сетям.
Что настраиваем
- Регистрация OAuth-приложений у провайдеров (Google, Facebook, Apple)
- Подключение модуля socialservices и ввод Client ID / Client Secret
- Настройка redirect URI и верификация домена
- Политика автосоздания учёток и привязки к существующим пользователям
- Ограничение OAuth-входа по домену email
- Тестирование потока авторизации для каждого провайдера