Матрица прав CRM Битрикс24: менеджер, РОП и интеграция
Менеджер создаёт сделку, руководитель проверяет работу команды, интеграция обновляет карточки. Им нужны разные действия и разная область данных. Зафиксируйте это в одной матрице до выдачи прав.
Вопрос «какие права дать менеджеру» часто возникает, когда он уже потерял карточку из виду. Удобнее начать с работы команды: кто отвечает за сделку, кто видит соседнюю воронку и что именно делает подключённая система. Это позволит проверить настройки без выдачи широкого доступа на всякий случай.
Составьте матрицу по действиям и объектам
В CRM права задаются для контактов, компаний, лидов, сделок в разных воронках и других элементов. Для них отдельно выбирают чтение, добавление, изменение, удаление, экспорт и импорт. Сделка может быть доступна в одной воронке и недоступна в другой; для стадий существуют дополнительные правила. Поэтому строка «доступ к CRM» в рабочей таблице слишком общая.
Ниже — пример решения для обсуждения с владельцем CRM, а не готовые значения переключателей. Замените «свои» и «команды» на реальные процессы компании. Особенно внимательно согласуйте экспорт, удаление и право изменять настройки.
| Объект и действие | Менеджер | РОП | Интеграция |
|---|---|---|---|
| Сделки: чтение | Свои или назначенная зона работы | Сделки своей команды, если это требуется для контроля | Только элементы, нужные сценарию; проверить фактическую видимость |
| Сделки: добавление | Если создаёт сделки вручную | Если создаёт сделки в своей работе | Только если интеграция создаёт сделки |
| Сделки: изменение и стадия | Свои сделки и разрешённые переходы | Сделки команды и нужные переходы | Только действия, которые действительно выполняет метод |
| Контакты и компании | Те связи, которые нужны при работе со сделкой | Те связи, которые нужны для контроля команды | Проверить отдельно по каждому типу объекта |
| Экспорт, импорт, удаление в интерфейсе | По отдельному решению владельца CRM | По отдельному решению владельца CRM | Права интерфейса проверять отдельно; для API решает доступ к данным и методам |
| Настройки CRM и права | Не требуется для обычной работы | Только если РОП реально администрирует CRM | Не выдавать для обычного обмена данными |
Если сотрудник создаёт карточку, проверьте и чтение: право «Добавление» само по себе не даёт увидеть созданный элемент. Для работы с делами тоже важно право на саму карточку: просмотр дела связан с чтением элемента, создание и изменение дела — с его изменением. Подробности по одной пропавшей карточке есть в инструкции по видимости сделки.
Настройте роли и проверьте их пересечение
Администратор или сотрудник с правом «Разрешить изменять настройки» открывает CRM → Ещё → Настройки → Права доступа к CRM. Там можно сравнить роли, назначить их сотрудникам и уточнить права по воронкам и стадиям. Ролевая модель доступна не на каждом тарифе; перед работой проверьте возможности вашего портала.
У сотрудника бывает несколько ролей. При их пересечении более широкое право может открыть доступ, который вы закрыли в другой роли. Но детализированное ограничение для стадии может перекрыть разрешение, заданное выше для воронки. Выберите сотрудника в настройках прав, посмотрите все назначенные ему роли, а затем откройте контрольные карточки на нужных стадиях от его имени. Это надёжнее, чем считать одну колонку матрицы окончательным ответом.
Для РОПа проверьте отдельной карточкой сделки подчинённого и работу с делами. Для менеджера — свою и чужую сделку, а также соседнюю воронку. Для команды из двух процессов полезна проверка границы между воронками. Права на CRM-формы настраиваются отдельно: доступ к сделкам не означает право менять форму.
Для интеграции проверьте две границы доступа
Первая граница — разрешения приложения или вебхука на методы REST API, в том числе область crm. Вторая — права пользователя, от имени которого выполняется запрос, к конкретному элементу CRM. Одно не расширяет другое. Схема авторизации зависит от типа подключения, поэтому сначала зафиксируйте, кто выполняет вызовы и какие методы нужны.
Например, если интеграция только читает сделки для отчёта, не закладывайте в её роль изменение и удаление. Запрет «Экспорта» в интерфейсе сам по себе не закрывает программное получение доступных записей: метод crm.item.list может вернуть их через API. Для такого подключения ограничивайте чтение, scope и набор используемых методов и данных. Если интеграция создаёт дело в сделке, отдельно проверьте право изменения соответствующего элемента. Список элементов API может не содержать недоступные карточки; пустой результат не всегда означает, что в CRM нет данных. Проверьте тестовый ID в разрешённой и запрещённой области.
Если речь о подключении внешнего ИИ, добавьте к матрице ещё источник данных, разрешённые действия и порядок отзыва доступа. Подробный разбор — в статье о безопасном доступе ИИ к CRM. MCP TrueTell для настройки и диагностики CRM находится в разработке. Мы можем обсудить, какую минимальную область данных дать будущему сценарию диагностики; готовую автоматическую проверку прав или подписку пока не заявляем.
Пройдите три контрольных случая под реальными ролями
Создайте согласованные тестовые карточки без данных клиентов. Для каждой роли запишите пользователя или способ авторизации, ID элемента, ожидаемое действие и результат. Проверяйте положительный и отрицательный случай: слишком широкий доступ тоже ошибка матрицы.
| Кто проверяет | Разрешённый случай | Граница доступа |
|---|---|---|
| Менеджер | Своя сделка: открыть и изменить | Чужая сделка и соседняя воронка: проверить ожидаемое ограничение |
| РОП | Сделка подчинённого: открыть, посмотреть дело, выполнить нужное изменение | Сделка другого отдела: проверить согласованную границу |
| Интеграция | Один разрешённый вызов на тестовом элементе и ожидаемый результат | Чужой элемент или запрещённое действие: проверить отказ либо отсутствие в выборке |
После исправления роли повторите оба случая. Если этап приёмки CRM ещё впереди, добавьте эти результаты к маршруту контрольной заявки. В журнале достаточно ID тестовой карточки, роли, даты и результата; токены, клиентские данные и переписку туда не переносите.
Частые вопросы о правах CRM Битрикс24
Можно ли создать сделку и сразу не увидеть её?
Да. В Битрикс24 право «Добавление» и право «Чтение» задаются отдельно. Если сотруднику разрешено создавать элемент, но не читать его, после создания карточка может быть ему недоступна.
Достаточно ли РОПу права на чтение всех сделок?
Зависит от его работы. Для просмотра дел в CRM нужно право чтения соответствующей карточки. Создание и изменение дел связано с правом изменения элемента. Отдельно проверьте воронки и стадии, с которыми руководитель работает.
Если у сотрудника две роли, какая действует?
При пересечении ролей более широкое право обычно даёт доступ, но детализированное ограничение на стадии может перекрыть разрешение на уровне воронки. Проверьте назначенные роли и итоговый доступ на контрольных карточках каждой нужной стадии.
Разрешение crm у приложения даёт доступ ко всем сделкам?
Нет. Scope crm разрешает обращения к методам CRM в пределах прав пользователя, от имени которого выполняется вызов. Для интеграции нужно проверить схему авторизации, назначенные права CRM и конкретный метод.
Может ли MCP TrueTell сейчас проверить матрицу прав автоматически?
Такую готовую функцию мы не заявляем: MCP TrueTell для настройки и диагностики CRM находится в разработке. Можно обсудить требуемые проверки и минимальный набор прав для будущего сценария.
Справка Битрикс24 и REST API проверены 31 октября 2026 года. Скриншоты взяты из официальной справки. На доступном нам тестовом портале раздел прав для текущей учётной записи закрыт, поэтому настройки и результат на вашем портале нужно проверить отдельно.