Hardening de Segurança para Bitrix24 Self-Hosted: Checklist de 25 Pontos

Por que o Bitrix24 On-Premise (Alaio) Exige Hardening Explícito

Implantações self-hosted do Bitrix24 transferem toda a responsabilidade de segurança para a sua equipe, e auditorias em instalações ativas revelam consistentemente sete lacunas críticas - incluindo ambientes de SO desatualizados, 2FA desabilitado, ausência de cabeçalhos HSTS e acesso irrestrito ao painel de administração - que precisam ser corrigidas de forma explícita.

Migrar para um CRM self-hosted confere soberania total sobre os dados, mas transfere toda a responsabilidade de segurança para a sua equipe. Implantações em nuvem contam com patches gerenciados pelo fornecedor e controles de perímetro; portais on-premise não. Com base em auditorias de segurança realizadas em instalações on-premise ativas do Bitrix24, as descobertas críticas mais frequentes são:

• SO e ambiente web desatualizados (nginx, Apache, PHP, banco de dados)
• Exibição de erros PHP habilitada em produção
• Autenticação de dois fatores (2FA) desabilitada para todos os usuários
• Ausência de cabeçalhos HSTS e redirecionamento HTTP → HTTPS incompleto
• Painel de administração acessível a partir de qualquer endereço IP
• Módulos do Bitrix24 desatualizados ou sem revisão
• Arquivos de núcleo modificados sem documentação

O checklist abaixo mapeia diretamente essas descobertas e ordena os itens por prioridade: primeiro os críticos, depois os altos, e em seguida os médios/baixos.

Para entender por que organizações optam pelo on-premise, consulte Self-Hosted CRM: Why Choose Bitrix24 On-Premise for Data Sovereignty.

Como o Checklist Está Organizado

Este checklist abrange cinco camadas de segurança - SO e rede, servidor web, banco de dados, aplicação e controle de acesso - ordenadas do perímetro mais externo até os controles mais internos, com os itens de cada camada sequenciados por prioridade: Crítico primeiro, depois Alto, Médio e Baixo.

As cinco camadas de segurança cobertas por este checklist e como elas se relacionam entre si. Os controles de cada camada aparecem em ordem de prioridade dentro de sua seção.

O modelo de segurança em camadas para um servidor Bitrix24 self-hosted: o SO e a rede formam o perímetro externo, o servidor web e o banco de dados ocupam as camadas intermediárias, e a camada de aplicação do Bitrix24 - incluindo controle de acesso e monitoramento - compõe os anéis mais internos.

flowchart TD
    OS[1. OS & Network Layer]
    WEB[2. Web Server Layer\nnginx / Apache]
    DB[3. Database Layer\nMySQL / Percona]
    APP[4. Application Layer\nBitrix24 Core & Modules]
    IAM[5. Access Control & Monitoring]

    OS --> WEB
    WEB --> DB
    DB --> APP
    APP --> IAM

Camada 1 - SO e Rede (Verificações 1-5)

A Camada 1 contém 5 controles - atualização para um SO com suporte ativo, automação de patches, configuração de firewall com blocklist de IPs, restrição de portas de entrada a 80/443 mais SSH de IPs confiáveis, e desabilitação do login SSH como root - com as verificações 1 e 2 classificadas como Críticas e as verificações 3-5 como prioridade Alta.

Por que isso importa: Em uma auditoria representativa de um portal Bitrix24 em produção, o servidor executava CentOS 7 com um ambiente web na versão 7.5.1 - três versões principais abaixo da atual 9.0.7. O próprio SO apresentava CVEs conhecidas sem correções disponíveis no branch end-of-life. O caminho recomendado é migrar para uma versão de SO com suporte ativo e reimplantar utilizando a imagem de máquina virtual oficial do Bitrix24, que já é entregue com um ambiente pré-configurado com hardening.

Camada 2 - Servidor Web: nginx e Apache (Verificações 6-10)

A Camada 2 cobre 5 controles de servidor web - atualização do nginx e do Apache, adição de HSTS com max-age de 31.536.000 segundos, aplicação de redirecionamento HTTP para HTTPS, habilitação de proteção contra clickjacking e remoção de tokens de versão do servidor - com a verificação 6 classificada como Crítica e as verificações 7-8 como prioridade Alta.

HSTS na prática: A ausência do HSTS abre espaço para ataques de downgrade de protocolo. Adicionar o cabeçalho leva menos de cinco minutos - basta editar o bloco server do nginx para o virtual host HTTPS do portal. Verifique se o redirecionamento HTTP → HTTPS existente é incondicional; uma misconfiguration comum deixa o acesso direto via HTTP por endereço IP sem redirecionamento.

Camada 3 - Banco de Dados (Verificações 11-15)

A Camada 3 contém 5 controles de banco de dados - atualização do MySQL/Percona, desabilitação de local_infile e do Query Cache, aumento do innodb_log_file_size para pelo menos 256 MB e correção de erros de estrutura do banco - com a verificação 11 classificada como Crítica e as verificações 12-15 todas como prioridade Alta.

De uma auditoria real: Um banco de dados de produção de 28 GB executava Percona Server 5.7 (recomendado: 8.0), com local_infile = ON, query cache habilitado e innodb_log_file_size definido como 64 MB. A verificação de sistema do Bitrix24 reportou seis erros de estrutura no banco de dados, cinco dos quais podiam ser corrigidos automaticamente. A combinação de um engine desatualizado com parâmetros mal configurados criava tanto um risco de estabilidade quanto um risco de segurança.

Observação: Sempre realize um backup completo do banco de dados antes de alterar os parâmetros de log do InnoDB. Redimensionar o innodb_log_file_size exige um desligamento limpo do servidor e a remoção dos arquivos em versões mais antigas do MySQL.

Camada 4 - Camada de Aplicação do Bitrix24 (Verificações 16-21)

A Camada 4 cobre 6 controles de aplicação - atualização do PHP, desabilitação de display_errors no php.ini, atualização e remoção de módulos não utilizados, auditoria de arquivos de núcleo modificados, revisão de componentes de terceiros e elevação do nível de Proteção Proativa para Alto - com a verificação 16 classificada como Crítica e as verificações 17 e 21 como prioridade Alta.

Exposição de erros PHP - uma descoberta crítica: Com display_errors = On em produção, uma requisição que dispara um erro pode vazar caminhos completos do sistema de arquivos, fragmentos de consultas SQL e detalhes internos de configuração para qualquer visitante. Isso é classificado como uma descoberta de alta severidade porque transforma erros rotineiros da aplicação em dados ativos de reconhecimento para um atacante.

Integridade dos arquivos de núcleo: Em uma auditoria, 23 arquivos de um total de 109.188 haviam sido modificados (0,02%), abrangendo os módulos de CRM, IM, extranet, localização, rede social, tarefas e votação. Embora o nível geral de modificação tenha sido classificado como "baixo", alterações não documentadas nos arquivos de núcleo representam um risco na cadeia de fornecimento - elas podem quebrar na próxima atualização da plataforma ou ocultar lógica de backdoor. Cada arquivo modificado deve ser comparado com a baseline do fornecedor e justificado em um registro de alterações ou revertido.

Se você está planejando uma instalação nova ou migração para on-premise, o Bitrix24 Onboarding Questionnaire: 50+ Questions to Ask Before You Start cobre as decisões de infraestrutura que afetam sua baseline de segurança desde o primeiro dia.

Camada 5 - Controle de Acesso e Autenticação (Verificações 22-25)

A Camada 5 contém 4 controles - habilitação de 2FA para todos os usuários, restrição do acesso ao painel de administração a uma allowlist de IPs, configuração de RBAC por função e agendamento de execuções recorrentes do Security Scanner - com as verificações 22-24 classificadas como Alta e a verificação 25 como prioridade Média.

O 2FA é o controle de maior retorno sobre o investimento: É classificado como "alta importância / baixo esforço" - a implementação leva aproximadamente 30 minutos para todo o portal utilizando o aplicativo OTP do Bitrix24. Ainda assim, na prática, ele frequentemente está desabilitado em portais de produção, deixando ataques de credential stuffing sem bloqueio.

Restrição de IP no painel de administração: Limitar o acesso a /bitrix/admin/ (e idealmente ao portal inteiro) a uma VPN ou ao intervalo de IPs do escritório elimina toda uma classe de ataques de força bruta e varredura de exploits direcionados a interfaces de administração expostas. Isso é simples de implementar no nginx com um bloco allow/deny.

O RBAC vai além da segurança: A configuração adequada de funções - gerentes visualizam apenas seus próprios negócios, líderes de equipe visualizam seu departamento, administradores visualizam tudo - é também um requisito de governança de dados exigido pela maioria das regulamentações regionais de proteção de dados. Para exemplos de configuração de funções específicas para CRM, consulte o artigo Bitrix24 Implementation Cost & Timeline: Real Data from 1,300+ Projects, que aborda decisões de escopo que afetam a complexidade das funções.

Tabela de Resumo por Prioridade

A tabela de resumo por prioridade organiza todas as 25 verificações em quatro níveis: 4 itens Críticos (verificações 1, 6, 11, 16) que exigem uma janela de manutenção planejada, aproximadamente 20 itens Altos concluíveis em 1-3 dias, itens Médios executáveis em paralelo e itens Baixos agendáveis conforme a conveniência.

Use esta tabela para sequenciar o trabalho de remediação. Resolva todos os itens Críticos antes de avançar para os Altos.

Executando a Auditoria de Segurança Nativa do Bitrix24

O Bitrix24 on-premise inclui quatro ferramentas de diagnóstico nativas - System Check, Security Scanner, Quality Monitor e configurações de Proteção Proativa - todas acessíveis pelo painel de administração e que devem ser executadas antes e depois de aplicar o checklist de hardening, a fim de estabelecer uma baseline e confirmar a remediação.

O Bitrix24 on-premise inclui diversas ferramentas de diagnóstico acessíveis pelo painel de administração:

1. System Check (/bitrix/admin/site_checker.php) - valida versões do ambiente web, configuração do PHP e estrutura do banco de dados.
2. Security Scanner - verifica assinaturas de ameaças conhecidas. Observação: se o scanner encerrar prematuramente com um erro de status, resolva primeiro os problemas de configuração do PHP e de cache, depois execute novamente. Se o problema persistir após as atualizações do ambiente, abra um chamado no suporte do Bitrix24.
3. Quality Monitor - detecta arquivos de núcleo modificados em todos os módulos instalados.
4. Configurações de Proteção Proativa - configura regras de nível WAF, define o nível de segurança para o grupo de administradores e habilita o módulo de antivírus web.

Execute todas as quatro ferramentas antes e depois de aplicar o checklist para estabelecer uma baseline e confirmar a remediação.

Após o Hardening: Manutenção Contínua

Manter uma postura de hardening no Bitrix24 on-premise exige seis processos recorrentes: aplicação mensal de patches na plataforma e nos módulos, atualizações do ambiente web em até 90 dias após versões de segurança relevantes, revisões semanais da blocklist de IPs, revisões trimestrais de acesso, testes mensais de restauração de backup e uma auditoria de segurança completa anual.

O hardening de segurança é uma atividade pontual; manter a postura exige processo contínuo:

• Cadência de patches: Verifique atualizações da plataforma e dos módulos do Bitrix24 pelo menos mensalmente.
• Atualizações do ambiente web: Acompanhe as notas de versão do nginx, Apache, PHP e banco de dados; planeje as atualizações em até 90 dias após um lançamento relevante de segurança.
• Higiene da blocklist de IPs: Revise e atualize as blocklists do firewall semanalmente; considere integrar um feed de inteligência de ameaças.
• Revisão de acessos: Revisão trimestral das funções de usuários e das listas de acesso ao painel de administração; desative promptamente as contas de funcionários desligados.
• Verificação de backups: Teste de restauração mensal a partir do backup - um backup que nunca foi restaurado é não comprovado.
• Re-auditoria: Agende uma auditoria de segurança completa anualmente, ou após qualquer personalização significativa ou alteração de infraestrutura.

Para equipes avaliando se o on-premise é a escolha certa em comparação com a nuvem, o artigo Bitrix24 vs HubSpot: An Honest Comparison for SMBs inclui uma análise de custo total e responsabilidade de segurança relevante para essa decisão.

Trabalhando com um parceiro para o self-hosting. Quer o controle do Bitrix24 self-hosted sem precisar operar o servidor por conta própria? A ACP Group pode implantá-lo e operá-lo para você - consulte managed self-hosted Bitrix24, support & maintenance plans ou solicite um turnkey deployment quote.