Bytebase: кто меняет базу, кто что видит и что платное

Кто вчера менял боевую базу

Интернет-магазин, CRM или своя система. Разработчик чинит баг и заходит в боевую базу напрямую, подрядчик получил пароль на месяц и никому его не вернул. Утром в таблице заказов не хватает сорока строк, а кто и когда выполнил запрос, не знает никто.

Bytebase ставят между людьми и базами. Человек входит в веб-интерфейс под своей учёткой, меняет схему и данные через заявку, читает данные через встроенный SQL-редактор. К самой базе ходит уже Bytebase. В LibreDB Studio тоже один вход, но ролей две и согласования изменений нет.

Проверял 10.11.2026 по репозиторию и документации. Проект создан 27.01.2021, написан на Go, около 14,7 тысячи звёзд, 105 участников, 137 релизов. Последний релиз 3.24.1 вышел 05.11.2026, до него 3.24.0 от 22.10 и 3.23.1 от 08.10: примерно раз в две недели. Последний коммит от 09.11.2026.

Лицензия и что за деньги

Файл LICENSE это не чистый MIT. Основная часть кода открыта по MIT Expat. Каталоги с «enterprise» в названии и код, который включает функции, роли и тарифы, лежат под LICENSE.enterprise: в продакшене только по подписке, а для разработки и тестов можно без неё. Поэтому GitHub показывает лицензию как «Other». Я не юрист и договор с Bytebase не читал.

По файлу backend/enterprise/plan.yaml и странице тарифов:

• Community, бесплатно: до 10 баз и 20 пользователей. Проверка SQL по 200+ правилам, GitOps, откат UPDATE и DELETE, веб-редактор, встроенные роли, история запросов.
• Pro, 20 долларов за пользователя в месяц, только облако. Вход через Google и GitHub, группы, журнал на 7 дней.
• Enterprise, цена по запросу: настраиваемое согласование, маскирование, доступ на время, OIDC и LDAP, двухфакторная защита, журнал без срока хранения.

Для установки у себя подходят Community и Enterprise, облако стоит в Google Cloud США. На Community можно взять пробу Enterprise на 14 дней. Выходит, согласование, маскирование и журнал из заголовка в бесплатной части отсутствуют. Как оплачивать Enterprise из России, я не проверял.

Какие базы и какой сервер

Поддерживаются PostgreSQL от 12, MySQL от 5.7, MariaDB, Oracle, SQL Server, MongoDB, Redis, ClickHouse, Snowflake и другие. SQLite в списке нет. Файловая 1С (файл 1Cv8.1CD) к Bytebase не подключается. Клиент-серверная 1С лежит на PostgreSQL или SQL Server, СУБД подключить можно, но данные 1С правят через неё саму, права там задаются её ролями, как в статье про права доступа в 1С. Такую связку я не пробовал.

Ставится образом Docker (от 20.10.24, linux amd64 или arm64) или через Helm. По документации, для 5 пользователей хватит 1 процессора и 2 ГБ памяти, для 20 нужно 2 процессора и 4 ГБ. Своё хранилище есть: заявки, метаданные и журнал лежат в PostgreSQL. Встроенный идёт в комплекте, для продакшена советуют внешний PostgreSQL 14 и выше и диск от 20 до 100 ГБ. Высокая доступность требует внешней базы и лицензии, где она включена.

Где лежат пароли от ваших баз

Чтобы ходить в базы, Bytebase хранит логин и пароль каждого подключения. Я прочитал код. В backend/store/instance.go пароль перед записью проходит через функцию obfuscate из credential.go: XOR с ключом auth_secret и base64. Ключ лежит в той же метабазе, в таблице server_config. Шифрованием это назвать нельзя: кто получил дамп метабазы, получает и ключ, и пароли ко всем подключённым базам. Это чтение исходников, в работе я не проверял.

Вокруг этого нужны закрытый порт метабазы, минимум людей с доступом к серверу, на каждой боевой базе отдельная служебная учётка с нужными правами и SSL или SSH-туннель. В Enterprise пароли можно брать из внешнего менеджера секретов: Vault, AWS, GCP или Azure. Свои пароли от самого Bytebase держите в менеджере вроде Passbolt.

Журнал и 152-ФЗ

Журнал пишется в таблицу audit_log метабазы. В записи: кто действовал, какой метод API, над каким ресурсом, текст запроса и ответа с вырезанными секретами, код результата, время, IP и браузер. Фиксируются входы, смена ролей и SQL-запросы из редактора. Срок хранения зависит от тарифа: в Community журнала нет, в Pro 7 дней, в Enterprise без ограничения.

Запросы попадают в журнал целиком. Условие WHERE phone = '...' окажется там вместе с телефоном, и сам журнал станет местом с персональными данными. Это мой вывод из формата записи. Доступ к журналу ограничьте. Есть потоковый вывод в stdout в JSON для Splunk, Elastic, Loki: я бы включил его и хранил копию отдельно от сервера Bytebase.

Часть 2 статьи 19 закона 152-ФЗ называет среди мер защиты обнаружение несанкционированного доступа к персональным данным, правила доступа к ним и учёт действий с ними. Журнал Bytebase помогает с учётом и правилами, остальное остаётся на вас. Облако Bytebase находится в США, для баз с персональными данными россиян подходит только своя установка, а про место хранения читайте в статье про локализацию баз.

Что важно учесть

Маскирование и журнал работают для того, что идёт через Bytebase. Если у разработчика остался прямой пароль к боевой базе, он обойдёт всё. Порт СУБД придётся закрыть на файрволе для всех адресов, кроме сервера Bytebase: сама программа этого не сделает.

Bytebase становится единой точкой доступа и мишенью: упал он, и люди не могут работать, взломан он, и под угрозой все подключённые базы. Маскирование по документации применяется к результатам запросов в SQL-редакторе, а выгрузки и отчёты мимо редактора остаются за вами. Для MongoDB и Elasticsearch глобальные правила маскирования не поддерживаются.

Я ничего не запускал: маскирование, согласование и русский интерфейс не проверял, сведения взяты из кода, документации и страницы тарифов.

Что можно сделать уже сейчас

Выпишите, у кого есть прямые пароли к боевым базам. Замените их одной служебной учёткой на подключение и закройте порт на файрволе.

Поднимите Bytebase на копии базы без живых клиентов. Проверьте три вещи: правила SQL ловят опасный запрос, телефон в результате скрыт, запрос виден в журнале.

Распишите роли: разработчик меняет схему через заявку, подрядчик читает только тестовую базу, боевые данные видят двое. С ответственным за персональные данные решите, какие столбцы считать персональными.

Установку на ваш сервер, роли, согласование, маскирование и журнал я настраиваю в рамках услуги по кибербезопасности.

Частые вопросы

Хватит ли бесплатной версии?

Для небольшой команды, которой нужны проверка SQL, откат и роли, хватит. Согласования, маскирования и журнала в ней нет.

Подойдёт ли для 1С?

Для файловой 1С нет. Для клиент-серверной СУБД подключить можно, но данными и правами 1С управляют внутри неё, и Bytebase там обычно не нужен.

Коротко о главном

Bytebase даёт компании один вход к базам с проверкой изменений, ролями, маскированием и журналом. Бесплатно есть проверка SQL и роли, а согласование, маскирование и журнал стоят денег. Пароли к вашим базам лежат в его метабазе в слабо защищённом виде, поэтому прятать её надо так же, как сами базы.

Если хотите, чтобы я установил Bytebase на ваш сервер, расписал роли и настроил маскирование и журнал, напишите мне в Telegram кодовое слово «ШЛАГБАУМ».