WC1CзакрытнаWordPress.org:чтоделатьмагазинунаэтомплагине

Плагин WC1C закрыт на WordPress.org 30 декабря 2024 года, в причине указано Security Issue. Он не удалится с вашего сайта, и обмен сам не остановится, но обновления из каталога больше не придут. При этом проект жив: авторы ведут новый репозиторий на GitHub, версия 0.24.6 вышла 5 сентября 2026 года.

Ниже что это значит для магазина, что проверить сегодня и как перейти на другой обмен без дублей. Часть выводов взята из работы с магазином на этом плагине.

Почему WC1C закрыт на WordPress.org

На странице плагина написано три вещи: закрыт 30 декабря 2024 года, недоступен для скачивания, причина Security Issue. Подробностей WordPress.org не даёт.

В базах уязвимостей есть CVE-2024-11375: отражённый XSS во всех версиях до 0.23.0 включительно, средний уровень, оценка 6.1. Простыми словами: злоумышленник готовит ссылку, и если вошедший администратор по ней перейдёт, в его браузере выполнится чужой скрипт. Запись опубликована в январе 2025 года, Wordfence указывает, что исправления нет. Прямой связи этой записи с закрытием плагина никто не подтверждал, но по времени они рядом.

Дальше история такая. Старый репозиторий wc1c-main авторы архивировали 23 июля 2026 года с пометкой использовать новый, wc1c-maincore. В журнале изменений новой версии про безопасность ни слова, только исправления и стабильность. Поэтому закрыта ли уязвимость в 0.24.x, я подтвердить не могу.

WC1C не работает: это из-за закрытия?

Нет. Само закрытие ничего не ломает. Если обмен упал, ищите причину в том, что менялось: обновление WordPress, WooCommerce или PHP, переезд сервера, смена домена, новая защита от ботов.

Порядок такой: посмотрите, что 1С пишет в журнале обмена, откройте адрес обмена снаружи, посмотрите лог PHP на время запуска. Частые случаи разобраны в статье про ошибки обмена 1С с сайтом и в чек-листе.

Как понять, что у вас стоит WC1C

• В разделе «Плагины» есть WC1C, рядом указана версия.
• В адресе обмена в 1С есть параметр wc1c-receiver.
• В базе у товаров есть метаполе _wc1c_external_id, там лежит GUID из 1С. Так было на магазине, который я разбирал, на вашей версии проверьте.

Обмен с 1С мог настраивать прошлый подрядчик, поэтому посмотрите своими глазами, а не по памяти.

Что сделать сегодня

1. Снимите копию сайта и базы. Всё дальнейшее делается на копии.
2. Запишите версию плагина. Версия 0.23.0 и более ранние попадают в запись об уязвимости.
3. Проверьте пользователя обмена. Отдельный логин, длинный пароль, минимум прав. Обмену не нужен администратор.
4. Договоритесь с администраторами. Уязвимость срабатывает по ссылке, поэтому не открывайте подозрительные ссылки, пока вошли в админку.
5. Проверьте, открываются ли файлы обмена по прямой ссылке. На nginx файл .htaccess не работает, и защита, рассчитанная на него, там не действует.

Подставьте папку, куда ваш плагин складывает обмен:

curl -I https://ваш-сайт.ru/wp-content/uploads/папка-обмена/offers.xml

Ответ 200 значит, что файл доступен всем, а в нём цены и остатки. Закройте его на сервере:

location ~* /wp-content/uploads/.*/(import|offers).*\.xml$ {
    deny all;
}

Можно ли оставить WC1C и ничего не менять

Какое-то время можно. Для атаки по этой записи нужен клик вошедшего администратора по подготовленной ссылке, поэтому главное сейчас закрыть доступы и предупредить людей с правами.

Второй риск медленнее: закрытая версия не получает обновлений, а WordPress, WooCommerce и PHP идут дальше. Однажды обновление сломает обмен. Рабочий план такой: закрыть доступы сегодня, спокойно выбрать замену на копии и не делать крупных обновлений PHP и WooCommerce на рабочем сайте, пока новый обмен не проверен. Обновления безопасности ставьте, сначала проверив их на копии.

Какие есть альтернативы WC1C

Состояние на 2 ноября 2026 года:

Вариант	Что это	Состояние	На что смотреть
wc1c-maincore	тот же проект на GitHub	0.24.6 от 5 сентября 2026, проверен с WordPress 7.1 и WooCommerce 11.0	не в каталоге WordPress, заказы и экспорт в 1С через расширения
EDI	бесплатный плагин в каталоге	5.2.0 от 25 октября 2026, 600+ установок	заявлены УТ, УНФ, Розница, КА. Доработки 1С надо проверять
ITGALAXY	платный плагин	около 6 000 ₽ по странице продукта, с поддержкой на полгода	цену и срок поддержки сверьте перед покупкой
RuShop	бесплатный новый плагин	0.5.1, меньше 10 установок	заявлена проверка с Розницей 3.0, опыта у него мало
Свой модуль	код под ваш магазин		дороже, но есть особые поля и обратная выгрузка

Новая версия авторов выглядит самым коротким путём: тот же проект, те же схемы. Как она встанет поверх закрытой версии на вашем магазине, я не проверял. Автообновления из каталога у неё нет, обновлять придётся вручную. Заказы и экспорт в 1С идут через расширения, а форум на WordPress.org авторы не читают, связь с ними через сайт wc1c.info.

Как выбрать замену, подскажут шесть вопросов:

1. Когда плагин обновлялся и с какими версиями WordPress, WooCommerce и PHP проверен.
2. Заявлена ли ваша конфигурация 1С и проверял ли её кто-то на реальной базе.
3. Умеет ли он вариации и несколько типов цен.
4. Заказы входят в плагин или продаются отдельным расширением.
5. Есть ли журнал обмена. На Arctic Elite причину 504 я нашёл именно по нему.
6. Кто будет чинить код, когда он сломается.

Мой плагин и WC1C: что их связывает

Названия похожи, поэтому уточню. У меня есть собственный плагин обмена 1С с WooCommerce. Это отдельный плагин, я его автор и веду сам. К команде WC1C я отношения не имею. При разработке я опирался на открытый код WC1C: например, логику вариаций и остатков в апреле 2026 года переписывал, сверяясь с ним.

Что подтверждено на практике:

• На Arctic Elite он принимает товары, вариации, цены, акции и остатки из рабочей 1С заказчика.
• С него же 1С загрузила каталог обратно: в 1С Fresh на Рознице 3.0 пришло 289 товаров и 2649 предложений.

Что не подтверждено:

• Заказы с сайта в 1С проверены только на стенде.
• Статусы и трек-номера из 1С не проверены.
• УНФ 3 отдельно не проверялась.
• Переход с WC1C на мой плагин на живом магазине я не делал.

Сразу подхватить магазин с WC1C он не сможет: связи с 1С он хранит в своей таблице, а метаполе _wc1c_external_id не читает. Если просто поставить его сверху, он создаст новые товары. Для перехода связи надо перенести, это отдельная работа.

Как перейти с WC1C и не получить дубли

1. Возьмите реальный файл выгрузки из 1С, а не демонстрационный.
2. Выгрузите из базы соответствия: товар на сайте и его GUID, категории и вариации отдельно.
3. Перенесите соответствия в формат нового плагина. Без этого он создаст дубли.
4. Прогоните обмен на копии и сравните число товаров, вариаций и цен с 1С.
5. Запустите второй обмен подряд. Он покажет, не растут ли остатки.
6. Проверьте заказы в 1С, если вы ими пользуетесь.
7. Отключите старый плагин, поменяйте адрес обмена в 1С и только потом включайте обмен на рабочем сайте.

Держите откат: копию базы и старый плагин под рукой на первые дни.

Что обычно ломается после смены плагина

Всё это я проходил при запуске своего плагина на Arctic Elite, подробности в кейсе:

• Товары приезжают простыми, а вариации показывают «любой». Здесь помог только реальный файл из 1С.
• Остаток прибавляется при каждом обмене: было 12, стало 24.
• Обмен идёт дольше таймаута сервера. Один запрос шёл 100 секунд, nginx рвал соединение на 60-й, и 1С запускала всё заново.
• Битые записи GUID не дают создать удалённые категории заново. Таких было 17.

Общую схему обмена и цены я разобрал в статье интеграция 1С с сайтом.

Когда звать специалиста

Простой каталог, одна цена, нет вариаций и заказов в 1С: переход можно сделать самому по шагам выше.

Если каталог больше нескольких сотен позиций, есть вариации, несколько типов цен или заказы в 1С, лучше звать разработчика. Дубли товаров потом приходится чистить руками, а к ним уже привязаны заказы. Типовой обмен с тестовой копией у меня стоит от 20 000 ₽, сложный от 45 000 ₽, разбор текущего состояния 3 000 ₽ в зачёт работы. Условия на странице услуги.