Безопасное подключение Авито и ЦИАН к CRM агентства недвижимости — без передачи паролей сотрудникам

Когда агентство недвижимости подключает Авито и ЦИАН к стороннему сервису через логин и пароль клиента — это всегда история про утечку базы. Сотрудник, который видел пароль, через два месяца уходит к конкуренту и заходит в кабинет «как раньше». Платформа меняет API без предупреждения — и сервис, держащий куки, начинает скачивать данные с ошибками, а служба безопасности Авито блокирует кабинет агентства за «нетипичные запросы». Это реальные кейсы из чатов наших клиентов, и именно поэтому в SmartAgent изначально нет ни одного сценария, где мы просим логин и пароль агентства от Авито или ЦИАН.

В этой статье разбираем, как риэлтору и агентству недвижимости подключить Авито и ЦИАН к CRM так, чтобы выгрузка объявлений, входящие чаты и звонки попадали в систему, а данные кабинета не покидали периметр агентства. Все способы — официальные, поддерживаемые самими площадками.

Почему «дайте логин и пароль» — это путь к утечке базы агентства

В разговорах с руководителями агентств чаще всего всплывают три риска подхода «сервис заходит в Авито/ЦИАН под нашими данными»:

• Уход сотрудника с правами доступа. Любой риэлтор или администратор, который видел учётные данные кабинета Авито, через смену пароля раз в квартал не блокируется — пароль он просто запомнил. Дальше — заход с домашнего IP, выгрузка контактов собственников и переход к конкуренту. Это классическая «увода базы», и CRM здесь обычно ни при чём — утекает доступ.
• Блокировка кабинета за «нетипичные действия». Если сторонний сервис ходит в Авито под вашими куками с другого дата-центра — алгоритмы антифрода Авито воспринимают это как взлом и блокируют профиль. Восстановление через поддержку занимает несколько дней, иногда дольше недели. Все объявления в это время — невидимы.
• Изменение API без уведомления. Авито и ЦИАН регулярно меняют структуру личного кабинета и внутренние эндпоинты. Сервис, заточенный под скрейпинг куками, ломается каждые несколько месяцев — и сутки-двое агентство сидит без выгрузок и сообщений. Официальная интеграция через API ломается значительно реже, потому что у площадок есть обязательства перед партнёрами.

Поэтому правильная архитектура подключения — не «дайте нам пароль», а «вы из своего кабинета сами разрешаете нашему сервису конкретное действие». Технически это называется OAuth и XML-фид. Разберём, как это устроено в Авито и ЦИАН.

Авито: OAuth-подключение в один клик — пароль кабинета не передаётся

Авито с 2023 года официально поддерживает OAuth-авторизацию для партнёров. Это означает следующее: SmartAgent не знает и не хранит ваш пароль от Авито — но может публиковать ваши объявления и получать входящие сообщения. Схема такая:

1. В личном кабинете SmartAgent нажимаете «Подключить Авито».
2. Вас перебрасывает на сайт Авито, где вы входите под своим логином и паролем — на странице самого Авито, не на нашей.
3. Авито спрашивает: «Разрешить SmartAgent публиковать объявления и читать сообщения?» Вы нажимаете «Разрешить».
4. Авито возвращает нашему сервису токен — это длинная строка вроде временного ключа. Сам пароль остаётся у Авито, в SmartAgent его никогда не было.

Если завтра вы захотите отключить интеграцию — заходите в кабинет Авито, в раздел «Партнёры» отзываете токен, и SmartAgent перестаёт иметь доступ. Без писем в поддержку, без смены паролей. То же самое происходит автоматически, если вы поменяете пароль в Авито — старый токен может остаться валидным или нет в зависимости от настройки кабинета, но в любом случае все ваши сотрудники с этим паролем уже ничего не знают.

Технически это реализовано через стандартный OAuth-2.0 flow Авито. В SmartAgent выгрузка по такой интеграции идёт через XML-фид по протоколу Авито, а входящие сообщения и звонки — через Avito Messenger API. Никаких куки, никаких скрейперов.

ЦИАН: XML-фид от агентства — пароль кабинета не передаётся

В ЦИАН схема немного другая — там OAuth для CRM-партнёров не открыт, зато официально работает XML-фид. Логика обратная: не «мы заходим в ваш кабинет», а «ваш кабинет ЦИАН сам забирает фид с нашего сервера». Подключение делаете вы, в своём кабинете, без передачи нам каких-либо паролей:

1. В SmartAgent создаёте объявления как обычно. Система генерирует для вашего агентства персональный URL XML-фида.
2. Заходите в личный кабинет ЦИАН под своим логином и паролем — на сайте cian.ru.
3. В разделе «Настройка фида» (или «Импорт объявлений», в зависимости от тарифа) вставляете тот самый URL.
4. ЦИАН раз в час сам приходит на наш сервер, забирает свежий фид и обновляет объявления. От нас в ЦИАН не уходит ни запрос, ни авторизация — это ЦИАН ходит к нам по согласованному с ним протоколу.

Получается асимметрично, и это правильно: сервис, который генерирует фид, не имеет доступа в кабинет ЦИАН. Кабинет ЦИАН — у вас. Это снимает сразу две проблемы: вы не передаёте пароль сотрудникам, которые «настраивают интеграцию», и не зависите от того, поменялся ли в ЦИАН какой-нибудь внутренний эндпоинт — фид как формат стабилен и поддерживается официально.

Для звонков и сообщений работает другая часть интеграции — мы подключаем номер из телефонии SmartAgent к вашему кабинету ЦИАН в качестве отображаемого номера. Опять же, не «заходим за вас», а вы в своём кабинете указываете номер и подтверждаете звонок-проверкой.

А как же сообщения, звонки и контакты собственников?

Часть руководителей агентств в этом месте говорит: «Окей, публикация без пароля. А контакты собственников, которые сейчас наши сотрудники руками копируют из ЦИАН и Авито — их тоже можно загнать в CRM без передачи логинов?» Ответ — да, и это устроено иначе, чем подключение к чужим кабинетам.

В SmartAgent есть собственная база собственников, которая агрегирует объявления физических лиц со 100+ источников. Сервис ходит в эти источники под собственными техническими аккаунтами агрегатора, а не под учётными данными ваших клиентов. Вы получаете телефон собственника прямо в карточке объекта — без захода в Авито, без копирования и без риска, что Авито увидит «странную активность» с кабинета вашего агентства.

Расширение SmartVision работает у каждого риэлтора локально в Chrome — оно подсвечивает уже известные нам объекты и собственников прямо на страницах площадок. Никаких куки агентства SmartVision не использует — расширение видит только то, что видит сам риэлтор в своём браузере.

Что делать, если сервис всё-таки просит «логин и пароль от Авито»

Если CRM или сервис парсинга, который рассматривает агентство, при подключении Авито или ЦИАН требует ввести логин и пароль кабинета — это красный флаг. Так работают «парсеры» и сервисы, которые ходят в личный кабинет под видом пользователя. Что с этим не так на практике:

• Вы передаёте пароль третьей стороне. Этот пароль теоретически может быть прочитан сотрудниками сервиса, утечь через инциденты безопасности, попасть в логи. В отличие от OAuth-токена, пароль вы можете сменить — но и заходить им сможет любой, кто его видел до смены.
• Заходы в кабинет фиксируются как ваши. Если сервис сделал что-то против правил площадки — Авито или ЦИАН видят, что это «зашли вы», и санкции прилетят вашему агентству, а не сервису.
• Каждый сотрудник вашего агентства, который имеет доступ в CRM, имеет потенциальный доступ к вашему кабинету Авито. Пароль ведь хранится в настройках CRM в открытом или почти открытом виде, чтобы сервис мог им пользоваться.

Если вам важна безопасность данных и устойчивость публикаций — выбирайте интеграции через официальные API площадок: OAuth для Авито и XML-фид для ЦИАН. Это медленнее в настройке (вместо «вставить логин» нужно зайти на сайт площадки и подтвердить разрешение), но критически безопаснее на горизонте 6–24 месяцев.

Чек-лист безопасного подключения Авито и ЦИАН для агентства недвижимости

Как это устроено в SmartAgent

SmartAgent — специализированная CRM для агентств недвижимости, и подход к интеграциям с площадками у нас изначально был выстроен от безопасности, а не от удобства разработчиков. Вот короткий список того, как мы подключаем основные источники:

• Авито — OAuth-кнопка «Подключить» в кабинете SmartAgent. Пароля Авито у нас нет и не было. Публикация — через XML-фид, сообщения и звонки — через Avito Messenger API под выданным вами токеном.
• ЦИАН — XML-фид, который вы вставляете в кабинет ЦИАН своими руками. Пароля ЦИАН у нас нет. Звонки — через подключённый в ЦИАН номер из нашей телефонии.
• Яндекс.Недвижимость, Авито-Бизнес, Юла, ДомКлик и ещё 30+ площадок — XML-фид по протоколу площадки, в каждом случае настройка идёт со стороны вашего кабинета на площадке.
• Авито Чаты, WhatsApp, Telegram, ВКонтакте, MAX, SMS — единый мессенджер, входящие диалоги попадают в CRM через официальные мессенджер-API, а не через скрейпинг.
• База собственников — техническая инфраструктура агрегатора, не использует ничьи учётные данные. Вы получаете телефон в карточке объекта без захода в Авито/ЦИАН.

На стороне агентства это означает: один администратор кабинета SmartAgent один раз настраивает OAuth и XML-фид, после чего ни одному риэлтору в команде не нужно знать пароль от Авито или ЦИАН, чтобы пользоваться CRM. Если сотрудник уходит — вы удаляете его пользователя в SmartAgent, и вместе с ним пропадает любой доступ к интеграциям. Кабинеты площадок при этом не трогаются, пароль менять не нужно — потому что мы его и так не знали.

FAQ

А если я уже передал пароль от Авито какому-то сервису — что делать?

Сменить пароль в Авито (на cian.ru тоже стоит сразу), включить двухфакторную авторизацию, в разделе «Сессии» отозвать все активные сессии. После этого подключить интеграцию заново — через OAuth, без передачи пароля. Если сервис без OAuth не работает — это повод задуматься о смене сервиса.

Чем OAuth-токен лучше пароля, ведь его тоже могут украсть?

Токен выдан под конкретное приложение (SmartAgent) и конкретный набор действий (публикация и сообщения). Он не даёт зайти в личный кабинет Авито через веб, не позволяет менять настройки кабинета, не показывает платёжные данные. Пароль даёт всё это сразу. И токен можно отозвать одним кликом на стороне Авито без смены пароля и без расконнекта остальных интеграций.

Если ЦИАН ходит за фидом к вам — а если ваш сервер ляжет, мои объявления исчезнут с ЦИАН?

Нет, ЦИАН кэширует последнюю успешную версию фида. Если наш сервер недоступен один цикл — объявления остаются в том виде, в каком были при предыдущей загрузке. Полностью объявления уходят с ЦИАН только при многократной недоступности фида или прямой отмене публикации с вашей стороны.

Кто подключает интеграцию — IT-специалист или сам руководитель?

Руководитель агентства или администратор кабинета. Подключение Авито через OAuth — это «зайти в Авито под собой и нажать "разрешить"». Вставка XML-фида в ЦИАН — это копирование одного URL из SmartAgent в настройки ЦИАН. IT-специалист не нужен; в сложных случаях помогает поддержка SmartAgent — без запроса ваших паролей.

Можно ли через ваш сервис обойти ограничения площадок и публиковать больше объявлений, чем позволяет тариф ЦИАН?

Нет. Мы работаем по официальным API и фидам, лимиты публикаций — это лимиты вашего кабинета у площадки. Обход правил Авито или ЦИАН — это, во-первых, гарантированная блокировка вашего кабинета, во-вторых, тот самый «скрейпинг под видом пользователя», от которого мы как раз отговариваем в этой статье.

Где посмотреть, кто из моих сотрудников подключал или менял интеграцию с Авито?

В кабинете SmartAgent в разделе «Журнал действий пользователей». Мы фиксируем каждое подключение, переподключение или отзыв OAuth — с указанием пользователя, времени и IP. То же по правкам XML-фида ЦИАН. Это базовая защита от ситуации «кто-то поменял настройки и не сказал».

Итог: безопасность данных агентства зависит от архитектуры интеграции

Подключение Авито и ЦИАН к CRM — это не «дайте логин, мы зайдём». Правильная архитектура — OAuth для Авито и XML-фид для ЦИАН. Никакой передачи паролей сотрудникам, никаких куки кабинета на серверах сервиса, отзыв доступа одной кнопкой в кабинете самой площадки. Если CRM, которую вы оцениваете для агентства, не предлагает такого сценария — это вопрос не удобства, а безопасности базы и устойчивости публикаций на горизонте года.

В SmartAgent безопасное подключение Авито и ЦИАН — это базовая поставка, а не отдельная опция. Подключение занимает 5–10 минут на каждую площадку, делается руководителем агентства без передачи данных третьим лицам. Подробности и тарифы — на странице «Услуги и цены»; чтобы попробовать интеграции, зарегистрируйтесь в SmartAgent и подключите Авито через OAuth уже сегодня.