Adamos

.htaccess в корне сайта вполне может быть настроен на редирект с HTTP на HTTPS, например.
Вот и редиректит вас с локалки на боевой.
Пропишите ему на редиректы исключение типа
RewriteCond %{HTTP_HOST} !^192\.168\.100\.254
.htaccess с такой добавкой можно залить и на боевой сайт, ему она не помешает.

Компоненты Битрикса - это базовая логика и отображение ее результатов через шаблон, указанный при подключении компонента.
Сделайте свой шаблон компонента, скопировав базовый шаблон и выкинув из него ненужное - он и будет отображать то, что оставите.

Компоненты Битрикса архитектурно - это портянки РНР-кода, в который подключаются портянки РНР-кода, в которых проверяется, не пришло ли при этом запросе страницы чего-нибудь в параметрах GET или POST - и в зависимости от этого подключаются еще портянки РНР-кода.
Аякс там бывает, только если его автор портянок предусмотрел сам.

Ваша информация в целом ошибочна - шаблон не должен содержать информации, только оформление.
На частном конкретном сайте вы можете оказаться правы, если его разработчик навалял говнокода (чему неряшливость и запутанность Битрикса весьма способствует) и натащил в шаблоны логики и данных.
Общее решение - кладете шаблон рядом со старым и смотрите, что в этом старом теряется / ломается при смене на новый.
С Аспро не знаком, но много слышал о нем в ветке "взломаны сайты" на официальном форуме ;) впрочем, возможно, это обусловлено популярностью...

Так же, как и любой другой сайт на РНР.
Скопировать файлы, сдампить базу.
Развернув базу, указать в настройках (/bitrix/.settings.php) подключение к ней.
Перед этим стоит запустить на новом сервере проверочный скрипт от Битрикса на соответствие настроек его требованиям, проблемы только с этим.
По лицензии - ну, прочитайте условия той, которая у вас куплена.

Установил на локалке 1С-Битрикс Управление сайтом.

С нуля или копию сайта? На копии мог быть давно уже заблокирован админ номер 1.
Запусти на этой "локалке" скрипт проверки на совместимость с Битриксом - она, вполне возможно, просто ломается где-то под капотом из-за неверных настроек или нехватки нужных компонентов.

"Run you fools!" (c)
Единственная причина связываться с Битриксом - это вендор-лок на его систему.
То, что они потроха своего чудовищного продукта называют модным словом "фреймворк" - это маркетинг и... только маркетинг.
Если вы готовы работать с фреймворком - берите фреймворк. Настоящий, нормальный фреймворк, как Симфония или Ларавель. А на копролит Битрикса даже не оглядывайтесь.

Посмотрите Настройки - Настройки модулей - Веб-аналитика - Блокировать.
Может, оно.

Вообще-то "от кого" - это ваше no-reply@вашсайт.рф.
Отправить почту ОТ того адреса, который указал клиент, вы не можете.

Можно попробовать обойтись админкой, если это стандартная форма Битрикса, а не самопал от присосавшихся.
Заходите в Сервис - Настройка форм - Вопросы вашей формы.
Смотрите Символьный идентификатор того вопроса, где указывается e-mail. Например, new_field_4920.
Настройки - Настройки продукта - Почтовые шаблоны - шаблон, который отправляется по этой форме.
Вставляете в его текст этот самый идентификатор в решетках: #new_field_4920#.
Должен подставиться тот текст, который был отправлен в этом поле.

Ну, у вас заказ от незарегистрированного клиента, похоже, сделан как регистрация нового клиента (и ему отправляется вот это самое письмо, чтобы он задал себе пароль), а потом уже собственно заказ.
Насчет настроек покопайтесь в админке Настройки - Настройки продукта - Почтовые и СМС события. Мыло продажников там можно добавить, во всяком случае.

Почитай:
https://dev.1c-bitrix.ru/support/forum/forum6/topi...

например, взломщиками

Например, взломавшими что? Админку Битрикса? Сервер?
Получив доступ к базе, например, можно наплодить админов, не поменяв ни одного файла сайта.

Сам же факт изменения файлов проверяется сверкой с эталоном. Внезапно, у Битрикса даже штатный механизм для этого есть. Но никто не мешает держать собственную копию и тупо сравнивать время от времени, там ядро всего пол-гига говнокода, даже если у вас сверху навалено столько же - это для современного сервера немного.

В таблице b_user есть поле PERSONAL_PHONE.
Придется перекрывать любую запись в него (то есть регистрацию, правку профиля пользователем, правку юзера админом), приводя номер к каноничному - иначе по произвольно записанному не отличишь "8492233333" от "+7(4922) 33-33-33 доб. 114".
Ну, и при этом можно заодно проверять, нет ли такого уже в базе.
Может, на маркетплейсе кто-то и готовое предложит...

при каждой итерации идёт обращение к ORM таблице городов, сравнивается описание города и если оно отличается происходит апдейт записи.

Вообще-то для этого достаточно одного INSERT ... ON DUPLICATE KEY UPDATE.
Ну, а массовая вставка по одной строчке - это верный способ убить БД на любых ресурсах независимо от движка сайта.

Перед запуском Битрикса на сервере надо прогонять официальный тест:
https://dev.1c-bitrix.ru/download/scripts/bitrix_s...

Хорошо бы покопать в сторону "а с какого, собственно, хера вход пользователя в систему переписывает ему пароль в базе?".