Seguridad y control de acceso de Odoo: proteja los datos de su empresa

Su ERP contiene sus datos comerciales más confidenciales: registros financieros, información de clientes, detalles de empleados, estrategias de precios y métricas operativas. Un control de acceso mal configurado puede exponer estos datos a usuarios no autorizados o permitir modificaciones accidentales (o maliciosas). Odoo proporciona un modelo de seguridad en capas que, cuando se configura correctamente, protege los datos y al mismo tiempo permite el acceso que las personas necesitan para realizar su trabajo.

La pila de capas de seguridad

La seguridad de Odoo opera en cuatro capas, cada una de las cuales agrega un control más detallado:

1. Grupos de usuarios: categorías amplias de acceso (usuario de ventas, director de contabilidad, responsable de recursos humanos)
2. Derechos de acceso: permisos CRUD (Crear, Leer, Actualizar, Eliminar) por modelo por grupo
3. Reglas de registros: filtrado a nivel de fila (los usuarios solo ven sus propios registros, los registros de su equipo o todos los registros)
4. Acceso a nivel de campo: restricciones de campos individuales (ocultar campos de salario a usuarios que no son de Recursos Humanos)

Grupos de usuarios

Grupos predefinidos

Cada módulo de Odoo define grupos de usuarios que coinciden con roles organizacionales típicos. The Sales module includes: Sales User (access own leads and orders), Sales Manager (access all sales data), and Administrator (full configuration access).

Grupos personalizados

Cree grupos personalizados para roles exclusivos de su organización. Un grupo de "Administrador regional" puede tener acceso de Gerente de ventas limitado a registros de su región.

Jerarquía de grupo

Los grupos pueden heredar de otros grupos. Sales Manager hereda todos los permisos del usuario de ventas y agrega capacidades de administración. Esta jerarquía reduce la duplicación de configuración.

Derechos de acceso (ACL)

Permisos a nivel de modelo

Para cada grupo, defina permisos en cada modelo (tabla de base de datos): Leer (ver registros), Crear (crear nuevos registros), Escribir (modificar registros existentes), Eliminar (eliminar registros).

Un trabajador de almacén puede tener lectura/escritura en selección de stock (órdenes de cumplimiento) pero solo lectura en producto (no puede modificar la información del producto).

Configuraciones comunes

• Acceso de solo lectura: usuarios que necesitan ver datos pero no cambiarlos
• Crear pero no eliminar: usuarios que agregan registros pero no pueden eliminarlos
• Sin acceso: grupos que no deberían ver ciertos modelos en absoluto (datos de recursos humanos ocultos para quienes no pertenecen a recursos humanos)

Reglas de registro

Filtrado basado en dominio

Las reglas de registro aplican filtros de dominio que limitan a qué registros puede acceder un grupo dentro de un modelo. Ejemplos:

• Los usuarios de ventas solo ven los clientes potenciales que se les han asignado: [('user_id', '=', user.id)]
• Los gerentes de departamento ven todos los registros de su departamento: [('department_id', '=', user.department_id.id)]
• Aislamiento multiempresa: [('company_id', '=', user.company_id.id)]

Reglas globales versus reglas específicas de grupo

Las reglas globales se aplican a todos (como el aislamiento de varias empresas). Las reglas específicas del grupo se aplican sólo a los miembros de un grupo en particular. Las reglas de grupo son acumulativas: si un usuario pertenece a varios grupos, obtiene la unión de todas las reglas aplicables.

Seguridad a nivel de campo

Protección de campos sensibles

Marque campos individuales como restringidos a grupos específicos. Casos de uso comunes: salario de los empleados visible solo para RR.HH. y Finanzas, términos de crédito del cliente visibles solo para los gerentes de ventas, precio de costo del producto visible solo para Compras y Contabilidad, y cálculos de margen visibles solo para la gerencia.

Seguridad de campos calculados

Para los campos calculados (márgenes de beneficio, comisiones), asegúrese de que los campos de datos de origen también estén protegidos. Un usuario que no puede ver el precio de costo no debería ver un campo de margen que lo revele indirectamente.

Seguridad de autenticación

Autenticación de dos factores (2FA)

Habilite 2FA para todos los usuarios, especialmente aquellos con acceso administrativo o a datos confidenciales. Odoo admite TOTP (contraseñas de un solo uso basadas en tiempo) compatible con Google Authenticator, Authy y aplicaciones similares.

Políticas de contraseña

Configure los requisitos de la contraseña: longitud mínima, requisitos de complejidad (mayúsculas, números, símbolos) y períodos de vencimiento. Bloquee cuentas después de repetidos intentos fallidos de inicio de sesión.

Gestión de claves API

Utilice claves API en lugar de contraseñas para integraciones automatizadas. Cada clave se puede revocar de forma independiente y se registra el uso de la clave.

Auditoría y seguimiento

Seguimiento de cambios

Habilite el seguimiento de cambios en modelos sensibles para registrar: quién cambió qué, cuándo, el valor anterior y el valor nuevo. Esto es esencial para los registros financieros, los datos de recursos humanos y cualquier información regulada por cumplimiento.

Monitoreo de inicio de sesión

Supervise la actividad de inicio de sesión: inicios de sesión exitosos, intentos fallidos, patrones inusuales (iniciar sesión desde nuevas ubicaciones, fuera del horario comercial). Configure alertas para actividades sospechosas.

Gestión de sesiones

Configure tiempos de espera de sesión para usuarios inactivos. Los administradores pueden ver y finalizar sesiones activas cuando sea necesario (por ejemplo, si se pierde un dispositivo).

Mejores prácticas de seguridad de producción

1. Principio de privilegio mínimo: comience con acceso mínimo, agregue permisos según sea necesario
2. Revisiones de acceso periódicas: auditoría trimestral de quién tiene acceso a qué
3. Cuentas de administrador independientes: no utilice cuentas de administrador para el trabajo diario
4. Asegure la base de datos: restrinja el acceso directo a la base de datos solo a los administradores de bases de datos
5. Mantenga Odoo actualizado: los parches de seguridad abordan vulnerabilidades conocidas
6. Utilice HTTPS exclusivamente: nunca permita conexiones no cifradas
7. Cifrado de copias de seguridad: cifra las copias de seguridad en reposo, no solo la base de datos activa.
8. Segmentación de red — coloque el servidor Odoo detrás de un firewall con solo los puertos necesarios abiertos
9. Desactivar funciones no utilizadas: cada módulo habilitado es una superficie de ataque adicional
10. Documente su configuración de seguridad, para que pueda revisarse y replicarse

Nuestro servicio de soporte y mantenimiento de Odoo incluye auditorías de seguridad y revisiones de configuración continuas.

Preguntas frecuentes

¿Puedo restringir la visibilidad del menú según los grupos de usuarios?

Sí. Los elementos del menú están vinculados a grupos. Los usuarios solo ven menús de módulos y funciones a los que tienen acceso. Esto mantiene la interfaz limpia y evita confusiones.

¿Cómo funciona la seguridad multiempresa?

Las reglas de registros multiempresa están integradas en Odoo. Los usuarios asignados a empresas específicas ven solo los datos de esas empresas. Los administradores pueden cambiar entre empresas a las que tienen acceso.

¿Qué sucede cuando un empleado se va?

Desactivar (no eliminar) la cuenta de usuario. Esto preserva las pistas de auditoría y los registros históricos al tiempo que impide el acceso. Elimine al usuario de todos los grupos y restablezca su contraseña.

¿Puedo auditar quién accedió a registros específicos?

Con el seguimiento de cambios habilitado, puede ver quién modificó los registros. Para la auditoría del acceso de lectura, se necesitan módulos de registro personalizados o análisis de registros del servidor, ya que Odoo no rastrea las lecturas de forma predeterminada.