Odoo Sécurité et contrôle d'accès : protégez les données de votre entreprise

Votre ERP contient vos données commerciales les plus sensibles : dossiers financiers, informations sur les clients, détails sur les employés, stratégies de tarification et mesures opérationnelles. Un contrôle d'accès mal configuré peut exposer ces données à des utilisateurs non autorisés ou permettre des modifications accidentelles (ou malveillantes). Odoo fournit un modèle de sécurité en couches qui, lorsqu'il est correctement configuré, protège les données tout en permettant l'accès dont les utilisateurs ont besoin pour faire leur travail.

La pile de couches de sécurité

La sécurité Odoo fonctionne en quatre couches, chacune ajoutant un contrôle plus fin :

1. Groupes d'utilisateurs — grandes catégories d'accès (utilisateur commercial, responsable comptable, responsable des ressources humaines)
2. Droits d'accès — Autorisations CRUD (Créer, Lire, Mettre à jour, Supprimer) par modèle et par groupe
3. Règles d'enregistrement — filtrage au niveau des lignes (les utilisateurs voient uniquement leurs propres enregistrements, les enregistrements de leur équipe ou tous les enregistrements)
4. Accès au niveau du terrain — restrictions de champs individuels (masquant les champs de salaire aux utilisateurs non RH)

Groupes d'utilisateurs

Groupes prédéfinis

Chaque module Odoo définit des groupes d'utilisateurs qui correspondent à des rôles organisationnels typiques. Le module Ventes comprend : Utilisateur commercial (accès à ses propres prospects et commandes), Responsable commercial (accès à toutes les données de vente) et Administrateur (accès à la configuration complète).

Groupes personnalisés

Créez des groupes personnalisés pour les rôles propres à votre organisation. Un groupe « Responsable régional » peut avoir un accès Responsable des ventes limité aux enregistrements de sa région.

Hiérarchie des groupes

Les groupes peuvent hériter d'autres groupes. Sales Manager hérite de toutes les autorisations des utilisateurs commerciaux et ajoute des fonctionnalités de gestion. Cette hiérarchie réduit la duplication de configuration.

Droits d'accès (ACL)

Autorisations au niveau du modèle

Pour chaque groupe, définissez les autorisations sur chaque modèle (table de base de données) : Lire (afficher les enregistrements), Créer (créer de nouveaux enregistrements), Écrire (modifier les enregistrements existants), Supprimer (supprimer les enregistrements).

Un employé d'entrepôt peut disposer de lecture/écriture sur la sélection de stock (commandes d'exécution), mais uniquement de lecture sur le produit (il ne peut pas modifier les informations sur le produit).

Configurations courantes

• Accès en lecture seule : utilisateurs qui ont besoin de visualiser les données mais pas de les modifier
• Créer mais pas supprimer : utilisateurs qui ajoutent des enregistrements mais ne peuvent pas les supprimer
• Aucun accès : Groupes qui ne devraient pas voir du tout certains modèles (données RH masquées aux non-RH)

Règles d'enregistrement

Filtrage basé sur le domaine

Les règles d'enregistrement appliquent des filtres de domaine qui limitent les enregistrements auxquels un groupe peut accéder dans un modèle. Exemples :

• Les utilisateurs commerciaux voient uniquement les leads qui leur sont attribués : [('user_id', '=', user.id)]
• Les chefs de service voient tous les enregistrements de leur service : [('department_id', '=', user.department_id.id)]
• Isolement multi-entreprises : [('company_id', '=', user.company_id.id)]

Règles globales et règles spécifiques à un groupe

Les règles mondiales s'appliquent à tout le monde (comme l'isolement multi-entreprises). Les règles spécifiques au groupe s'appliquent uniquement aux membres d'un groupe particulier. Les règles de groupe sont additives : si un utilisateur appartient à plusieurs groupes, il obtient l'union de toutes les règles applicables.

Sécurité au niveau du champ

Protection des champs sensibles

Marquez les champs individuels comme étant réservés à des groupes spécifiques. Cas d'utilisation courants : salaire des employés visible uniquement par les RH et la Finance, conditions de crédit client visibles uniquement par les responsables commerciaux, prix de revient des produits visible uniquement par les achats et la comptabilité et calculs de marge visibles uniquement par la direction.

Sécurité des champs calculés

Pour les champs calculés (marges bénéficiaires, commissions), assurez-vous que les champs de données sources sont également sécurisés. Un utilisateur qui ne peut pas voir le prix de revient ne devrait pas voir de champ de marge le révélant indirectement.

Sécurité de l'authentification

Authentification à deux facteurs (2FA)

Activez 2FA pour tous les utilisateurs, en particulier ceux ayant un accès administratif ou aux données sensibles. Odoo prend en charge les TOTP (mots de passe à usage unique basés sur le temps) compatibles avec Google Authenticator, Authy et des applications similaires.

Politiques de mot de passe

Configurez les exigences en matière de mot de passe : longueur minimale, exigences de complexité (majuscules, chiffres, symboles) et périodes d'expiration. Verrouillez les comptes après des tentatives de connexion infructueuses répétées.

Gestion des clés API

Utilisez des clés API au lieu de mots de passe pour les intégrations automatisées. Chaque clé peut être révoquée indépendamment et l'utilisation de la clé est enregistrée.

Audit et surveillance

Suivi des modifications

Activez le suivi des modifications sur les modèles sensibles pour enregistrer : qui a modifié quoi, quand, l'ancienne valeur et la nouvelle valeur. Ceci est essentiel pour les dossiers financiers, les données RH et toute information réglementée par la conformité.

Surveillance des connexions

Surveillez l'activité de connexion : connexions réussies, tentatives infructueuses, modèles inhabituels (connexion à partir de nouveaux emplacements, en dehors des heures de bureau). Configurez des alertes pour les activités suspectes.

Gestion des sessions

Configurez les délais d'expiration de session pour les utilisateurs inactifs. Les administrateurs peuvent afficher et mettre fin aux sessions actives en cas de besoin (par exemple, en cas de perte d'un appareil).

Meilleures pratiques en matière de sécurité de production

1. Principe du moindre privilège : commencez avec un accès minimal, ajoutez des autorisations si nécessaire
2. Examens d'accès réguliers — audit trimestriel de qui a accès à quoi
3. Comptes d'administrateur séparés — n'utilisez pas de comptes d'administrateur pour le travail quotidien
4. Sécuriser la base de données : restreindre l'accès direct à la base de données aux administrateurs de base de données uniquement
5. Gardez Odoo à jour — les correctifs de sécurité corrigent les vulnérabilités connues
6. Utilisez exclusivement HTTPS — n'autorisez jamais les connexions non cryptées
7. Chiffrement des sauvegardes : chiffrez les sauvegardes au repos, pas seulement la base de données en direct
8. Segmentation du réseau — placez le serveur Odoo derrière un pare-feu avec uniquement les ports nécessaires ouverts
9. Désactivez les fonctionnalités inutilisées — chaque module activé est une surface d'attaque supplémentaire
10. Documentez votre configuration de sécurité — afin qu'elle puisse être examinée et répliquée

Notre service d'assistance et de maintenance Odoo comprend des audits de sécurité et des examens de configuration continus.

Questions fréquemment posées

Puis-je restreindre la visibilité des menus en fonction des groupes d'utilisateurs ?

Oui. Les éléments de menu sont liés à des groupes. Les utilisateurs ne voient que les menus des modules et des fonctionnalités auxquels ils ont accès. Cela maintient l’interface propre et évite toute confusion.

Comment fonctionne la sécurité multi-entreprises ?

Les règles d'enregistrement multi-entreprises sont intégrées à Odoo. Les utilisateurs affectés à des sociétés spécifiques voient uniquement les données de ces sociétés. Les administrateurs peuvent basculer entre les entreprises auxquelles ils ont accès.

Que se passe-t-il en cas de départ d'un employé ?

Désactivez (ne supprimez pas) le compte utilisateur. Cela préserve les pistes d’audit et les enregistrements historiques tout en empêchant l’accès. Supprimez l'utilisateur de tous les groupes et réinitialisez son mot de passe.

Puis-je vérifier qui a accédé à des enregistrements spécifiques ?

Lorsque le suivi des modifications est activé, vous pouvez voir qui a modifié les enregistrements. Pour l'audit des accès en lecture, des modules de journalisation personnalisés ou une analyse des journaux du serveur sont nécessaires, car Odoo ne suit pas les lectures par défaut.