La sécurité d'une base Odoo repose sur quatre piliers : des sauvegardes (qui dépendent de votre plateforme), des accès bien gérés, des connexions renforcées, et des emails authentifiés. Sur Odoo Online, l'hébergement et les sauvegardes sont compris dans la licence. Sur Odoo.sh et sur un serveur, la responsabilité se partage ou vous revient : il faut le savoir avant un incident.
Qui sauvegarde quoi ?
| Plateforme | Sauvegardes | Votre responsabilité |
|---|---|---|
| Odoo Online | Comprises dans l'abonnement | Exporter régulièrement vos données clés ; gérer les accès |
| Odoo.sh | Sauvegardes automatiques de la plateforme | Vérifier la rétention ; tester une restauration |
| Serveur (autohébergé) | À votre charge | Sauvegardes, chiffrement, restauration testée, mises à jour de sécurité |
Vérifiez la durée de conservation de votre plateforme dans la documentation d'Odoo. Quelle que soit la plateforme, une sauvegarde qu'on n'a jamais restaurée n'est qu'une hypothèse.
Les accès
- Un rôle par poste, un ou deux administrateurs. Voir les droits d'accès.
- Archivez les comptes des personnes parties immédiatement.
- Surveillez les clés API. Une clé API donne un accès équivalent à celui de l'utilisateur : une durée d'expiration et une révocation dès qu'elle ne sert plus.
- Donnez un compte dédié à chaque intégration externe, avec des droits limités.
Les connexions
- L'authentification à deux facteurs pour tous les comptes sensibles, à commencer par les administrateurs et la comptabilité.
- Les clés d'accès (passkeys) pour une connexion sans mot de passe, disponibles depuis Odoo 18.
- Des mots de passe uniques, gérés par un gestionnaire.
Les emails
Odoo envoie des factures, des devis et des relances : si votre domaine n'est pas authentifié (SPF, DKIM, DMARC), ces messages finissent en indésirables, voire sont usurpés. C'est l'un des contrôles de mise en production. Faites-le vérifier par la personne qui gère votre nom de domaine.
Que faire en cas de doute ?
- Changez les mots de passe et révoquez les clés API suspectes.
- Vérifiez les connexions et les modifications récentes (Odoo journalise les changements de droits dans la version 20).
- Contactez votre intégrateur ou le support d'Odoo.
Le conseil de l'expert : une fois par an, faites un exercice de restauration sur une copie : retrouvez-vous vos données, vos pièces jointes, vos envois d'emails ? C'est le seul test qui compte.
Pour vérifier l'ensemble de votre base, voir 10 signes qu'il faut auditer, et pour choisir votre plateforme Online, Odoo.sh ou serveur.
