Seguridad de Odoo

Copias de seguridad y recuperación ante desastres

• Conservamos un historial de 14 copias de seguridad completas de cada base de datos de Odoo durante al menos 3 meses: copias de seguridad diarias durante 7 días, copias de seguridad semanales durante 4 semanas y copias de seguridad mensuales durante 3 meses.
• Las copias de seguridad se replican en al menos tres centros de datos diferentes.
• Las ubicaciones de nuestros centros de datos se especifican en nuestra Política de privacidad.
• Puedes descargar copias de seguridad manuales de tus datos en tiempo real en cualquier momento a través del panel de control.
• Puedes ponerte en contacto con nuestro equipo de servicio de asistencia para restaurar una copia de seguridad disponible en tu base de datos activa o en una base de datos independiente.
• Conmutación por error de hardware: para los servicios alojados en infraestructura «bare-metal», donde es posible que se produzcan fallos de hardware, utilizamos replicación local en espera activa «hot-standby», monitorización y un procedimiento de conmutación por error manual.
• Recuperación ante desastres: disponemos de procedimientos de recuperación ante desastres diseñados para restaurar los servicios de Odoo Cloud y los datos de los clientes tras fallos graves de infraestructura o desastres. Consulte nuestro Acuerdo de nivel de servicio de Odoo en la nube para obtener más detalles y conocer los objetivos de punto de recuperación (RPO) y de tiempo de recuperación (RTO) específicos.

Seguridad de las bases de datos

• Los datos de los clientes se almacenan en una base de datos específica y no se comparten entre clientes.
• Los controles de acceso a los datos aíslan las bases de datos de los clientes que se ejecutan en el mismo clúster, lo que impide el acceso de la base de datos de un cliente a otro.

Seguridad de las contraseñas

• Las contraseñas de los clientes están protegidas mediante el hash de contraseñas PBKDF2+SHA512, estándar del sector, con salado (salting) y estiramiento de clave (key stretching) a lo largo de miles de rondas.
• El personal de Odoo no puede acceder a tu contraseña ni recuperarla. Si se pierde una contraseña, hay que restablecerla.
• Las credenciales de inicio de sesión siempre se transmiten de forma segura a través de HTTPS.
• Los administradores de las bases de datos de los clientes pueden configurar un límite de intentos (rate limiting) y establecer períodos de espera para los intentos fallidos de inicio de sesión repetidos.
• Política de contraseñas: los administradores de las bases de datos pueden requerir una longitud mínima para las contraseñas de los usuarios. Otras políticas, como tipos de caracteres obligatorios, no están activadas de forma predeterminada porque las investigaciones han demostrado que pueden ser contraproducentes. Consulta [Shay et al. 2016] y NIST SP 800-63b.

Acceso del personal

• El personal de Servicio de asistencia de Odoo puede acceder a tu cuenta cuando sea necesario para investigar una incidencia. Utilizan credenciales específicas para el personal en vez de tu contraseña, a la que no tienen acceso.
• El acceso exclusivo para el personal permite a nuestros equipos reproducir las incidencias notificadas sin necesidad de que compartas tu contraseña, permitiendo además controlar y auditar por separado las acciones del personal.
• El personal de Servicio de asistencia limita su acceso únicamente a los datos, archivos y configuraciones necesarios para diagnosticar y resolver tu incidencia.

Seguridad del sistema

• Los servidores de Odoo Cloud ejecutan distribuciones de Linux reforzadas (hardened) con los últimos parches de seguridad instalados.
• Las instalaciones de los servidores son mínimas y están diseñadas a medida, lo que reduce el número de servicios que podrían introducir vulnerabilidades.
• La administración remota de los servidores está restringida a un grupo reducido de ingenieros de Odoo de confianza y protegida con credenciales personales de autenticación multifactor.

Seguridad física

Los servidores de Odoo Cloud están alojados en centros de datos de confianza distribuidos en varias regiones. Todas las instalaciones de alojamiento deben cumplir con nuestros requisitos de seguridad física, entre los que se incluyen:

• Perímetros restringidos a los que solo tiene acceso el personal autorizado del centro de datos.
• Controles de acceso físico mediante tarjetas de seguridad o autenticación biométrica.
• Monitorización con cámaras de seguridad las 24 horas del día, los 7 días de la semana, en las instalaciones del centro de datos.
• Personal de seguridad in situ las 24 horas del día, los 7 días de la semana.

Seguridad de las tarjetas de crédito

• No almacenamos información de las tarjetas de crédito en nuestros sistemas.
• La información de las tarjetas de crédito se transmite de forma segura y directa a los adquirentes de pago que cumplen con la normativa PCI . Consulta nuestra Política de privacidad para ver la lista de proveedores.

Cifrado de datos

• Las comunicaciones con las instancias de los clientes están protegidas mediante HTTPS con cifrado SSL de 256 bits.
• Las comunicaciones internas entre servidores están protegidas con cifrado de extremo a extremo.
• Nuestros servidores están monitorizados de forma continua y se mantienen actualizados con parches para vulnerabilidades SSL.
• Nuestros certificados SSL utilizan claves de 2048 bits con cadenas de certificados SHA-2 completas. Puedes verificar la calificación SSL aquí.
• Los datos de los clientes, incluido el contenido de las bases de datos y los archivos almacenados, están cifrados en reposo con AES-256 tanto en los sistemas de producción como en las copias de seguridad.

Defensa de la red

• Los proveedores de centros de datos utilizados para Odoo Cloud operan redes de alta capacidad diseñadas para soportar grandes volúmenes, incluyendo la mayoría de los ataques de denegación de servicio. Los sistemas de mitigación automáticos y manuales detectan y desvían el tráfico de ataques en el perímetro de la red antes de que pueda afectar a la disponibilidad del servicio.
• Los cortafuegos y los sistemas de prevención de intrusiones en los servidores de Odoo Cloud ayudan a detectar y bloquear amenazas como los ataques de fuerza bruta contra contraseñas.
• Los administradores de las bases de datos de los clientes pueden configurar un límite de intentos (rate limiting) y establecer períodos de espera para los intentos fallidos de inicio de sesión repetidos, o configurar un CAPTCHA para mitigar los ataques automatizados de fuerza bruta.

Seguridad del software

Odoo es de código abierto, lo que permite que su código fuente sea revisado continuamente por usuarios y colaboradores de todo el mundo. Los informes de la comunidad son una fuente importante de información sobre seguridad, y animamos a los desarrolladores e investigadores de seguridad a auditar el código y a informar de cualquier problema de seguridad.

Los procesos de I+D de Odoo incluyen revisiones de código que consideran los aspectos de seguridad, tanto para el código nuevo como para el aportado.

Seguridad desde el diseño

El marco de trabajo de Odoo está diseñado para prevenir, de forma predeterminada, los tipos más comunes de vulnerabilidades de seguridad:

• Las inyecciones SQL se previenen mediante una API de alto nivel que, por lo general, elimina la necesidad de construir consultas SQL manualmente.
• Las secuencias de comandos en sitios cruzados (XSS) se previenen mediante un sistema de plantillas de alto nivel que escapa automáticamente los datos inyectados/introducidos.
• El marco impide el acceso mediante RPC a los métodos privados, lo que reduce el riesgo de exponer funcionalidades que puedan ser objeto de explotación.

Consulta la sección Principales vulnerabilidades de OWASP para obtener más información sobre las medidas de protección integradas en el marco de Odoo.

Auditorías de seguridad independientes

Odoo se somete periódicamente a evaluaciones de empresas de seguridad independientes contratadas por nuestros clientes y clientes potenciales para llevar a cabo auditorías de seguridad y pruebas de penetración (penetration tests). El equipo de seguridad de Odoo revisa los resultados e implementa medidas correctivas cuando es necesario.

No podemos divulgar estos informes de evaluación, ya que son confidenciales y pertenecen a las organizaciones que los solicitaron.

Odoo también colabora con una comunidad activa de investigadores independientes de seguridad que revisan nuestro código fuente y nos ayudan a mejorar su seguridad de manera continua. Nuestro proceso de investigación y divulgación de seguridad se describe en nuestra página de Divulgación responsable .

Principales vulnerabilidades de OWASP

A continuación se resume cómo aborda Odoo los riesgos de seguridad más comunes en aplicaciones web identificados por el Open Web Application Security Project (OWASP):

• Fallos de inyección: los fallos de inyección se producen cuando se pasan datos no fiables a un intérprete como parte de un comando o una consulta, lo que podría provocar la ejecución de comandos no deseados o la modificación de datos.

  Odoo utiliza un marco de mapeo objeto-relacional (ORM) que abstrae la construcción de consultas y evita las inyecciones SQL de forma predeterminada. Normalmente, los desarrolladores no necesitan elaborar consultas SQL manualmente: las consultas las genera el ORM y los parámetros se escapan correctamente.

• Secuencias de comandos en sitios cruzados (XSS): las vulnerabilidades XSS ocurren cuando se incluye contenido no fiable en una página web sin el debido escape o codificación, lo que podría permitir a un atacante ejecutar scripts en el navegador de otro usuario.

  El framework de Odoo escapa de forma predeterminada las expresiones renderizadas en vistas y páginas, lo que evita ataques XSS en condiciones normales de uso. Los desarrolladores deben marcar explícitamente las expresiones como seguras antes de que puedan incluirse como contenido sin procesar (raw) en las páginas renderizadas.

• Falsificación de solicitudes en sitios cruzados (CSRF): un ataque CSRF intenta que el navegador de un usuario autenticado envíe una solicitud no autorizada a una aplicación web mediante la sesión existente del usuario.

  El motor del sitio web de Odoo incluye protección CSRF integrada. Los controladores HTTP no aceptan solicitudes POST protegidas que no incluyan el token de seguridad correspondiente. El token se proporciona cuando el usuario accede legítimamente al formulario pertinente y un atacante no puede falsificarlo.

• Ejecución de archivos maliciosos: las vulnerabilidades de inclusión remota de archivos pueden permitir a un atacante cargar y ejecutar código o datos maliciosos en un servidor.

  Odoo no expone funcionalidades de inclusión remota de archivos. Los usuarios con privilegios pueden personalizar ciertas funciones mediante expresiones evaluadas por el sistema, pero estas expresiones se ejecutan en un entorno aislado y depurado (sandboxed and sanitized), con acceso limitado a las funciones permitidas.

• Referencia Directa a Objetos Insegura (IDOR): las referencias directas a objetos exponen identificadores de objetos internos, como registros o archivos. Estas se convierten en una vulnerabilidad cuando la manipulación de dichos identificadores permite un acceso no autorizado.

  El control de acceso de Odoo se aplica independientemente de la interfaz de usuario. Por tanto, exponer referencias a objetos internos en las URL no elude la autorización: cada solicitud debe pasar obligatoriamente por la capa de validación de acceso a los datos.

• Almacenamiento criptográfico inseguro: la protección débil de las credenciales almacenadas o de los datos sensibles puede exponer a los usuarios a accesos no autorizados, robo de identidad y otras formas de abuso.

  Odoo utiliza un algoritmo de hash de contraseñas seguro y acorde a los estándares del sector (PBKDF2 + SHA-512 con estiramiento de clave/key stretching de forma predeterminada) para proteger las contraseñas de los usuarios almacenadas. También se pueden utilizar sistemas de autenticación externos, como OIDC/OAuth, para evitar el almacenamiento local de las contraseñas de los usuarios.

• Comunicaciones inseguras: la información sensible puede quedar expuesta cuando las aplicaciones no cifran de forma adecuada las comunicaciones de red.

  Odoo Cloud fuerza el uso de HTTPS de forma predeterminada. Para instalaciones locales, recomendamos ejecutar Odoo detrás de un servidor web que proporcione cifrado y actúe como proxy de las solicitudes a Odoo, como Apache, Lighttpd o nginx. La guía de implementación de Odoo incluye una lista de verificación de seguridad para proteger las implementaciones públicas.

• Falta de restricción del acceso a las URL: las aplicaciones pueden exponer funcionalidades sensibles cuando la autorización se aplica únicamente ocultando enlaces o URL a los usuarios no autorizados.

  Odoo no depende de la interfaz de usuario ni de URL ocultas para el control de acceso. Cada solicitud debe pasar por la capa de validación de acceso a los datos, por lo que manipular o acceder directamente a una URL no elude la autorización. Cuando una URL proporciona intencionadamente acceso sin autenticación a información confidencial, como un enlace de confirmación de un pedido de un cliente, la URL se protege con un token único firmado de forma digital y se envía únicamente al destinatario previsto.

Notificación de vulnerabilidades de seguridad

Para notificar una vulnerabilidad de seguridad, utiliza nuestra página de Divulgación responsable. Los informes de seguridad se tratan con alta prioridad y son evaluados por el equipo de seguridad de Odoo. Trabajamos en colaboración con los informantes para investigar y solucionar las incidencias confirmadas y, cuando procede, divulgarlas de forma responsable a los clientes y usuarios de Odoo.