Odoo सिक्योरिटी

बैकअप/ गड़बड़ी रोकने के लिए रिकवरी

• हम कम से कम 3 महीने तक हर Odoo डेटाबेस के 14 फुल बैकअप की हिस्ट्री बनाए रखते हैं: 7 दिनों के लिए दैनिक बैकअप, 4 हफ़्तों के लिए साप्ताहिक बैकअप, और 3 महीनों के लिए मासिक बैकअप।
• डेटा को सुरक्षित रखने के लिए आपका बैकअप कम से कम 3 अलग-अलग डेटा सेंटर्स में सेव रहता है।
• हमारे डेटा सेंटर कहां स्थित हैं, इसकी जानकारी यहां दी गई है: निजता नीति.
• आप कंट्रोल पैनल का इस्तेमाल करके किसी भी समय अपने लाइव डेटा का मैन्युअल बैकअप भी डाउनलोड कर सकते हैं.
• You can contact our Helpdesk to restore an available backup to your live database or to a separate database.
• हार्डवेयर फे़लओवर: हो सकता है कि फ़िजिकल सर्वर पर होस्ट की गई सेवाओं के लिए हार्डवेयर फ़ेल हो जाए. ऐसी स्थिति में हम डुप्लीकेट सर्वर पर तुरंत उसे चालू करते हैं. साथ ही, हम इसे पूरी तरह से मॉनिटर करते हैं और मैन्युअल फ़ेलओवर प्रक्रिया को भी चालू रखते हैं.
• Disaster recovery: we maintain disaster recovery procedures designed to restore Odoo Cloud services and customer data following major infrastructure failures or disasters. See our Cloud Service Level Agreement for more details and detailed Recovery Point Objectives (RPO) and Recovery Time Objectives (RTO).

डेटाबेस की सुरक्षा

• Customer data is stored in a dedicated database and is not shared between customers.
• Data access controls isolate customer databases running on the same cluster, preventing access from one customer database to another.

पासवर्ड की सुरक्षा

• Customer passwords are protected using industry-standard PBKDF2+SHA512 password hashing, with salting and key stretching over thousands of rounds.
• Odoo staff cannot access or retrieve your password. If a password is lost, it must be reset.
• लॉगिन क्रेडेंशियल हमेशा HTTPS पर सुरक्षित रूप से भेजे जाते हैं.
• Customer database administrators can लॉगिन की सीमा तय कर दे and cooldown periods for repeated login attempts.
• पासवर्ड से जुड़ी नीतियां: डेटाबेस एडमिनिस्ट्रेटर न्यूनतम पासवर्ड लंबाई लागू कर सकते हैं. अन्य नीतियां, जैसे कि ज़रूरी कैरेक्टर वर्ग, डिफ़ॉल्ट रूप से चालू नहीं होती हैं, क्योंकि शोध से पता चला है कि वे नुकसानदेह होती हैं. देखें [शॉ की 2016 की रिसर्च] and NIST SP 800-63b.

कर्मचारी के लिए ऐक्सेस

• जब आप किसी समस्या के लिए मदद मांगते हैं, तो उसकी ठीक से जांच करने के लिए Odoo हेल्पडेस्क टीम ज़रूरत पड़ने पर आपके अकाउंट को चेक कर सकती है. इसके लिए वे अपने खास स्टाफ़ लॉगिन का इस्तेमाल करते हैं, न कि आपके पासवर्ड का (आपका पासवर्ड वे देख भी नहीं सकते)।
• हमारे स्टाफ़ के लिए बनाए गए खास एक्सेस की मदद से हमारी टीम बिना आपका पासवर्ड मांगे ही आपकी बताई गई समस्याओं को सिस्टम में दोहराकर उनकी जाँच कर सकती है. इसके साथ ही, हमारे कर्मचारियों द्वारा किए गए कामों को अलग से कंट्रोल करना और उनकी पूरी जांच करना भी आसान हो जाता है।
• Helpdesk staff limit their access to the data, files, and settings necessary to diagnose and resolve your issue.

सिस्टम सुरक्षा

• Odoo क्लाउड के सभी सर्वर अप-टू-डेट सुरक्षा पैच वाले Linux डिस्ट्रिब्यूशन पर चल रहे हैं.
• Server installations are purpose-built and minimal, reducing the number of services that could introduce vulnerabilities.
• Remote server administration is restricted to a small number of trusted Odoo engineers and protected with personal multi-factor credentials.

फिज़िकल सिक्योरिटी

Odoo Cloud servers are hosted in trusted data centers across multiple regions. All hosting facilities must meet our physical security requirements, including:

• Restricted perimeters accessible only to authorized data center personnel.
• Physical access controls using security badges or biometric authentication.
• 24/7 security camera monitoring of data center facilities.
• 24/7 on-site security personnel.

क्रेडिट कार्ड की सुरक्षा

• We do not store credit card information on our systems.
• Credit card information is transmitted securely and directly to PCI के नियम का पालन payment acquirers. See our निजता नीति for the list of providers.

डेटा एन्क्रिप्शन

• Communications with customer instances are protected using HTTPS with 256-bit SSL encryption.
• Internal communications between servers are protected with end-to-end encryption.
• Our servers are continuously monitored and kept up to date with patches for SSL vulnerabilities.
• Our SSL certificates use 2048-bit keys with full SHA-2 certificate chains. You can verify the SSL rating क्लिक करें.
• Customer data, including database contents and stored files, is encrypted at rest with AES-256 in both production systems and backups.

नेटवर्क डिफ़ेंस

• Odoo Cloud के लिए इस्तेमाल होने वाले डेटा सेंटर प्रोवाइडर हाई-कैपेसिटी वाले नेटवर्क ऑपरेट करते हैं, जिन्हें ज़्यादातर Denial of Service हमलों सहित भारी ट्रैफ़िक झेलने के लिए डिज़ाइन किया गया है. सर्विस में रुकावट आने से पहले ही, ऑटोमेटेड और मैन्युअल मिटिगेशन सिस्टम नेटवर्क के किनारे पर अटैक ट्रैफ़िक का पता लगाकर उसे डायवर्ट करते हैं।
• Odoo क्लाउड सर्वर पर फ़ायरवॉल और हमले को रोकने वाली सिस्टम की मदद से, ब्रूट-फोर्स पासवर्ड के हमलों जैसे खतरों का पता लगाया जाता है और उनको हमला करने से पहले ही रोका जाता है.
• Customer database administrators can लॉगिन की सीमा तय कर दे ...और बार-बार लॉगिन के प्रयासों के लिए कूलडाउन अवधि निर्धारित करें या ऑटोमेटेड ब्रूट-फोर्स हमलों को कम करने के लिए कैप्चा (CAPTCHA) कॉन्फ़िगर करें।

सॉफ़्टवेयर सिक्योरिटी

Odoo ओपन सोर्स है, जिससे दुनियाभर के यूज़र और योगदानकर्ता इसके कोडबेस का लगातार रिव्यू करते हैं. कम्युनिटी रिपोर्ट से सुरक्षा फ़ीडबैक मिलता है. हम डेवलपर और सिक्योरिटी रिसर्चर को कोड का ऑडिट करने और सुरक्षा से जुड़ी समस्याओं की रिपोर्ट करने के लिए प्रोत्साहित करते हैं।

Odoo R&D processes include code reviews that consider security aspects for both new and contributed code.

सुरक्षित डिज़ाइन

The Odoo framework is designed to prevent common classes of security vulnerabilities by default:

• SQL injection is prevented by a higher-level API that generally removes the need for manually constructed SQL queries.
• Cross-site scripting (XSS) is prevented by a high-level templating system that automatically escapes injected data.
• The framework prevents RPC access to private methods, reducing the risk of exposing exploitable functionality.

See the OWASP में बताई गईं मुख्य कमियां section for more information about the protections built into the Odoo framework.

स्वतंत्र सुरक्षा ऑडिट

हमारे मौजूदा और संभावित ग्राहक अक्सर बाहरी सिक्योरिटी कंपनियों से Odoo की सुरक्षा जांच (ऑडिट) और टेस्टिंग (पेनिट्रेशन टेस्ट) करवाते रहते हैं. Odoo की सिक्योरिटी टीम इन जांच की रिपोर्ट को ध्यान से देखती है और जहां भी कोई सुधार करने की ज़रूरत होती है, उसे तुरंत ठीक करती है।

We cannot disclose these assessment reports because they are confidential and belong to the organizations that commissioned them.

Odoo स्वतंत्र सिक्योरिटी रिसर्चर्स की सक्रिय कम्यूनिटी के साथ भी काम करता है, जो हमारे सोर्स कोड का रिव्यू करके इसकी सुरक्षा को लगातार बेहतर बनाने में मदद करते हैं. हमारी सिक्योरिटी रिसर्च और डिस्क्लोज़र प्रोसेस का विवरण हमारे ज़िम्मेदारी से इस्तेमाल करने के निर्देश पेज पर मिल जाएगी.

OWASP में बताई गईं मुख्य कमियां

The following summarizes how Odoo addresses common web application security risks identified by the ओपन वेब ऐप्लिकेशन सिक्योरिटी प्रोजेक्ट (OWASP) में बताया गया है:

• इंजेक्शन फ़्लॉ: इंजेक्शन फ़्लॉ तब होते हैं जब अनट्रस्टेड डेटा किसी कमांड या क्वेरी के हिस्से के रूप में इंटरप्रेटर तक पहुंचता है, जिससे अनचाहे कमांड एक्ज़ीक्यूट हो सकते हैं या डेटा बदल सकता है।

  Odoo एक ऑब्जेक्ट-रिलेशनल मैपिंग (ORM) फ़्रेमवर्क का इस्तेमाल करता है जो क्वेरी बनाने को आसान करता है और डिफ़ॉल्ट रूप से SQL इंजेक्शन रोकता है. डेवलपर्स को मैन्युअल रूप से SQL क्वेरी नहीं बनानी पड़ती: क्वेरी ORM जनरेट करता है और पैरामीटर सही तरीके से एस्केप होते हैं।

• क्रॉस-साइट स्क्रिप्टिंग (XSS): XSS खामियां तब होती हैं जब अनट्रस्टेड कॉन्टेंट को सही एस्केपिंग या एन्कोडिंग के बिना वेब पेज में शामिल किया जाता है, जिससे अटैकर दूसरे यूज़र के ब्राउज़र में स्क्रिप्ट एक्ज़ीक्यूट कर सकता है।

  Odoo सिस्टम अपने आप (बाय डिफ़ॉल्ट) वेब पेजों पर दिखने वाले कोड या फ़ॉर्मूले (एक्सप्रेशंस) को सुरक्षित कर देता है, जिससे आम इस्तेमाल के दौरान वेबसाइट हैक होने (XSS) का खतरा नहीं रहता. अगर डेवलपर्स किसी कोड को बिना बदले (रॉ कॉन्टेंट के तौर पर) पेज पर दिखाना चाहते हैं, तो उन्हें उस कोड को जोड़ने से पहले जानबूझकर 'सुरक्षित' के रूप में मार्क करना पड़ता है।

• क्रॉस-साइट रिक्वेस्ट फ़ोर्जरी (CSRF): CSRF अटैक यूज़र के मौजूदा सेशन का इस्तेमाल करके, ऑथेंटिकेटेड यूज़र के ब्राउज़र से वेब ऐप्लिकेशन पर अनऑथराइज़्ड रिक्वेस्ट सबमिट करने की कोशिश करता है।

  Odoo वेबसाइट इंजन में इन-बिल्ट CSRF प्रोटेक्शन शामिल है. HTTP कंट्रोलर संबंधित सिक्योरिटी टोकन के बिना सुरक्षित POST अनुरोध स्वीकार नहीं करते. यूज़र के सही तरीके से फ़ॉर्म ऐक्सेस करने पर यह टोकन दिया जाता है और कोई हमलावर इसे फ़र्ज़ी नहीं बना सकता।

• Malicious File Execution: Remote file inclusion vulnerabilities can allow an attacker to load and execute hostile code or data on a server.

  Odoo बाहर से किसी फ़ाइल को सिस्टम में जोड़ने (रिमोट फ़ाइल इन्क्लूज़न) की सुविधा नहीं देता है. जिन यूज़र के पास विशेष अधिकार हैं, वे सिस्टम के फ़ॉर्मूले या कोड (एक्सप्रेशंस) का इस्तेमाल करके कुछ फ़ीचर्स में बदलाव कर सकते हैं. हालांकि, ये फ़ॉर्मूले एक बेहद सुरक्षित और चेक किए गए माहौल (सैंडबॉक्स) में काम करते हैं, जहां सिर्फ तय किए गए कामों को ही करने की अनुमति होती है।

• इनसिक्योर डायरेक्ट ऑब्जेक्ट रेफ़रंस: डायरेक्ट ऑब्जेक्ट रेफ़रंस रिकॉर्ड या फ़ाइल जैसे इंटरनल ऑब्जेक्ट के आइडेंटिफ़ायर उजागर करते हैं. जब इन आइडेंटिफ़ायर में बदलाव करके अनऑथराइज़्ड ऐक्सेस मिलता है, तो यह एक कमज़ोरी बन जाती है।

  Odoo ऐक्सेस कंट्रोल यूज़र इंटरफ़ेस से स्वतंत्र रूप से लागू होता है. इसलिए यूआरएल में इंटरनल ऑब्जेक्ट के रेफ़रंस दिखने से ऑथराइज़ेशन बायपास नहीं होता: हर रिक्वेस्ट को डेटा ऐक्सेस वैलिडेशन लेयर से गुज़रना पड़ता है।

• Insecure Cryptographic Storage: Weak protection of stored credentials or sensitive data can expose users to unauthorized access, identity theft, and other forms of abuse.

  स्टोर किए गए यूज़र पासवर्ड को सुरक्षित रखने के लिए Odoo इंडस्ट्री-स्टैंडर्ड सिक्योर पासवर्ड हैशिंग (डिफ़ॉल्ट रूप से की स्ट्रेचिंग के साथ PBKDF2 + SHA-512) का इस्तेमाल करता है. यूज़र पासवर्ड को लोकली स्टोर करने से बचने के लिए OIDC/OAuth जैसे एक्सटर्नल ऑथेंटिकेशन सिस्टम का भी इस्तेमाल करें।

• Insecure Communications: Sensitive information may be exposed when applications fail to appropriately encrypt network communications.

  Odoo Cloud डिफ़ॉल्ट रूप से HTTPS लागू करता है. ऑन-प्रिमाइसेस इंस्टॉलेशन के लिए, हमारा सुझाव है कि Odoo को Apache, Lighttpd या nginx जैसे वेब सर्वर के पीछे चलाएं जो एन्क्रिप्शन और प्रॉक्सी रिक्वेस्ट की सुविधा देते हैं. Odoo डिप्लॉयमेंट गाइड में एक सिक्योरिटी चेकलिस्ट for securing public deployments.

• Failure to Restrict URL Access: Applications may expose sensitive functionality when authorization is enforced only by hiding links or URLs from unauthorized users.

  Odoo ऐक्सेस कंट्रोल के लिए यूज़र इंटरफ़ेस या छिपे हुए यूआरएल पर निर्भर नहीं करता है. हर अनुरोध को डेटा ऐक्सेस वैलिडेशन लेयर से गुज़रना पड़ता है, इसलिए यूआरएल में बदलाव करके या उसे सीधे खोलकर ऑथराइज़ेशन को बायपास नहीं किया जा सकता. जहां कोई यूआरएल जानबूझकर संवेदनशील जानकारी (जैसे कस्टमर ऑर्डर कंफ़र्मेशन लिंक) का अनऑथेंटिकेटेड ऐक्सेस देता है, उसे एक यूनीक डिजिटली साइन किए गए टोकन से सुरक्षित किया जाता है और सिर्फ़ सही व्यक्ति को भेजा जाता है।

सुरक्षा की कमियों के बारे में रिपोर्टिंग

To report a security vulnerability, please use our ज़िम्मेदारी से इस्तेमाल करने के निर्देश वाले पेज. सिक्योरिटी रिपोर्ट को हाई प्रायोरिटी दी जाती है और Odoo सिक्योरिटी टीम इनका आकलन करती है. हम पुष्टि हुई समस्याओं की जांच और समाधान के लिए रिपोर्टर के साथ काम करते हैं और ज़रूरत पड़ने पर Odoo ग्राहकों और यूज़र को इसकी जानकारी देते हैं।