Odoo Säkerhet

Säkerhetskopieringar / Återställning efter katastrof

• We maintain a history of 14 full backups of each Odoo database for at least 3 months: daily backups for 7 days, weekly backups for 4 weeks, and monthly backups for 3 months.
• Säkerhetskopior återskapas i minst 3 olika datacenter.
• De fysiska platserna där våra datacenter befinner sig specificeras i vår Integritetspolicy.
• Du kan genomföra och ladda ner en manuell backup av din data när som helst genom kontrollpanelen.
• You can contact our Helpdesk to restore an available backup to your live database or to a separate database.
• Överlämning vid fel: för tjänster som genomförs på bar metall, där utrustningsfel är möjliga, så implementerar vi lokala aktiva reserver, övervakning, samt manuella felöverlämningsprocesser.
• Katastrofåterställning: Vi har rutiner för katastrofåterställning som är utformade för att återställa Odoo Cloud-tjänster och kunddata efter större infrastrukturfel eller katastrofer. Se vår Cloud Service Level Agreement for more details and detailed Recovery Point Objectives (RPO) and Recovery Time Objectives (RTO).

Databassäkerhet

• Kunddata lagras i en dedikerad databas och delas inte mellan kunder.
• Data access controls isolate customer databases running on the same cluster, preventing access from one customer database to another.

Lösenordssäkerhet

• Customer passwords are protected using industry-standard PBKDF2+SHA512 password hashing, with salting and key stretching over thousands of rounds.
• Odoos personal kan inte få åtkomst till eller hämta ditt lösenord. Om du har glömt ditt lösenord, så måste det återställas.
• Inloggningsuppgifter överförs alltid tryggt och säkert med HTTPS.
• Kunddatabasers administratörer kan ställ in anropsbegränsningar and cooldown periods for repeated login attempts.
• Lösenordspolicy: databasadministratörer kan utnämna en minsta teckenlängd för användares lösenord. Övriga policyer, såsom obligatoriska teckentyper, gäller inte som standard eftersom forskning har visat att dem kan vara kontraproduktivt. Se [Shay et al. 2016] och NIST SP 800-63b.

Åtkomstbehörighet för personalen

• Odoo Helpdesk staff may access your account when necessary to investigate a support issue. They use dedicated staff credentials rather than your password, which they cannot access.
• Dedicated staff access allows our teams to reproduce reported issues without requiring you to share your password, while enabling staff actions to be separately controlled and audited.
• Helpdesk staff limit their access to the data, files, and settings necessary to diagnose and resolve your issue.

Systemsäkerhet

• Alla Odoo Cloud-servrar körs på härdade Linux-distributioner med uppdaterade säkerhetspatches.
• Server installations are purpose-built and minimal, reducing the number of services that could introduce vulnerabilities.
• Remote server administration is restricted to a small number of trusted Odoo engineers and protected with personal multi-factor credentials.

Fysisk säkerhet

Odoo Cloud servers are hosted in trusted data centers across multiple regions. All hosting facilities must meet our physical security requirements, including:

• Begränsade områden som endast är tillgängliga för behörig personal vid datacentret.
• Fysiska åtkomstkontroller med hjälp av säkerhetsbrickor eller biometrisk autentisering.
• Kameraövervakning dygnet runt av datacenteranläggningarna.
• Säkerhetspersonal på plats dygnet runt.

Säkerhet för kreditkort

• Vi sparar inte kortuppgifter i våra egna system.
• Kreditkortsuppgifter överförs säkert och direkt till Kompatibel med PCI betalningsförmedlare. Se vår Integritetspolicy för listan över leverantörer.

Kryptering av data

• Communications with customer instances are protected using HTTPS with 256-bit SSL encryption.
• Intern kommunikation mellan servrar skyddas med hjälp av total kryptering.
• Our servers are continuously monitored and kept up to date with patches for SSL vulnerabilities.
• Our SSL certificates use 2048-bit keys with full SHA-2 certificate chains. You can verify the SSL rating här.
• Customer data, including database contents and stored files, is encrypted at rest with AES-256 in both production systems and backups.

Nätverksskydd

• De datacenterleverantörer som används för Odoo Cloud driver nätverk med hög kapacitet som är utformade för att klara stora volymer, inklusive de flesta Denial-of-service-attacker. Automatiserade och manuella skyddssystem upptäcker och avleder attacktrafik vid nätverkets ytterkant innan den hinner störa tjänstens tillgänglighet.
• Brandväggar och förebyggande system för intrång på Odoo Cloud-servrar hjälper dig att identifiera och blockera attacker som till exempel så kallade totalsökningar på lösenord.
• Kunddatabasers administratörer kan ställ in anropsbegränsningar och nedkylningstid för upprepade inloggningsförsök eller konfigurera en CAPTCHA för att förmildra automatiserade totalsökningsattacker.

Skydd av mjukvara

Odoo har öppen källkod, vilket innebär att kodbasen ständigt granskas av användare och bidragande medlemmar världen över. Rapporter från användare är en viktig källa till feedback om vår säkerhet, och vi uppmuntrar systemutvecklare och säkerhetsforskare att kontinuerligt granska koden och rapportera eventuella säkerhetsfrågor.

Odoo R&D processes include code reviews that consider security aspects for both new and contributed code.

Trygghet som standard

The Odoo framework is designed to prevent common classes of security vulnerabilities by default:

• SQL injection is prevented by a higher-level API that generally removes the need for manually constructed SQL queries.
• Cross-site scripting (XSS) is prevented by a high-level templating system that automatically escapes injected data.
• The framework prevents RPC access to private methods, reducing the risk of exposing exploitable functionality.

See the Största OWASP-svagheter section for more information about the protections built into the Odoo framework.

Oberoende säkerhetsrevisioner

Odoo is regularly assessed by independent security companies engaged by our customers and prospects to conduct security audits and penetration tests. The Odoo Security Team reviews the findings and implements corrective measures where necessary.

We cannot disclose these assessment reports because they are confidential and belong to the organizations that commissioned them.

Odoo also works with an active community of independent security researchers who review our source code and help us continuously improve its security. Our security research and disclosure process is described on our Ansvarigt avslöjande .

Största OWASP-svagheter

The following summarizes how Odoo addresses common web application security risks identified by the Open Web Application Security Project (OWASP):

• Injektionsfel: Injektionsfel uppstår när opålitlig data skickas till en programtolk som en del av ett kommando eller en fråga, vilket potentiellt kan leda till att oavsiktliga kommandon verkställs eller att data ändras.

  Odoo relies on an object-relational mapping (ORM) framework that abstracts query construction and prevents SQL injection by default. Developers do not normally need to construct SQL queries manually: queries are generated by the ORM and parameters are properly escaped.

• Webbkodinjektion (XSS): Webbkodinjektionssårbarheter uppstår när opålitligt innehåll inkluderas på en webbsida utan lämplig escaping eller kodning, vilket potentiellt kan göra det möjligt för en angripare att verkställa skript i en annan användares webbläsare.

  The Odoo framework escapes expressions rendered into views and pages by default, preventing XSS in normal usage. Developers must explicitly mark expressions as safe before they can be included as raw content in rendered pages.

• Förfalskning av förfrågningar över flera webbplatser (CSRF): En CSRF-attack försöker få en autentiserad användares webbläsare att skicka in en otillåten förfrågan till ett webbprogram med hjälp av användarens befintliga session.

  Odoos hemsidesmotor har inbyggda skydd mot förfalskningar av förfrågningar över flera webbplatser. HTTP-kontroller godkänner inte skyddade POST-förfrågningar utan motsvarande säkerhetstoken. Token tillhandahålls när användaren på legitimt sätt öppnar det relevanta formuläret och kan inte förfalskas av en angripare.

• Körning av skadliga filer: Sårbarheter vid fjärrinläsning av filer kan göra det möjligt för en angripare att ladda och köra skadlig kod eller data på en server.

  Odoo does not expose functionality for remote file inclusion. Privileged users can customize certain features using expressions evaluated by the system, but these expressions run in a sandboxed and sanitized environment with access limited to permitted functions.

• Osäker referens till direktobjekt: Referenser till direktobjekt exponerar identifierare för interna objekt, som handlingar eller filer. De utgör en sårbarhet när manipulering av dessa identifierare möjliggör otillåten åtkomst.

  Odoo access control is enforced independently of the user interface. Exposing references to internal objects in URLs therefore does not bypass authorization: every request must still pass through the data access validation layer.

• Osäker kryptografisk lagring: Svagt skydd av lagrade uppgifter eller känslig data kan utsätta användare för otillåten åtkomst, identitetsstöld och andra former av missbruk.

  Odoo uses industry-standard secure password hashing (PBKDF2 + SHA-512 with key stretching by default) to protect stored user passwords. External authentication systems such as OIDC/OAuth can also be used to avoid storing user passwords locally.

• Osäker kommunikation: Känslig information kan exponeras när applikationer inte utför kryptering av nätverkskommunikationen på rätt sätt.

  Odoo Cloud enforces HTTPS by default. For on-premise installations, we recommend running Odoo behind a web server that provides encryption and proxies requests to Odoo, such as Apache, Lighttpd, or nginx. The Odoo deployment guide includes a Säkerhetschecklista for securing public deployments.

• Bristande begränsning av tillgång till URL:er: Känsliga funktioner kan exponeras i program när godkännande endast verkställs genom att dölja länkar eller URL:er för otillåtna användare.

  Odoo förlitar sig inte på användargränssnittet eller dolda URL:er för åtkomstkontroll. Varje förfrågan måste gå genom valideringslagret för dataåtkomst, så att manipulering av eller direkt åtkomst till en URL inte kringgår godkännande. Om en URL avsiktligt ger oautentiserad åtkomst till känslig information, såsom en länk till en orderbekräftelse, så skyddas URL:en med en unik digitalt signerad token och skickas endast till den avsedda mottagaren.

Rapporterar svagheter i säkerheten

För att rapportera en säkerhetsbrist, vänligen använd vår sida för avslöjande om ansvar. Säkerhetsrapporter behandlas med högsta prioritet och utvärderas av Odoos säkerhetsavdelning. Vi arbetar tillsammans med rapportörer för att vidare undersöka och åtgärda bekräftade problem samt, vid behov, informera Odoos kunder och användare om problemen.