Odoo Güvenlik

Yedekler / Acil Kurtarma

• Her Odoo veritabanının 14 tam yedeklemesinden oluşan bir geçmişi en az 3 ay boyunca saklıyoruz: 7 gün boyunca günlük yedeklemeler, 4 hafta boyunca haftalık yedeklemeler ve 3 ay boyunca aylık yedeklemeler.
• Backups replicated in at least 3 different data centers.
• Veri merkezlerimizin gerçek konumları şurada belirtilmiştir: Gizlilik Politikası sayfamız.
• Ayrıca kontrol panelini kullanarak istediğiniz zaman canlı verilerinizin manuel yedeklerini indirebilirsiniz.
• You can contact our Helpdesk to restore an available backup to your live database or to a separate database.
• Donanım yedekleme: Donanım arızasının yaşanabileceği bare-metal altyapıda barındırılan hizmetler için yerel sıcak yedekleme, izleme ve manuel yedekleme prosedürü kullanıyoruz.
• Felaket kurtarma: Büyük altyapı arızaları veya felaketlerin ardından Odoo Cloud hizmetlerini ve müşteri verilerini geri yüklemek üzere tasarlanmış felaket kurtarma prosedürleri uyguluyoruz. Bkz. Cloud Service Level Agreement for more details and detailed Recovery Point Objectives (RPO) and Recovery Time Objectives (RTO).

Veri Tabanı Güvenliği

• Customer data is stored in a dedicated database and is not shared between customers.
• Data access controls isolate customer databases running on the same cluster, preventing access from one customer database to another.

Parola Güvenliği

• Customer passwords are protected using industry-standard PBKDF2+SHA512 password hashing, with salting and key stretching over thousands of rounds.
• Odoo staff cannot access or retrieve your password. If a password is lost, it must be reset.
• Oturum açma kimlik bilgileri her zaman HTTPS üzerinden güvenli bir şekilde iletilir.
• Customer database administrators can hız sınırlamayı yapılandırma and cooldown periods for repeated login attempts.
• Şifre ilkeleri: veritabanı yöneticileri, kullanıcı şifreleri için minimum uzunluk kısıtlaması uygulayabilir. 'de zorunlu karakter sınıfları gibi diğer ilkeler, araştırmaların bunların ters etki yarattığını göstermesi nedeniyle varsayılan olarak etkinleştirilmemiştir. Bkz. [Shay et al. 2016] and NIST SP 800-63b.

Çalışan Erişimi

• Odoo Yardım Masası personeli, bir destek sorununu araştırmak için gerektiğinde hesabınıza erişebilir. Personel, şifrenize erişemediğinden, sizin şifreniz yerine kendilerine özel personel kimlik bilgilerini kullanır.
• Özel personel erişimi, ekiplerimizin bildirilen sorunları, sizden şifrenizi paylaşmanızı istemeden yeniden oluşturmasına olanak tanırken, personel eylemlerinin ayrı olarak kontrol edilmesini ve denetlenmesini sağlar.
• Helpdesk staff limit their access to the data, files, and settings necessary to diagnose and resolve your issue.

Sistem Güvenliği

• Tüm Odoo Bulut sunucuları, güncel güvenlik yamalarıyla güçlendirilmiş Linux dağıtımları üzerinde çalışmaktadır.
• Server installations are purpose-built and minimal, reducing the number of services that could introduce vulnerabilities.
• Remote server administration is restricted to a small number of trusted Odoo engineers and protected with personal multi-factor credentials.

Fiziksel Güvenlik

Odoo Bulut sunucuları, çeşitli bölgelerdeki güvenilir veri merkezlerinde barındırılmaktadır. Tüm barındırma tesisleri, aşağıdakiler dahil olmak üzere fiziksel güvenlik gereksinimlerimizi karşılamalıdır:

• Restricted perimeters accessible only to authorized data center personnel.
• Physical access controls using security badges or biometric authentication.
• 24/7 security camera monitoring of data center facilities.
• 24/7 on-site security personnel.

Kredi Kartı Güvenliği

• We do not store credit card information on our systems.
• Credit card information is transmitted securely and directly to Çevresel Bileşen Ara Bağlantısı (PCI) ile Uyumlu payment acquirers. See our Gizlilik Politikası sayfamız for the list of providers.

Veri Şifreleme

• Communications with customer instances are protected using HTTPS with 256-bit SSL encryption.
• Internal communications between servers are protected with end-to-end encryption.
• Our servers are continuously monitored and kept up to date with patches for SSL vulnerabilities.
• Our SSL certificates use 2048-bit keys with full SHA-2 certificate chains. You can verify the SSL rating buradan.
• Customer data, including database contents and stored files, is encrypted at rest with AES-256 in both production systems and backups.

Ağ savunması

• Odoo Cloud için kullanılan veri merkezi sağlayıcıları, çoğu Hizmet Reddi saldırısı da dahil olmak üzere büyük hacimlere dayanacak şekilde tasarlanmış yüksek kapasiteli ağlar işletmektedir. Otomatik ve manuel önleme sistemleri, saldırı trafiğini hizmet kullanılabilirliğini kesintiye uğratmadan önce ağ sınırında tespit eder ve yönlendirir.
• Odoo Bulut sunucularındaki güvenlik duvarları ve saldırı önleme sistemleri, kaba kuvvet parola saldırıları gibi tehditlerin tespit edilmesine ve engellenmesine yardımcı olur.
• Customer database administrators can hız sınırlamayı yapılandırma ve tekrarlanan oturum açma denemeleri için bekleme süresini ayarlayın veya otomatik kaba kuvvet saldırılarını azaltmak için bir CAPTCHA yapılandırın.

Yazılım Güvenliği

Odoo açık kaynaklıdır ve kod tabanının dünya çapındaki kullanıcılar ve katkıda bulunanlar tarafından sürekli olarak incelenmesine olanak tanır. Topluluk raporları, güvenlik geri bildiriminin önemli bir kaynağıdır; geliştiricileri ve güvenlik araştırmacılarını kodu denetlemeye ve güvenlik sorunlarını bildirmeye teşvik ediyoruz.

Odoo R&D processes include code reviews that consider security aspects for both new and contributed code.

Tasarımı gereği güvenli

The Odoo framework is designed to prevent common classes of security vulnerabilities by default:

• SQL injection is prevented by a higher-level API that generally removes the need for manually constructed SQL queries.
• Cross-site scripting (XSS) is prevented by a high-level templating system that automatically escapes injected data.
• The framework prevents RPC access to private methods, reducing the risk of exposing exploitable functionality.

See the OWASP Top Zafiyetleri section for more information about the protections built into the Odoo framework.

Bağımsız Güvenlik Denetimleri

Odoo, müşterilerimiz ve potansiyel müşterilerimiz tarafından güvenlik denetimleri ve sızma testleri gerçekleştirmek üzere görevlendirilen bağımsız güvenlik şirketleri tarafından düzenli olarak değerlendirilmektedir. Odoo Güvenlik Ekibi, bulguları inceler ve gerekli durumlarda düzeltici önlemler alır.

We cannot disclose these assessment reports because they are confidential and belong to the organizations that commissioned them.

Odoo ayrıca, kaynak kodumuzu inceleyen ve güvenliğini sürekli olarak iyileştirmemize yardımcı olan aktif bir bağımsız güvenlik araştırmacıları topluluğuyla da işbirliği yapmaktadır. Güvenlik araştırma ve bildirim sürecimiz, Sorumlu Bilgilendirme sayfa.

OWASP Top Zafiyetleri

The following summarizes how Odoo addresses common web application security risks identified by the Açık Web Uygulama Güvenliği Projesi (OWASP) (OWASP):

• Enjeksiyon Kusurları: Enjeksiyon kusurları, güvenilir olmayan verilerin bir komut veya sorgunun parçası olarak yorumlayıcıya aktarılmasıyla ortaya çıkar ve bu durum, istenmeyen komutların yürütülmesine veya verilerin değiştirilmesine neden olabilir.

  Odoo, sorgu oluşturmayı soyutlayan ve varsayılan olarak SQL enjeksiyonunu önleyen bir nesne-ilişkisel eşleme (ORM) çerçevesine dayanır. Geliştiricilerin normalde SQL sorgularını manuel olarak oluşturmasına gerek yoktur: sorgular ORM tarafından oluşturulur ve parametreler uygun şekilde kaçırılır.

• Siteler Arası Komut Dosyası (XSS): XSS güvenlik açıkları, güvenilir olmayan içeriklerin uygun kaçış karakterleri veya kodlama uygulanmadan bir web sayfasına eklenmesi durumunda ortaya çıkar ve bu durum, bir saldırganın başka bir kullanıcının tarayıcısında komut dosyalarını çalıştırmasına olanak sağlayabilir.

  Odoo çerçevesi, varsayılan olarak görünümlerde ve sayfalarda görüntülenen ifadeleri kaçırır ve normal kullanımda XSS'yi önler. Geliştiriciler, ifadeleri görüntülenen sayfalara ham içerik olarak ekleyebilmek için bunları açıkça güvenli olarak işaretlemelidir.

• Siteler Arası İstek Sahteciliği (CSRF): Bir CSRF saldırısı, kimliği doğrulanmış bir kullanıcının tarayıcısını, kullanıcının mevcut oturumunu kullanarak bir web uygulamasına yetkisiz bir istek göndermesi için kandırmaya çalışır.

  Odoo web sitesi motoru, yerleşik CSRF koruması içerir. HTTP denetleyicileri, ilgili güvenlik belirteci olmadan korumalı POST isteklerini kabul etmez. Belirteç, kullanıcı ilgili forma meşru bir şekilde eriştiğinde sağlanır ve bir saldırgan tarafından taklit edilemez.

• Kötü Amaçlı Dosya Yürütme: Uzaktan dosya dahil etme güvenlik açıkları, bir saldırganın sunucuda zararlı kod veya verileri yüklemesine ve yürütmesine olanak tanıyabilir.

  Odoo, uzaktan dosya dahil etme işlevselliği sunmaz. Ayrıcalıklı kullanıcılar, sistem tarafından değerlendirilen ifadeler kullanarak belirli özellikleri özelleştirebilir, ancak bu ifadeler, erişimin izin verilen işlevlerle sınırlandırıldığı, sanal ortamda ve temizlenmiş bir ortamda çalıştırılır.

• Güvenli Olmayan Doğrudan Nesne Referansı: Doğrudan nesne referansları, kayıtlar veya dosyalar gibi dahili nesnelerin tanımlayıcılarını ortaya çıkarır. Bu tanımlayıcıların değiştirilmesi yetkisiz erişime yol açtığında, bunlar bir güvenlik açığına dönüşür.

  Odoo erişim kontrolü, kullanıcı arayüzünden bağımsız olarak uygulanır. Bu nedenle, URL'lerde dahili nesnelere yapılan referanslar yetkilendirmeyi atlatmaz: her istek yine de veri erişim doğrulama katmanından geçmelidir.

• Güvenli Olmayan Şifreleme Depolaması: Depolanan kimlik bilgileri veya hassas verilerin zayıf bir şekilde korunması, kullanıcıları yetkisiz erişime, kimlik hırsızlığına ve diğer suistimal biçimlerine maruz bırakabilir.

  Odoo, depolanan kullanıcı şifrelerini korumak için endüstri standardı güvenli şifre karma algoritması (varsayılan olarak anahtar uzatma özelliğine sahip PBKDF2 + SHA-512) kullanır. Kullanıcı şifrelerinin yerel olarak depolanmasını önlemek için OIDC/OAuth gibi harici kimlik doğrulama sistemleri de kullanılabilir.

• Insecure Communications: Sensitive information may be exposed when applications fail to appropriately encrypt network communications.

  Odoo Cloud, varsayılan olarak HTTPS'yi zorunlu kılar. Yerinde kurulumlar için, Apache, Lighttpd veya nginx gibi şifreleme sağlayan ve Odoo'ya gelen istekleri proxy olarak yönlendiren bir web sunucusu arkasında Odoo'yu çalıştırmanızı öneririz. Odoo dağıtım kılavuzunda bir Güvenlik kontrol listesi for securing public deployments.

• URL Erişiminin Kısıtlanmaması: Yetkilendirme yalnızca yetkisiz kullanıcılardan bağlantıları veya URL'leri gizleyerek uygulandığında, uygulamalar hassas işlevleri açığa çıkarabilir.

  Odoo, erişim kontrolü için kullanıcı arayüzüne veya gizli URL'lere güvenmez. Her istek, veri erişim doğrulama katmanından geçmek zorundadır; bu nedenle, bir URL'yi değiştirmek veya doğrudan erişmek, yetkilendirmeyi atlatmaz. Bir URL'nin, müşteri sipariş onayı bağlantısı gibi hassas bilgilere kasıtlı olarak kimlik doğrulaması yapılmamış erişim sağladığı durumlarda, söz konusu URL benzersiz bir dijital imzalı belirteçle korunur ve yalnızca hedeflenen alıcıya gönderilir.

Güvenlik Açıklarının Raporlanması

To report a security vulnerability, please use our sorumlu bilgilendirme sayfası. Güvenlik raporları yüksek öncelikli olarak ele alınır ve Odoo Güvenlik Ekibi tarafından değerlendirilir. Bildirimde bulunan kişilerle işbirliği yaparak, doğrulanmış sorunları araştırır ve gideririz; uygun olduğu durumlarda ise bunları Odoo müşterilerine ve kullanıcılarına sorumlu bir şekilde bildiririz.