Informations sécurité - Revision history

Eldy: /* Fonctions de Chiffrement */

2025-12-18T09:39:45Z

Fonctions de Chiffrement

← Older revision		Revision as of 09:39, 18 December 2025
Line 29:		Line 29:

	Chiffrement des mots de passe utilisateurs en base <sup>[7]</sup> <sup>[*8]</sup> par un algorithme non réversible (par défaut utilisation du '''password_hash''' PHP basé sur l'agorithme crypt blowfish actuellement).		Chiffrement des mots de passe utilisateurs en base <sup>[7]</sup> <sup>[*8]</sup> par un algorithme non réversible (par défaut utilisation du '''password_hash''' PHP basé sur l'agorithme crypt blowfish actuellement).
	Chiffrement d'autres données sensibles, ayant un besoin de lecture en clair, par un algorithme réversible <sup>[7]</sup> <sup>[*8]</sup> (utilisation d'une fonction interne dolEncrypt/dolDecrypt utilisant une clé issue du fichier conf.php).		Chiffrement d'autres données sensibles, ayant un besoin de lecture en clair, par un algorithme réversible <sup>[7]</sup> <sup>[*8]</sup> (utilisation d'une fonction interne dolEncrypt/dolDecrypt utilisant une clé issue du fichier conf.php, actuellement basée sur SHA256).
	Chiffrement du mot de passe technique de la base de données dans le [[Fichier de configuration]] (conf.php) <sup>[8]</sup>.		Chiffrement du mot de passe technique de la base de données dans le [[Fichier de configuration]] (conf.php) <sup>[8]</sup>.
	Forçage du mode HTTPS <sup>[9]</sup>.		Forçage du mode HTTPS <sup>[9]</sup>.

Eldy: /* File:securite.png Alertes de sécurité */

2025-12-18T09:38:34Z

File:securite.png Alertes de sécurité

← Older revision		Revision as of 09:38, 18 December 2025
Line 15:		Line 15:

	=[[File:securite.png]] Alertes de sécurité=		=[[File:securite.png]] Alertes de sécurité=
	Le projet a mis en place un processus de notification temps réel pour les alertes officielles sur les vulnérabilités de sécurité connues sur le projet Dolibarr (agrégation des CVE officielles publiées avec les ~~Private~~ Vulnerability Disclosure, et issues/tickets estampillés "Sécurité" du projet). Vous pouvez:		Le projet a mis en place un processus de notification temps réel pour les alertes officielles sur les vulnérabilités de sécurité connues sur le projet Dolibarr (agrégation des CVE officielles publiées avec les tickets issus de Vulnerability Disclosure Program, et les issues/tickets standard estampillés "Sécurité" du projet). Vous pouvez:

	*Consulter la section "'''Dernières alertes de sécurité'''" disponible sur cette page https://cti.dolibarr.org#securityalerts,		*Consulter la section "'''Dernières alertes de sécurité'''" disponible sur cette page https://cti.dolibarr.org#securityalerts,

Eldy at 09:36, 18 December 2025

2025-12-18T09:36:45Z

← Older revision		Revision as of 09:36, 18 December 2025
Line 12:		Line 12:
	{{TemplateDocDevFr}}		{{TemplateDocDevFr}}

	Cette page est un point d'entrée sur les différentes informations relatives à la sécurité du projet Dolibarr ERP CRM.		Cette page est le point d'entrée sur les différentes informations relatives à la sécurité du projet Dolibarr ERP CRM.

	=[[File:securite.png]] Alertes de sécurité=		=[[File:securite.png]] Alertes de sécurité=

Eldy at 09:36, 18 December 2025

2025-12-18T09:36:23Z

← Older revision		Revision as of 09:36, 18 December 2025
Line 12:		Line 12:
	{{TemplateDocDevFr}}		{{TemplateDocDevFr}}

	Cette page est un point d'entrée sur les différentes informations relatives à Dolibarr ERP CRM ~~en rapport avec la sécurité~~.		Cette page est un point d'entrée sur les différentes informations relatives à la sécurité du projet Dolibarr ERP CRM.

	=[[File:securite.png]] Alertes de sécurité=		=[[File:securite.png]] Alertes de sécurité=

Eldy: /* File:art.png Remonter une faille de sécurité */

2025-12-16T00:35:28Z

File:art.png Remonter une faille de sécurité

← Older revision		Revision as of 00:35, 16 December 2025
Line 139:		Line 139:

	=[[File:art.png]] Remonter une faille de sécurité=		=[[File:art.png]] Remonter une faille de sécurité=
	Le projet publie sa politique de remontée de vulnérabilité via le fichier standard suivant:		Le projet publie sa politique de remontée de vulnérabilité via le fichier standard suivant:

	https://github.com/Dolibarr/dolibarr/blob/develop/SECURITY.md		https://github.com/Dolibarr/dolibarr/blob/develop/SECURITY.md

	Les corrections de sécurité sont en général traitées (comprendre "commités et disponible dans le code source") sous 15 jours. La remontée aux utilisateurs se fait en automatique dans l'heure qui suit le commit via le flus RSS dédié :		Les corrections de sécurité sont en général traitées (comprendre "commités et disponible dans le code source") sous 15 jours. La remontée aux utilisateurs se fait en automatique dans l'heure qui suit le commit via le flus RSS dédié :

	https://cti.dolibarr.org/index-security.rss		https://cti.dolibarr.org/index-security.rss

Eldy: /* File:art.png Remonter une faille de sécurité */

2025-12-16T00:35:13Z

File:art.png Remonter une faille de sécurité

← Older revision		Revision as of 00:35, 16 December 2025
Line 139:		Line 139:

	=[[File:art.png]] Remonter une faille de sécurité=		=[[File:art.png]] Remonter une faille de sécurité=
	Le projet publie sa politique de remontée de vulnérabilité via le fichier standard suivant: https://github.com/Dolibarr/dolibarr/blob/develop/SECURITY.md		Le projet publie sa politique de remontée de vulnérabilité via le fichier standard suivant:
			https://github.com/Dolibarr/dolibarr/blob/develop/SECURITY.md

	Les corrections de sécurité sont en général traitées (comprendre "commités et disponible dans le code source") sous 15 jours. La remontée aux utilisateurs se fait en automatique dans l'heure qui suit le commit via le flus RSS dédié https://cti.dolibarr.org/index-security.rss		Les corrections de sécurité sont en général traitées (comprendre "commités et disponible dans le code source") sous 15 jours. La remontée aux utilisateurs se fait en automatique dans l'heure qui suit le commit via le flus RSS dédié :
			https://cti.dolibarr.org/index-security.rss

	=[[File:art.png]] Campagnes de Bug bounty et VDP=		=[[File:art.png]] Campagnes de Bug bounty et VDP=

Eldy: /* Fonction anti Hacks et cracks */

2025-12-15T22:08:04Z

Fonction anti Hacks et cracks

← Older revision		Revision as of 22:08, 15 December 2025
Line 78:		Line 78:
	*Système de protection anti injection SSRF (tous les appels d'URL externes faite par l'application passent via la méthode '''getDolURLContent''')		*Système de protection anti injection SSRF (tous les appels d'URL externes faite par l'application passent via la méthode '''getDolURLContent''')
	Système de protection anti CSRF (Cross Site Request Forgery) <sup>[5]</sup> (utilisation d'un jeton dans chaque formulaire HTML avec plusieurs règles de renouvellement, par session, par page)		Système de protection anti CSRF (Cross Site Request Forgery) <sup>[5]</sup> (utilisation d'un jeton dans chaque formulaire HTML avec plusieurs règles de renouvellement, par session, par page)
			*Fonction applicative de quotas (limite upload, extensions, tailles, ...)
	*Possibilité de paramétrer les entêtes HTTP de l'application ("HTTP Referer-Policy", 'HTTP Strict-Transport-Security", "HTTP Permissions Policy", ""HTTP Content-Security-Policy")		*Possibilité de paramétrer les entêtes HTTP de l'application ("HTTP Referer-Policy", 'HTTP Strict-Transport-Security", "HTTP Permissions Policy", ""HTTP Content-Security-Policy")

Line 84:		Line 85:
	AcceptPathInfo Off		AcceptPathInfo Off
	</syntaxhighlight>		</syntaxhighlight>


	==Accès pages et fichiers==		==Accès pages et fichiers==

Eldy: /* File:art.png Campagnes de Bug bounty et VDP */

2025-12-15T17:22:01Z

File:art.png Campagnes de Bug bounty et VDP

← Older revision		Revision as of 17:22, 15 December 2025
Line 144:		Line 144:

	=[[File:art.png]] Campagnes de Bug bounty et VDP=		=[[File:art.png]] Campagnes de Bug bounty et VDP=
	Des campagnes de bug bounties sont réalisées régulièrement par le projet et financées par l'Association Dolibarr. Ces campagnes sont de type '''VDP privées (Vulnerability Disclosure Programs)''' gérées par des partenaires spécialisés (Exemple: https://yogosha.com, https://huntr.com/). Les corrections de ces campagnes sont publiées sous 15 jours comme pour toute autre remontée publique de vulnérabilités (délai "constaté" par le projet communautaire, se rapprocher d'un ~~partenaire commercial pour~~ un délai "contractuel")		Des campagnes de bug bounties sont réalisées régulièrement par le projet et financées par l'Association Dolibarr. Ces campagnes sont de type '''VDP privées (Vulnerability Disclosure Programs)''' gérées par des partenaires spécialisés (Exemple: https://yogosha.com, https://huntr.com/). Les corrections de ces campagnes sont publiées sous 15 jours comme pour toute autre remontée publique de vulnérabilités (délai "constaté" par le projet communautaire, se rapprocher d'un Dolibarr Preferred Partner an cas de besoin d'un "délai contractuel" plus fort)

	=[[File:Www.png\|39px\|link=]] Ouvrir l'accès à sa machine / son serveur local vers internet=		=[[File:Www.png\|39px\|link=]] Ouvrir l'accès à sa machine / son serveur local vers internet=

Eldy at 10:19, 31 August 2025

2025-08-31T10:19:25Z

← Older revision		Revision as of 10:19, 31 August 2025
Line 18:		Line 18:

	*Consulter la section "'''Dernières alertes de sécurité'''" disponible sur cette page https://cti.dolibarr.org#securityalerts,		*Consulter la section "'''Dernières alertes de sécurité'''" disponible sur cette page https://cti.dolibarr.org#securityalerts,
	*Ou vous abonner au flux RSS sur https://cti.dolibarr.org/index-security.rss ~~(par exemple avec l'application Android [https://f-droid.org/packages/com.nononsenseapps.feeder/ Feeder] )~~ si vous avez besoin de recevoir ou de consulter les alertes en temps réel sur votre smartphone.		*Ou vous abonner au flux RSS sur https://cti.dolibarr.org/index-security.rss si vous avez besoin de recevoir ou de consulter les alertes en temps réel sur votre smartphone (par exemple avec l'application Android Feeder).

	*Si vous souhaitez également recevoir des alertes de sécurité non encore connues de l'équipe projet, et publiées dans la base de données internationale CVE (très rare, les vulnérabilités étant en général remontées au projet avant d'être publié en CVE et donc déjà remontées via la méthode précédente), vous pouvez souscrire à un service d'alerte CVE. Par exemple https://opencve.io		*Si vous souhaitez également recevoir des alertes de sécurité non encore connues de l'équipe projet, et publiées dans la base de données internationale CVE (très rare, les vulnérabilités étant en général remontées au projet avant d'être publié en CVE et donc déjà remontées via la méthode précédente), vous pouvez souscrire à un service d'alerte CVE. Par exemple https://opencve.io

Eldy at 10:18, 31 August 2025

2025-08-31T10:18:25Z

← Older revision		Revision as of 09:39, 18 December 2025
Line 29:		Line 29:

	Chiffrement des mots de passe utilisateurs en base <sup>[7]</sup> <sup>[*8]</sup> par un algorithme non réversible (par défaut utilisation du '''password_hash''' PHP basé sur l'agorithme crypt blowfish actuellement).		Chiffrement des mots de passe utilisateurs en base <sup>[7]</sup> <sup>[*8]</sup> par un algorithme non réversible (par défaut utilisation du '''password_hash''' PHP basé sur l'agorithme crypt blowfish actuellement).
	Chiffrement d'autres données sensibles, ayant un besoin de lecture en clair, par un algorithme réversible <sup>[7]</sup> <sup>[*8]</sup> (utilisation d'une fonction interne dolEncrypt/dolDecrypt utilisant une clé issue du fichier conf.php).		Chiffrement d'autres données sensibles, ayant un besoin de lecture en clair, par un algorithme réversible <sup>[7]</sup> <sup>[*8]</sup> (utilisation d'une fonction interne dolEncrypt/dolDecrypt utilisant une clé issue du fichier conf.php, actuellement basée sur SHA256).
	Chiffrement du mot de passe technique de la base de données dans le [[Fichier de configuration]] (conf.php) <sup>[8]</sup>.		Chiffrement du mot de passe technique de la base de données dans le [[Fichier de configuration]] (conf.php) <sup>[8]</sup>.
	Forçage du mode HTTPS <sup>[9]</sup>.		Forçage du mode HTTPS <sup>[9]</sup>.

← Older revision		Revision as of 10:18, 31 August 2025
Line 15:		Line 15:

	=[[File:securite.png]] Alertes de sécurité=		=[[File:securite.png]] Alertes de sécurité=
	Le projet a mis en place un processus de notification temps réel pour les alertes officielles sur les vulnérabilités de sécurité connues sur le projet Dolibarr (agrégation des CVE officielles publiées avec les Private Vulnerability Disclosure, et issues/tickets estampillés ~~sécurité~~ du projet). Vous pouvez:		Le projet a mis en place un processus de notification temps réel pour les alertes officielles sur les vulnérabilités de sécurité connues sur le projet Dolibarr (agrégation des CVE officielles publiées avec les Private Vulnerability Disclosure, et issues/tickets estampillés "Sécurité" du projet). Vous pouvez:

	*Consulter la section "'''Dernières alertes de sécurité'''" disponible sur cette page https://cti.dolibarr.org#securityalerts,		*Consulter la section "'''Dernières alertes de sécurité'''" disponible sur cette page https://cti.dolibarr.org#securityalerts,
Line 23:		Line 23:

	=[[File:art.png]] Fonctionnalités de sécurité=		=[[File:art.png]] Fonctionnalités de sécurité=
	Dolibarr intègre les mécanismes de sécurité suivant :		Dolibarr intègre les mécanismes de sécurité suivant<span> </span>:


Line 107:		Line 107:
	Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[7]</sup>.		Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[7]</sup>.
	*Système d'audit interne pour journaliser de manière permanente les événements en rapport avec l'administration utilisateurs et les connexions en succès ou en échec.		*Système d'audit interne pour journaliser de manière permanente les événements en rapport avec l'administration utilisateurs et les connexions en succès ou en échec.
	*Possibilité de tracer un enregistrement en fichier log (Le module Debug Log doit être activé avec au moins le niveau 5 - LOG_NOTICE) après un succès ou un échec de connexion ainsi vous pouvez ajouter des règles fail2ban ou crowdsec pour bloquer les '''brute force attacks'''. Vous pouvez vérifier les enregistrements avec la syntax :		*Possibilité de tracer un enregistrement en fichier log (Le module Debug Log doit être activé avec au moins le niveau 5 - LOG_NOTICE) après un succès ou un échec de connexion ainsi vous pouvez ajouter des règles fail2ban ou crowdsec pour bloquer les '''brute force attacks'''. Vous pouvez vérifier les enregistrements avec la syntax<span> </span>:

	"YYYY-MM-DD HH:MM:SS (ERROR\|NOTICE\|INFO\|DEBUG) IP functions_dolibarr::check_user_password_.* Authentication KO"		"YYYY-MM-DD HH:MM:SS (ERROR\|NOTICE\|INFO\|DEBUG) IP functions_dolibarr::check_user_password_.* Authentication KO"
Line 136:		Line 136:
	==OpenSourceSSF==		==OpenSourceSSF==

	Dolibarr passe avec succès le niveau de conformité Sécurité et Bonnes Pratiques définies par l'OpenSourceSSF : https://bestpractices.coreinfrastructure.org/projects/5521		Dolibarr passe avec succès le niveau de conformité Sécurité et Bonnes Pratiques définies par l'OpenSourceSSF<span> </span>: https://bestpractices.coreinfrastructure.org/projects/5521

	=[[File:art.png]] Remonter une faille de sécurité=		=[[File:art.png]] Remonter une faille de sécurité=
Line 151:		Line 151:
	Une installation chez un hébergeur (généraliste ou spécialisé Dolibarr) donne accès à n'importe quelle machine reliée à internet.		Une installation chez un hébergeur (généraliste ou spécialisé Dolibarr) donne accès à n'importe quelle machine reliée à internet.

	Si vous avez fait le choix d'installer Dolibarr en local, sur votre machine : il est tout de même possible de partager Dolibarr avec d'autres machines.		Si vous avez fait le choix d'installer Dolibarr en local, sur votre machine<span> </span>: il est tout de même possible de partager Dolibarr avec d'autres machines.

	Deux cas sont à prendre en compte :		Deux cas sont à prendre en compte<span> </span>:

	*le partage local : seules les machines présentes physiquement sur le même réseau auront accès aux données par leur navigateur. Pour cela il suffit d'attribuer une IP fixe à la machine "serveur" et de paramétrer correctement les antivirus/firewall de cette machine. (ce forum ayant vocation à l'unique utilisation de Dolibarr : il faudra vous documenter par vous même sur les paramétrages à mettre en place, ou demander de l'aide sur le forum). Les autres machines auront lors accès à Dolibarr avec une adresses similaire à "http://192.168.1.148/xxxxx" où "xxxxxx" est potentiellement le sous répertoire dans le quel vous avez installé dolibarr)		*le partage local<span> </span>: seules les machines présentes physiquement sur le même réseau auront accès aux données par leur navigateur. Pour cela il suffit d'attribuer une IP fixe à la machine "serveur" et de paramétrer correctement les antivirus/firewall de cette machine. (ce forum ayant vocation à l'unique utilisation de Dolibarr<span> </span>: il faudra vous documenter par vous même sur les paramétrages à mettre en place, ou demander de l'aide sur le forum). Les autres machines auront lors accès à Dolibarr avec une adresses similaire à "http://192.168.1.148/xxxxx" où "xxxxxx" est potentiellement le sous répertoire dans le quel vous avez installé dolibarr)
	*le partage via internet : la procédure est identique au partage local, il vous faudra en plus :		*le partage via internet<span> </span>: la procédure est identique au partage local, il vous faudra en plus<span> </span>:
	**paramétrer une redirection de port sur votre accès internet vers le "serveur". Cette ouverture de port n'est pas anodine d'un point de vue sécurité : formez vous correctement ou faites appel à un professionnel.		**paramétrer une redirection de port sur votre accès internet vers le "serveur". Cette ouverture de port n'est pas anodine d'un point de vue sécurité<span> </span>: formez vous correctement ou faites appel à un professionnel.
	**avoir une IP fixe de pour votre accès internet, ou une résolution DNS dynamique.		**avoir une IP fixe de pour votre accès internet, ou une résolution DNS dynamique.

	La solution idéale, restera de confier l'hébergement, la sécurité et les sauvegardes de votre Dolibarr à un hébergeur professionnel...		La solution idéale, restera de confier l'hébergement, la sécurité et les sauvegardes de votre Dolibarr à un hébergeur professionnel...

	Oui : cela à un coût... mais en regard du risque de "tout perdre", il est important de se poser la question !		Oui<span> </span>: cela à un coût... mais en regard du risque de "tout perdre", il est important de se poser la question !

	NB : une installation locale avec des données existantes est très facilement migrable vers ce type d'hébergement.		NB<span> </span>: une installation locale avec des données existantes est très facilement migrable vers ce type d'hébergement.


	----		----
	<sup>(*X)</sup> Ce mécanisme répond à une criticité numéro X du classement Top Ten de l'[http://www.owasp.org/index.php/Top_10_2007 OWASP 2007]. La position X peut avoir évoluée.		<sup>(*X)</sup> Ce mécanisme répond à une criticité numéro X du classement Top Ten de l'[http://www.owasp.org/index.php/Top_10_2007 OWASP 2007]. La position X peut avoir évoluée.