Introducción

Dolibarr ERP & CRM se ha consolidado como una de las plataformas de gestión empresarial de código abierto más populares, gracias a su flexibilidad, estructura modular y facilidad de uso.
Tanto si eres propietario de una pequeña empresa, como una gran corporación o un proveedor de servicios TI, implementar Dolibarr ofrece un enorme potencial para optimizar procesos de ventas, finanzas, recursos humanos y atención al cliente.

Pero con gran poder viene una gran responsabilidad.
Dado que Dolibarr gestiona datos empresariales sensibles —como información de clientes, documentos financieros, inventarios y procesos internos—, asegurar tu instancia de Dolibarr es absolutamente esencial.
Una brecha de seguridad puede provocar pérdidas económicas, daños reputacionales y sanciones legales.

En esta guía, repasaremos en detalle las mejores prácticas y recomendaciones para proteger Dolibarr: desde la configuración del servidor hasta la gestión de usuarios, el endurecimiento de la aplicación, las copias de seguridad y la supervisión continua.
Protege tu negocio y garantiza la fiabilidad de tu sistema ERP.

¿Por qué es crucial la seguridad en Dolibarr?

Antes de entrar en recomendaciones técnicas, es importante entender los riesgos de una instancia de Dolibarr mal protegida:

• Fugas de datos: Acceso no autorizado a datos de clientes, facturas y documentos internos.

• Pérdidas financieras: Manipulación o robo de información contable.

• Daños a la reputación: Pérdida de confianza de clientes y socios.

• Sanciones legales: Incumplir normativas como el GDPR puede acarrear multas importantes.

• Interrupción del negocio: Ataques como el ransomware pueden bloquear por completo el sistema.

Dolibarr suele estar expuesto a Internet, por lo que una estrategia de seguridad proactiva es indispensable.

Seguridad a nivel de servidor para Dolibarr

1. Entorno de hosting seguro

Elige un proveedor de hosting confiable:

• VPS, servidores dedicados o cloud privado (evita el hosting compartido para entornos productivos).

• Centros de datos certificados (ISO 27001, SOC 2, etc.).

• Protección DDoS y firewalls incluidos.

Mantén el sistema operativo de tu servidor (Ubuntu, Debian, CentOS...) siempre actualizado.

2. Utilizar exclusivamente HTTPS

No expongas tu instancia de Dolibarr a través de HTTP:

• Instala un certificado SSL/TLS válido (Let’s Encrypt o proveedores pagos).

• Redirecciona automáticamente el tráfico HTTP a HTTPS.

• Utiliza suites de cifrado fuertes.

HTTPS protege los datos transmitidos frente a posibles interceptaciones.

3. Configuración de firewall

Configura correctamente los firewalls:

• Firewalls de servidor (UFW en Ubuntu, Firewalld en CentOS).

• Firewalls de red del proveedor de hosting.

• Solo abrir los puertos necesarios (80, 443, 22...).

• Restringir el acceso SSH a IPs de confianza.

Un firewall bien configurado reduce drásticamente los vectores de ataque.

4. Actualización de software del sistema

Actualiza regularmente:

• El sistema operativo.

• PHP, MySQL/MariaDB, Nginx/Apache.

• Todos los paquetes instalados.

El software obsoleto es la vía de entrada favorita de los atacantes.

Fortalecimiento de la aplicación Dolibarr

1. Mantener Dolibarr actualizado

Cada nueva versión de Dolibarr corrige vulnerabilidades:

• Actualiza tu instalación periódicamente.

• Realiza siempre una copia de seguridad antes de actualizar.

Las nuevas versiones también suelen incluir mejoras de seguridad.

2. Proteger el directorio /documents

Dolibarr guarda los archivos subidos en /documents:

• Ubícalo fuera del directorio web público si es posible.

• De lo contrario, protege el acceso mediante .htaccess (Apache) o reglas Nginx:

  • Prohibir el acceso directo.

  • Impedir la ejecución de archivos.

Así se evita que se ejecuten scripts maliciosos.

3. Implementar políticas de contraseñas fuertes

• Exigir contraseñas con mínimo 12 caracteres, mayúsculas, minúsculas, números y símbolos.

• Cambiar las credenciales por defecto tras la instalación.

• Obligar al cambio periódico de contraseñas.

• Habilitar la autenticación en dos pasos (2FA) cuando sea posible.

Una política de contraseñas robusta es esencial.

4. Limitar los accesos administrativos

• Conceder privilegios de administrador solo a quien lo necesite.

• Eliminar o desactivar cuentas no utilizadas.

• Aplicar el principio de mínimos privilegios.

Cuantos menos administradores, menor será el riesgo.

5. Configurar correctamente las sesiones

• Establecer tiempos de expiración cortos para sesiones inactivas.

• Regenerar el ID de sesión tras iniciar sesión.

• Configurar cookies con Secure, HttpOnly y SameSite.

Así se evita el secuestro de sesiones.

Seguridad de la base de datos Dolibarr

1. Proteger el acceso a la base de datos

• Utilizar contraseñas fuertes para los usuarios de base de datos.

• No utilizar el usuario root de MySQL para Dolibarr.

• Crear un usuario específico con privilegios limitados.

Limitar permisos minimiza el riesgo en caso de fallo de seguridad.

2. Restringir conexiones externas

• Si es posible, hacer que MySQL/MariaDB escuche solo en localhost.

• Restringir el acceso remoto a través del firewall.

Reducir la exposición limita las amenazas.

3. Cifrar datos sensibles

• Dolibarr ya cifra las contraseñas por defecto.

• Considera cifrar también campos personalizados críticos.

La protección adicional refuerza la privacidad.

Estrategia de copias de seguridad y recuperación

1. Copias de seguridad automáticas

• Programar backups diarios de la base de datos.

• Copiar también los archivos importantes (/documents, módulos personalizados).

Los backups automáticos son vitales para garantizar la continuidad del negocio.

2. Almacenamiento de copias fuera del servidor

• Guardar copias de seguridad en servidores externos o servicios en la nube.

• Cifrar las copias de seguridad.

Así estarás protegido incluso ante un fallo total del servidor principal.

3. Probar regularmente las copias

• Verificar la integridad de los backups.

• Realizar simulaciones de restauración.

Un backup inútil es aquel que no puede restaurarse cuando se necesita.

Monitorización y detección de intrusiones

1. Supervisión del sistema

Utiliza herramientas para monitorizar:

• Uso de CPU, memoria, almacenamiento.

• Estado de disponibilidad del servidor web.

Zabbix, Grafana, entre otros, te alertarán de anomalías.

2. Sistemas de detección de intrusos (IDS)

Considera instalar:

• OSSEC (open source IDS).

• Fail2Ban (bloqueo de IPs tras intentos fallidos de acceso).

Detecta y bloquea ataques de fuerza bruta.

3. Gestión de registros

• Centralizar logs de acceso, logs de Dolibarr, logs del sistema operativo.

• Analizar eventos sospechosos.

Los registros son cruciales para investigaciones forenses posteriores.

Refuerzos adicionales a nivel de aplicación

1. Restringir tipos de archivos subidos

• Permitir únicamente formatos seguros (PDF, JPEG, DOCX...).

• Verificar el tipo MIME y limitar el tamaño de los archivos.

Evitar cargas peligrosas reduce drásticamente los riesgos.

2. Instalar solo módulos de confianza

• Instalar módulos oficiales o de desarrolladores reconocidos.

• Actualizar regularmente los módulos externos.

Un módulo mal desarrollado puede comprometer toda la instancia.

3. Configurar correctamente permisos de archivos

• Archivos: permisos 644.

• Directorios: permisos 755.

• Archivos críticos como conf.php: permisos 600.

Los permisos adecuados protegen contra accesos no autorizados.

Buenas prácticas de seguridad para los usuarios

1. Formar a los usuarios

• Sensibilizar sobre phishing y técnicas de ingeniería social.

• Promover el uso de gestores de contraseñas.

La formación es clave para fortalecer la primera línea de defensa.

2. Realizar auditorías de seguridad periódicas

• Revisar políticas y configuraciones de seguridad regularmente.

• Realizar pruebas de penetración profesionales cuando sea necesario.

La prevención continua es fundamental.

3. Registro y auditoría de accesos

• Registrar todos los inicios de sesión.

• Monitorear acciones sensibles como la modificación de facturas o creación de usuarios.

La trazabilidad ayuda a detectar anomalías a tiempo.

Conclusión

Asegurar tu instancia de Dolibarr implica un enfoque integral que combina protección del servidor, configuración de la aplicación, gestión de usuarios, monitorización y estrategias de recuperación ante desastres.
Aplicando estas mejores prácticas, protegerás tus datos, tus clientes, tu reputación y garantizarás la continuidad de tu negocio.

Recuerda: invertir en seguridad hoy evitará pérdidas, problemas y daños mañana.