Dolibarr, ERP/CRM open source plébiscité par de nombreuses entreprises, est un outil polyvalent pour gérer la facturation, la relation client, le stock ou encore la comptabilité. Cependant, comme tout logiciel manipulant des informations sensibles, il nécessite une configuration et un entretien spécifiques pour éviter les failles de sécurité. Dans cet article, nous passerons en revue les principales bonnes pratiques à mettre en place afin de sécuriser efficacement votre instance Dolibarr.

1. Activer et configurer HTTPS

1.1. Pourquoi passer au HTTPS ?

Le protocole HTTPS garantit que les échanges entre votre navigateur et le serveur Dolibarr sont chiffrés. Ainsi, les mots de passe, informations personnelles ou données de facturation ne transitent pas en clair sur le réseau, réduisant considérablement les risques d’interception (attaque de type “man-in-the-middle”).

1.2. Obtenir et installer un certificat SSL/TLS

• Certificat Let’s Encrypt : Gratuits et automatisés, ils conviennent à la plupart des entreprises. Il suffit de suivre les instructions du client Certbot (ou équivalent) pour générer et installer le certificat.
• Certificat payant : Pour un niveau de validation supérieur (OV, EV), vous pouvez souscrire auprès d’une Autorité de Certification reconnue.
• Configuration serveur : Après obtention du certificat, activez le module SSL (sur Apache) ou configurez la section server { ... } en HTTPS (sur Nginx). Assurez-vous de forcer la redirection HTTP→HTTPS pour empêcher tout accès non sécurisé.

2. Gérer les droits utilisateurs et les accès

2.1. Rôles et permissions

Dolibarr dispose d’un système de permissions granulaires. Chaque module (facturation, CRM, comptabilité, etc.) peut être associé à des rôles (administrateur, commercial, comptable, etc.), ce qui limite l’accès aux seules fonctionnalités requises par chaque utilisateur.

• Principe du moindre privilège : Ne donnez aux utilisateurs que les droits dont ils ont réellement besoin pour leur travail.
• Révision régulière : Pensez à vérifier périodiquement la liste des utilisateurs et leurs droits, surtout en cas de départ d’un salarié ou de changement de poste.

2.2. Politiques de mots de passe et authentification

• Mots de passe complexes : Exigez un minimum de longueur (8, 10 caractères ou plus), mélangeant majuscules, minuscules, chiffres et caractères spéciaux.
• Authentification à deux facteurs (2FA) : Même si Dolibarr n’intègre pas nativement la 2FA, vous pouvez mettre en place des solutions externes (reverse proxy, VPN, etc.) pour renforcer l’accès.
• Gestion de session : Paramétrez une durée de session raisonnable. Passé un certain délai d’inactivité, l’utilisateur doit se reconnecter.

3. Sauvegardes régulières et plan de restauration

3.1. Pourquoi sauvegarder ?

Une panne matérielle, une erreur de manipulation ou une attaque malveillante peuvent provoquer une perte partielle ou totale de vos données. Des sauvegardes régulières vous garantissent de pouvoir restaurer vos informations et de limiter l’impact en cas d’incident.

3.2. Stratégie de sauvegarde

• Fréquence : Adaptez la fréquence (quotidienne, hebdomadaire, etc.) à la criticité de vos données. Plus votre Dolibarr est sollicité, plus vous devrez sauvegarder souvent.
• Rétention : Conservez plusieurs versions de vos sauvegardes afin de pouvoir revenir à un état antérieur en cas de problème détecté tardivement.
• Externalisation : Stockez vos sauvegardes hors du serveur principal (un autre serveur, un NAS, un service cloud sécurisé) pour qu’elles ne soient pas compromises en même temps que le système.

3.3. Procédures de restauration

• Testez vos backups : Une sauvegarde n’a de valeur que si elle est restaurable. Effectuez régulièrement des tests de restauration sur un environnement de test pour vérifier l’intégrité des fichiers et la bonne exécution du processus.
• Documentation : Rédigez une procédure claire et précise pour que l’équipe technique sache exactement comment restaurer Dolibarr en cas de besoin.

4. Mises à jour et veille technologique

4.1. Garder Dolibarr à jour

La communauté Dolibarr publie régulièrement des mises à jour qui incluent :

• Des correctifs de bugs,
• Des patchs de sécurité,
• Des améliorations de performances.

Installer ces mises à jour dès leur sortie (après tests sur un environnement dédié) est l’un des meilleurs moyens de se protéger contre des vulnérabilités connues.

4.2. Mettre à jour l’environnement serveur

• Système d’exploitation (Linux, Windows, etc.) : Appliquez les mises à jour du noyau et des paquets dès qu’elles sont disponibles.
• Stack LAMP/LEMP : Conservez des versions récentes d’Apache/Nginx, PHP et MySQL/MariaDB pour éviter les failles critiques déjà identifiées.
• Extensions et modules : Vérifiez également que les plugins externes ou modules Dolibarr soient à jour, car une faille dans un module peut compromettre toute l’application.

5. Audits de sécurité et surveillance

5.1. Journaux de sécurité

Dolibarr génère des logs (fichiers de journalisation) qui peuvent vous renseigner sur des accès anormaux ou des erreurs récurrentes. Pensez à :

• Activer un niveau de log pertinent (erreurs, avertissements, etc.),
• Contrôler régulièrement ces journaux pour détecter des tentatives d’intrusion ou de connexion suspectes.

5.2. Audit et tests d’intrusion

• Périodicité : Un audit de sécurité annuel ou semestriel permet de repérer des vulnérabilités potentielles.
• Outils : Vous pouvez utiliser des scanners de vulnérabilités (OpenVAS, Nessus, etc.) ou faire appel à des spécialistes en sécurité pour un test d’intrusion poussé.
• Actions correctives : Les failles détectées doivent être corrigées au plus vite et faire l’objet d’une nouvelle vérification si nécessaire.

6. Bonnes pratiques supplémentaires

6.1. Sécuriser le réseau

• Pare-feu : Limitez les ports ouverts et autorisez uniquement l’accès aux services indispensables (SSH, HTTPS, etc.).
• VPN : Pour les collaborateurs travaillant à distance, un VPN permet de sécuriser le canal de communication vers le serveur Dolibarr.

6.2. Cloisonner les environnements

• Environnement de test : Mettez en place une instance de Dolibarr distincte pour tester les mises à jour et les nouveaux modules avant de les déployer en production.
• Segmentation réseau : Si possible, isolez la base de données sur un serveur dédié ou une sous-réseau distinct (DMZ), réduisant la surface d’attaque.

6.3. Sensibiliser les utilisateurs

• Formation : Expliquez à vos équipes les bonnes pratiques (sécurité des mots de passe, phishing, etc.).
• Procédures internes : Instaurez des process clairs (création/suppression de comptes, escaliers d’approbation, etc.) pour réduire les risques d’erreur humaine.

Conclusion

Sécuriser votre installation Dolibarr est un processus continu qui passe par la configuration initiale, la gestion des droits et des accès, la mise en place d’une politique de sauvegarde efficace et la vigilance envers les mises à jour et les éventuelles failles. Il est essentiel de considérer la sécurité comme un investissement stratégique pour la pérennité de votre entreprise.

En appliquant les bonnes pratiques décrites dans ce guide — HTTPS, gestion précise des utilisateurs, backups réguliers, mises à jour fréquentes et audits de sécurité — vous réduirez considérablement les risques d’incidents et garantirez la confidentialité et l’intégrité de vos données. N’hésitez pas à vous appuyer sur la communauté Dolibarr et sur des experts en sécurité pour vous accompagner dans cette démarche.