Un ERP concentra en un solo lugar sus precios, salarios, listas de clientes y datos bancarios. Eso lo hace muy útil, pero también significa que una configuración de acceso descuidada puede exponer datos sensibles o permitir que una sola persona haga cosas que deberían requerir una segunda revisión. Odoo 19 ofrece un conjunto de controles por capas para esto. Bien utilizados, permiten que cada persona haga su trabajo sin ver ni modificar más de lo que debe.
Una nota sobre las fuentes: esta guía se basa en la documentación oficial de Odoo para la versión 19.0. Los nombres de menús y las opciones pueden cambiar entre versiones, ediciones y aplicaciones instaladas, así que confirme cada paso en una base de datos de prueba o duplicada antes de aplicarlo en su sistema en producción.
Conozca primero los tipos de usuario
Odoo tiene tres tipos de usuario. Los usuarios internos son el personal que trabaja dentro de la base de datos. Los usuarios del portal son personas externas, como clientes o proveedores, que consultan sus propios registros a través del portal. Los usuarios públicos son los visitantes del sitio web.
La documentación oficial también describe a los administradores como usuarios internos con permisos avanzados, como las funciones técnicas y la exportación de datos. Trate el rol de administrador como un privilegio para un número reducido de personas de confianza, no como una comodidad para todos.
Los usuarios del portal se gestionan de forma distinta a los internos. Odoo no permite definir permisos de acceso a aplicaciones para un usuario del portal. En su lugar, estos usuarios reciben reglas de registro predefinidas y menús restringidos, y la documentación indica que los usuarios del portal solo tienen acceso de lectura o consulta a los documentos de la base de datos.
Los usos típicos del portal incluyen dar seguimiento a pedidos y pagarlos, descargar y pagar facturas, gestionar métodos de pago y suscripciones, y mantener actualizadas las direcciones.
Cómo organiza Odoo el control de acceso por capas
Conviene pensar en el acceso en Odoo como una serie de filtros superpuestos. El tipo de usuario fija el límite general. Los niveles de acceso a aplicaciones en el formulario del usuario deciden qué aplicaciones puede usar la persona y hasta dónde. Detrás de esos niveles están los grupos, que otorgan permisos a nivel de modelo para leer, escribir, crear y eliminar. Las reglas de registro acotan después qué registros individuales puede manipular un grupo. Además, puede ocultar campos concretos a ciertos grupos, limitar qué empresas puede abrir un usuario y reforzar el propio inicio de sesión.
Cree usuarios y asigne el acceso a las aplicaciones
Para agregar un usuario interno, abra la aplicación Ajustes, vaya a la sección Usuarios, haga clic en Administrar usuarios y luego en Nuevo. Complete el formulario, incluida la dirección de correo electrónico.
En la pestaña Permisos de acceso, elija un nivel para cada aplicación. Aquí solo aparecen las aplicaciones instaladas en la base de datos. Los niveles habituales son en blanco (sin acceso), Usuario: solo sus documentos, Usuario: todos los documentos y Administrador, aunque las opciones exactas varían según la aplicación.
Guarde el usuario. Odoo envía una invitación a la dirección de correo del formulario, y la persona debe aceptarla para crear su acceso. En la pantalla Administrar usuarios, los filtros Usuario interno y Usuario del portal le ayudan a revisar cada tipo por separado.
Asigne a cada usuario nuevo el nivel más bajo que le permita hacer su trabajo y amplíe el acceso cuando exista una necesidad clara. Quitar acceso después siempre es más difícil que otorgarlo con cuidado desde el principio.
Grupos, reglas de registro y seguridad de campos
Los niveles que elige en la pestaña Permisos de acceso corresponden internamente a grupos. Para verlos, active el modo de desarrollador desde la sección Herramientas de desarrollador de la aplicación Ajustes. Luego puede abrir la pestaña Permisos de acceso técnicos de un usuario, que lista los grupos seleccionados y los que se agregan automáticamente porque otros grupos los implican.
En esa pestaña, el verde indica un permiso que ya otorga otro permiso, el rojo indica permisos en conflicto que no pueden estar activos a la vez y la cursiva indica permisos implícitos en un grupo seleccionado. Quitar un grupo seleccionado también puede cambiar los grupos agregados automáticamente, así que revise el resultado después de cada cambio.
Con el modo de desarrollador activo, los grupos aparecen en Ajustes, Usuarios y empresas, Grupos. Cada formulario de grupo muestra sus usuarios, grupos heredados, menús, vistas, permisos de acceso a nivel de modelo con las opciones de leer, escribir, crear y eliminar, y reglas de registro.
Las reglas de registro son filtros a nivel de fila escritos como dominios, es decir, condiciones de filtro sobre el registro. Cada regla puede aplicarse por separado a leer, escribir, crear y eliminar. Así es como Odoo limita, por ejemplo, a un vendedor a sus propios documentos.
La documentación de Odoo advierte que solo los administradores pueden cambiar los permisos de acceso y que los cambios descuidados pueden dejar la base de datos sin ningún usuario capaz de corregirlos. Recomienda contar con un analista experimentado antes de editar directamente grupos o reglas de registro. En la práctica, prefiera los niveles estándar de la pestaña Permisos de acceso y modifique grupos y reglas solo cuando las opciones estándar realmente no se ajusten.
La sección Administración de la pestaña Permisos de acceso de un usuario controla quién puede gestionar el propio sistema. Elegir Permisos de acceso permite a una persona gestionar el acceso de otros usuarios, mientras que Ajustes otorga un acceso de configuración más amplio.
El modo superusuario, disponible desde el menú de depuración en modo de desarrollador para usuarios con acceso a Ajustes, omite por completo las reglas de registro y los permisos de acceso. Úselo solo para emergencias y resolución de problemas, nunca para el trabajo diario, y cierre la sesión de superusuario en cuanto termine.
A veces una persona debe usar un registro pero no ver uno de sus campos, como un costo o un salario. En Odoo Studio, las propiedades del campo incluyen Permitir visibilidad a grupos, Prohibir visibilidad a grupos y Solo lectura, para que pueda restringir quién ve o edita un campo específico.
Studio también permite configurar reglas de aprobación y ajustar reglas de seguridad. Studio forma parte de Odoo Enterprise y no está disponible en Community, y la documentación señala que instalarlo puede afectar su plan de suscripción, así que verifíquelo antes de empezar.
En Odoo Community, el marco de seguridad central de grupos, permisos de acceso a modelos y reglas de registro sigue presente. Sin Studio, los cambios a nivel de campo y las reglas personalizadas suelen hacerlos un desarrollador mediante un módulo personalizado.
Acceso multiempresa
Una base de datos de Odoo puede contener varias empresas. En el formulario del usuario, el área Multiempresa de la pestaña Permisos de acceso define las Empresas permitidas en las que puede trabajar el usuario y la Empresa predeterminada a la que entra al iniciar sesión.
Los usuarios cambian entre sus empresas permitidas con el selector de empresa de la esquina superior derecha y pueden marcar varias empresas para trabajar en ellas a la vez.
El campo Empresa de un registro controla su visibilidad. Un campo Empresa vacío hace que el registro esté disponible para todas las empresas, mientras que una empresa específica lo limita a los usuarios que han iniciado sesión en ella. Documentos como cotizaciones, facturas de cliente y facturas de proveedor solo aparecen cuando ha iniciado sesión en su empresa. Los productos y contactos nuevos se comparten de forma predeterminada, a menos que les asigne una empresa.
La documentación advierte que una configuración multiempresa incorrecta puede provocar comportamientos incoherentes, por lo que solo administradores con experiencia deberían modificarla. En estructuras de grupo, decida pronto qué datos se comparten y cuáles son propios de cada empresa, y pruebe los flujos entre empresas antes de salir en vivo.
Autenticación de dos factores y política de contraseñas
Cada usuario puede activar la autenticación de dos factores desde Mis preferencias, en la pestaña Seguridad, haciendo clic en Activar 2FA. Tras confirmar su contraseña, escanea un código QR con una aplicación de autenticación e ingresa el código de verificación.
Los administradores pueden imponer la autenticación de dos factores desde la sección Permisos de la aplicación Ajustes, marcando Forzar la autenticación de dos factores y eligiendo Solo empleados o Todos los usuarios. Todos los usuarios incluye también a los usuarios del portal.
Si un usuario pierde el acceso a su aplicación de autenticación, un administrador debe desactivar la autenticación de dos factores en esa cuenta para que el usuario pueda volver a iniciar sesión. Incluya este paso de recuperación en su procedimiento de soporte para que se gestione con las verificaciones de identidad adecuadas.
Para las contraseñas, instale el módulo Política de contraseñas y defina una Longitud mínima de contraseña en la sección Permisos de Ajustes. En esa misma sección también puede decidir, con la opción Restablecer contraseña, si los usuarios pueden restablecer su propia contraseña desde la página de inicio de sesión.
Donde está instalado el módulo de tiempo de espera de sesión, los formularios de grupo incorporan una pestaña Tiempos de espera. Allí puede configurar bloqueos de pantalla por inactividad y cierres de sesión, opcionalmente combinados con la autenticación de dos factores.
Trazabilidad: el chatter y la pista de auditoría contable
El chatter, presente en casi todos los registros, ofrece un historial continuo. Cuando un registro cambia, Odoo registra una nota con el detalle del cambio y la fecha y hora, y los cambios realizados mediante importaciones o acciones del sistema se atribuyen a OdooBot. Las notas internas solo son visibles para los usuarios internos.
En contabilidad, la pista de auditoría registra los cambios en los campos que afectan los libros, incluidos la fecha y hora, el usuario, el tipo de cambio y los valores anterior y nuevo. Está disponible en Contabilidad, Revisión, Pista de auditoría.
El ajuste opcional Pista de auditoría restrictiva, en la sección Reportes de los ajustes de Contabilidad, impide eliminar los registros auditados. Solo pueden cancelarse o archivarse, lo que mantiene intacto el historial.
Ejemplos de segregación de funciones
La segregación de funciones significa que ninguna persona controla por sí sola un proceso sensible de principio a fin. Los niveles de acceso a aplicaciones, los grupos y las reglas de aprobación de Odoo le permiten repartir esos pasos entre distintas personas.
- Quien crea proveedores y sus datos bancarios no debería ser la misma persona que registra y envía los pagos.
- El personal de compras crea solicitudes y órdenes, mientras que un gerente con más permisos aprueba las órdenes que superan un límite acordado.
- El personal de almacén valida recepciones y entregas, mientras que los ajustes de inventario los aprueba alguien ajeno al equipo de almacén.
- La preparación y la aprobación de la nómina recaen en personas distintas, y los campos de salario se ocultan a los usuarios que no los necesitan.
- Solo un pequeño grupo de TI o de administración tiene el nivel de administración Permisos de acceso, y nadie aprueba cambios en su propio acceso.
En empresas más pequeñas, donde no es posible una separación completa, compénselo con revisión: use el historial del chatter y la pista de auditoría contable para verificar los cambios sensibles con una periodicidad fija.
Buenas prácticas y revisión periódica
- Otorgue el acceso mínimo necesario y documente por qué cada usuario tiene cada nivel.
- Mantenga a los administradores en una lista corta y nominal, y evite los accesos compartidos.
- Imponga la autenticación de dos factores y una longitud mínima de contraseña.
- Archive a los usuarios en cuanto se vayan y revoque el acceso al portal de los contactos que ya no lo necesiten.
- Pruebe cada cambio de acceso con un usuario de prueba en una base de datos duplicada antes de aplicarlo en producción.
- Revise usuarios, grupos y empresas permitidas con una periodicidad fija, por ejemplo cada trimestre, y después de cada reorganización.
Para archivar un usuario, selecciónelo en Administrar usuarios, abra el menú de acciones y elija Archivar. Para quitar el acceso al portal, abra el contacto, elija Otorgar acceso al portal en el menú de acciones y haga clic en Revocar acceso.
Una revisión periódica debería comparar a cada usuario activo con su puesto actual, verificar quién tiene los niveles de administrador o de Permisos de acceso, confirmar las empresas permitidas y revisar los cambios sensibles recientes en el chatter y en la pista de auditoría. Conserve un registro breve de cada revisión para poder mostrarlo a los auditores.
Cómo puede ayudarle 1CBMS
1CBMS diseña e implementa modelos de acceso en Odoo 19 para empresas de Egipto e Irak. Traducimos su organización y sus políticas de aprobación en usuarios, grupos, reglas de registro y ajustes multiempresa, configuramos la autenticación de dos factores y las reglas de contraseñas, incorporamos la segregación de funciones a sus flujos diarios, probamos todo en una base de datos de preproducción y capacitamos a su equipo para realizar revisiones de acceso periódicas. Contáctenos a través de www.1cbms.com para revisar o proteger su base de datos de Odoo.