Un ERP rassemble en un seul endroit vos prix, vos salaires, vos listes de clients et vos coordonnées bancaires. C'est ce qui le rend si utile, mais cela signifie aussi qu'une configuration d'accès négligée peut exposer des données sensibles ou permettre à une seule personne de faire ce qui devrait nécessiter un second regard. Odoo 19 offre pour cela un ensemble de contrôles à plusieurs niveaux. Bien utilisés, ils permettent à chacun de faire son travail sans voir ni modifier plus que nécessaire.
Une remarque sur les sources : ce guide s'appuie sur la documentation officielle d'Odoo pour la version 19.0. Les noms de menus et les options peuvent changer selon les versions, les éditions et les applications installées ; vérifiez donc chaque étape dans une base de test ou une base dupliquée avant de l'appliquer à votre système en production.
Commencer par connaître les types d'utilisateurs
Odoo distingue trois types d'utilisateurs. Les utilisateurs internes sont les collaborateurs qui travaillent dans la base de données. Les utilisateurs du portail sont des personnes externes, comme des clients ou des fournisseurs, qui consultent leurs propres enregistrements via le portail. Les utilisateurs publics sont les visiteurs du site web.
La documentation officielle décrit également les administrateurs comme des utilisateurs internes disposant d'autorisations avancées, telles que les fonctionnalités techniques et l'export de données. Considérez le rôle d'administrateur comme un privilège réservé à un petit nombre de personnes de confiance, et non comme une facilité accordée à tous.
Les utilisateurs du portail sont traités différemment des utilisateurs internes. Odoo ne permet pas de définir des droits d'accès aux applications pour un utilisateur du portail. Ceux-ci reçoivent à la place des règles d'enregistrement prédéfinies et des menus restreints, et la documentation précise que les utilisateurs du portail n'ont qu'un accès en lecture ou en consultation aux documents de la base de données.
Les usages typiques du portail consistent à suivre et payer des commandes, télécharger et régler des factures, gérer des moyens de paiement et des abonnements, et tenir ses adresses à jour.
Comment Odoo superpose les contrôles d'accès
Il est utile de voir les accès dans Odoo comme une succession de filtres. Le type d'utilisateur fixe la limite générale. Les niveaux d'accès aux applications sur la fiche utilisateur déterminent les applications que la personne peut utiliser et jusqu'où. Derrière ces niveaux se trouvent les groupes, qui portent les droits au niveau des modèles : lecture, écriture, création et suppression. Les règles d'enregistrement restreignent ensuite les enregistrements individuels auxquels un groupe peut accéder. Vous pouvez en outre masquer certains champs à certains groupes, limiter les sociétés qu'un utilisateur peut ouvrir et renforcer la connexion elle-même.
Créer des utilisateurs et attribuer l'accès aux applications
Pour ajouter un utilisateur interne, ouvrez l'application Paramètres, allez dans la section Utilisateurs, cliquez sur Gérer les utilisateurs, puis sur Nouveau. Remplissez le formulaire, y compris l'adresse e-mail.
Dans l'onglet Droits d'accès, choisissez un niveau pour chaque application. Seules les applications installées dans la base de données y apparaissent. Les niveaux courants sont vide (aucun accès), Utilisateur : Uniquement ses propres documents, Utilisateur : Tous les documents et Administrateur, mais les options exactes varient selon l'application.
Enregistrez l'utilisateur. Odoo envoie une invitation à l'adresse e-mail indiquée, et la personne doit l'accepter pour créer son identifiant. Sur l'écran Gérer les utilisateurs, les filtres Utilisateur interne et Utilisateur du portail vous aident à passer en revue chaque type séparément.
Attribuez à chaque nouvel utilisateur le niveau le plus bas qui lui permet de faire son travail, puis ajoutez des accès lorsqu'un besoin clair apparaît. Retirer un accès par la suite est toujours plus difficile que de l'accorder avec soin dès le départ.
Groupes, règles d'enregistrement et sécurité des champs
Les niveaux choisis dans l'onglet Droits d'accès correspondent en coulisses à des groupes. Pour les voir, activez le mode développeur depuis la section Outils de développement de l'application Paramètres. Vous pouvez alors ouvrir l'onglet des droits d'accès techniques d'un utilisateur, qui liste les groupes sélectionnés ainsi que ceux ajoutés automatiquement parce que d'autres groupes les impliquent.
Dans cet onglet, le vert signale un droit déjà fourni par une autre autorisation, le rouge des droits incompatibles qui ne peuvent pas être actifs simultanément, et l'italique des droits impliqués par un groupe sélectionné. Retirer un groupe sélectionné peut aussi modifier les groupes ajoutés automatiquement ; vérifiez donc le résultat après chaque changement.
Lorsque le mode développeur est activé, les groupes sont listés sous Paramètres, Utilisateurs et sociétés, Groupes. Chaque fiche de groupe affiche ses utilisateurs, les groupes hérités, les menus, les vues, les droits d'accès au niveau des modèles avec les options de lecture, d'écriture, de création et de suppression, ainsi que les règles d'enregistrement.
Les règles d'enregistrement sont des filtres au niveau des lignes, rédigés sous forme de domaines, c'est-à-dire de conditions de filtrage portant sur l'enregistrement. Chaque règle peut s'appliquer séparément à la lecture, à l'écriture, à la création et à la suppression. C'est ainsi qu'Odoo limite, par exemple, un commercial à ses propres documents.
La documentation d'Odoo avertit que seuls les administrateurs peuvent modifier les droits d'accès et que des changements imprudents peuvent laisser la base de données sans aucun utilisateur capable de les corriger. Elle recommande de faire appel à un analyste expérimenté avant de modifier directement des groupes ou des règles d'enregistrement. En pratique, privilégiez les niveaux standard de l'onglet Droits d'accès et ne touchez aux groupes et aux règles que lorsque les options standard ne conviennent vraiment pas.
La section Administration de l'onglet Droits d'accès d'un utilisateur détermine qui peut gérer le système lui-même. L'option Droits d'accès permet à une personne de gérer les accès des autres utilisateurs, tandis que l'option Paramètres donne un accès plus large à la configuration.
Le mode superutilisateur, disponible depuis le menu de débogage en mode développeur pour les utilisateurs ayant accès aux Paramètres, contourne entièrement les règles d'enregistrement et les droits d'accès. Ne l'utilisez qu'en cas d'urgence et pour le dépannage, jamais pour le travail quotidien, et quittez la session superutilisateur dès que vous avez terminé.
Il arrive qu'une personne doive utiliser un enregistrement sans voir l'un de ses champs, comme un coût ou un salaire. Dans Odoo Studio, les propriétés des champs comprennent Autoriser la visibilité aux groupes, Interdire la visibilité aux groupes et Lecture seule, ce qui vous permet de restreindre qui voit ou modifie un champ précis.
Studio permet également de configurer des règles d'approbation et d'ajuster les règles de sécurité. Studio fait partie d'Odoo Enterprise et n'est pas disponible dans Community, et la documentation indique que son installation peut avoir un impact sur votre formule d'abonnement ; vérifiez donc ce point avant de commencer.
Dans Odoo Community, le socle de sécurité composé des groupes, des droits d'accès aux modèles et des règles d'enregistrement reste présent. Sans Studio, les modifications au niveau des champs et les règles personnalisées sont généralement réalisées par un développeur au moyen d'un module personnalisé.
Accès multi-sociétés
Une même base de données Odoo peut contenir plusieurs sociétés. Sur la fiche utilisateur, la zone Multi-sociétés de l'onglet Droits d'accès définit les Sociétés autorisées dans lesquelles l'utilisateur peut travailler et la Société par défaut sur laquelle il arrive à la connexion.
Les utilisateurs passent d'une société autorisée à l'autre grâce au sélecteur de société situé en haut à droite de l'en-tête, et peuvent cocher plusieurs sociétés pour travailler sur toutes à la fois.
Le champ Société d'un enregistrement détermine sa visibilité. Un champ Société vide rend l'enregistrement disponible pour toutes les sociétés, tandis qu'une société précise le limite aux utilisateurs connectés à cette société. Les documents tels que les devis, les factures clients et les factures fournisseurs n'apparaissent que lorsque vous êtes connecté à leur société. Les nouveaux produits et contacts sont partagés par défaut, sauf si vous leur attribuez une société.
La documentation avertit que des paramètres multi-sociétés incorrects peuvent entraîner des comportements incohérents ; seuls des administrateurs expérimentés doivent donc les modifier. Pour les structures de groupe, décidez tôt quelles données sont partagées et lesquelles sont propres à chaque société, et testez les flux intersociétés avant le démarrage.
Authentification à deux facteurs et politique de mots de passe
Chaque utilisateur peut activer l'authentification à deux facteurs depuis Mes préférences, dans l'onglet Sécurité, en cliquant sur Activer la 2FA. Après avoir confirmé son mot de passe, il scanne un QR code avec une application d'authentification et saisit le code de vérification.
Les administrateurs peuvent imposer l'authentification à deux facteurs depuis la section Autorisations de l'application Paramètres, en cochant Imposer l'authentification à deux facteurs et en choisissant Employés uniquement ou Tous les utilisateurs. L'option Tous les utilisateurs inclut aussi les utilisateurs du portail.
Si un utilisateur perd l'accès à son application d'authentification, un administrateur doit désactiver l'authentification à deux facteurs sur ce compte avant que l'utilisateur puisse se reconnecter. Intégrez cette étape de récupération à votre procédure de support afin qu'elle soit traitée avec de véritables contrôles d'identité.
Pour les mots de passe, installez le module Politique de mot de passe et définissez une Longueur minimale du mot de passe dans la section Autorisations des Paramètres. Vous pouvez aussi décider, avec l'option Réinitialisation du mot de passe de la même section, si les utilisateurs peuvent réinitialiser eux-mêmes leur mot de passe depuis la page de connexion.
Lorsque le module d'expiration de session est installé, les fiches de groupe disposent d'un onglet Délais d'expiration. Vous pouvez y définir le verrouillage de l'écran en cas d'inactivité et la déconnexion des sessions, éventuellement combinés à l'authentification à deux facteurs.
Traçabilité : le chatter et la piste d'audit comptable
Le chatter présent sur presque tous les enregistrements fournit un historique continu. Lorsqu'un enregistrement change, Odoo consigne une note avec le détail de la modification et un horodatage, et les modifications effectuées par import ou par des actions système sont attribuées à OdooBot. Les notes ne sont visibles que par les utilisateurs internes.
En comptabilité, la piste d'audit suit les modifications des champs qui ont une incidence sur les comptes, notamment la date et l'heure, l'utilisateur, le type de modification ainsi que les valeurs précédente et nouvelle. Elle est accessible sous Comptabilité, Révision, Piste d'audit.
Le paramètre facultatif Piste d'audit restrictive, dans la section Rapports des paramètres de Comptabilité, empêche la suppression des enregistrements suivis. Ils peuvent seulement être annulés ou archivés, ce qui préserve l'intégrité de l'historique.
Exemples de séparation des tâches
La séparation des tâches signifie qu'aucune personne ne contrôle seule un processus sensible du début à la fin. Les niveaux d'accès aux applications, les groupes et les règles d'approbation d'Odoo vous permettent de répartir ces étapes entre plusieurs personnes.
- La personne qui crée les fournisseurs et leurs coordonnées bancaires ne doit pas être celle qui enregistre et envoie les paiements.
- Les acheteurs créent les demandes et les commandes, tandis qu'un responsable disposant de droits plus élevés approuve les commandes au-delà d'un seuil convenu.
- Le personnel d'entrepôt valide les réceptions et les livraisons, tandis que les ajustements d'inventaire sont approuvés par une personne extérieure à l'équipe d'entrepôt.
- La préparation et l'approbation de la paie relèvent de personnes différentes, et les champs de salaire sont masqués aux utilisateurs qui n'en ont pas besoin.
- Seul un petit groupe informatique ou administratif détient le niveau d'administration Droits d'accès, et personne n'approuve les modifications de ses propres accès.
Dans les petites entreprises où une séparation complète n'est pas possible, compensez par des revues : utilisez l'historique du chatter et la piste d'audit comptable pour contrôler régulièrement les modifications sensibles.
Bonnes pratiques et revue périodique
- Accordez le minimum d'accès nécessaire et documentez la raison pour laquelle chaque utilisateur détient chaque niveau.
- Limitez les administrateurs à une courte liste nominative et évitez les identifiants partagés.
- Imposez l'authentification à deux facteurs et une longueur minimale de mot de passe.
- Archivez rapidement les utilisateurs qui quittent l'entreprise et révoquez l'accès au portail des contacts qui n'en ont plus besoin.
- Testez chaque modification d'accès avec un utilisateur de test dans une base dupliquée avant de l'appliquer en production.
- Passez en revue les utilisateurs, les groupes et les sociétés autorisées selon un calendrier fixe, par exemple chaque trimestre, ainsi qu'après chaque réorganisation.
Pour archiver un utilisateur, sélectionnez-le dans Gérer les utilisateurs, ouvrez le menu des actions et choisissez Archiver. Pour retirer l'accès au portail, ouvrez le contact, choisissez Accorder l'accès au portail dans le menu des actions et cliquez sur Révoquer l'accès.
Une revue périodique doit confronter chaque utilisateur actif à son poste actuel, vérifier qui détient les niveaux Administrateur ou Droits d'accès, confirmer les sociétés autorisées et examiner les modifications sensibles récentes dans le chatter et la piste d'audit. Conservez une brève trace de chaque revue afin de pouvoir la présenter aux auditeurs.
Comment 1CBMS peut vous aider
1CBMS conçoit et met en place des modèles d'accès Odoo 19 pour des entreprises en Égypte et en Irak. Nous traduisons votre organisation et vos politiques d'approbation en utilisateurs, groupes, règles d'enregistrement et paramètres multi-sociétés, configurons l'authentification à deux facteurs et les règles de mots de passe, intégrons la séparation des tâches à vos flux de travail quotidiens, testons l'ensemble dans une base de préproduction et formons votre équipe à mener des revues d'accès régulières. Contactez-nous via www.1cbms.com pour auditer ou sécuriser votre base de données Odoo.