Um ERP guarda num só lugar os seus preços, salários, listas de clientes e dados bancários. Isso torna-o muito útil, mas também significa que uma configuração de acessos descuidada pode expor dados sensíveis ou permitir que uma só pessoa faça coisas que deveriam exigir uma segunda verificação. O Odoo 19 oferece um conjunto de controlos em camadas para isso. Bem utilizados, permitem que cada pessoa faça o seu trabalho sem ver nem alterar mais do que deve.
Uma nota sobre as fontes: este guia segue a documentação oficial do Odoo para a versão 19.0. Os nomes dos menus e as opções podem mudar entre versões, edições e aplicações instaladas, por isso confirme cada passo numa base de dados de teste ou duplicada antes de o aplicar ao sistema em produção.
Conhecer primeiro os tipos de utilizador
O Odoo tem três tipos de utilizador. Os utilizadores internos são colaboradores que trabalham dentro da base de dados. Os utilizadores do portal são pessoas externas, como clientes ou fornecedores, que consultam os seus próprios registos através do portal. Os utilizadores públicos são visitantes do frontend do website.
A documentação oficial descreve também os administradores como utilizadores internos com permissões avançadas, como funcionalidades técnicas e exportação de dados. Trate a função de administrador como um privilégio de um número reduzido de pessoas de confiança e não como uma comodidade para todos.
Os utilizadores do portal são tratados de forma diferente dos utilizadores internos. O Odoo não permite definir direitos de acesso às aplicações para um utilizador do portal. Em vez disso, os utilizadores do portal recebem regras de registo predefinidas e menus restritos, e a documentação indica que os utilizadores do portal têm apenas acesso de leitura ou visualização aos documentos da base de dados.
As utilizações típicas do portal incluem acompanhar e pagar encomendas, descarregar e pagar faturas, gerir métodos de pagamento e subscrições e manter as moradas atualizadas.
Como o Odoo organiza o controlo de acesso em camadas
Ajuda pensar no acesso no Odoo como uma pilha de filtros. O tipo de utilizador define a fronteira geral. Os níveis de acesso às aplicações na ficha do utilizador determinam que aplicações a pessoa pode usar e até que ponto. Por trás desses níveis estão os grupos, que contêm os direitos ao nível do modelo para ler, escrever, criar e eliminar. As regras de registo restringem depois os registos individuais em que um grupo pode mexer. Além disso, pode ocultar campos individuais a determinados grupos, limitar as empresas que um utilizador pode abrir e reforçar o próprio início de sessão.
Criar utilizadores e atribuir acesso às aplicações
Para adicionar um utilizador interno, abra a aplicação Definições, vá à secção Utilizadores, clique em Gerir Utilizadores e depois em Novo. Preencha a ficha, incluindo o endereço de email.
No separador Direitos de Acesso, escolha um nível para cada aplicação. Só aparecem aqui as aplicações instaladas na base de dados. Os níveis habituais são em branco (sem acesso), Utilizador: Apenas os Próprios Documentos, Utilizador: Todos os Documentos e Administrador, mas as opções exatas variam consoante a aplicação.
Guarde o utilizador. O Odoo envia um convite para o endereço de email da ficha, e a pessoa tem de o aceitar para criar as suas credenciais. No ecrã Gerir Utilizadores, os filtros Utilizador Interno e Utilizador do Portal ajudam a rever cada tipo separadamente.
Atribua a cada novo utilizador o nível mais baixo que lhe permita fazer o seu trabalho e acrescente acessos quando houver uma necessidade clara. Retirar acessos mais tarde é sempre mais difícil do que concedê-los com cuidado desde o início.
Grupos, regras de registo e segurança de campos
Os níveis que escolhe no separador Direitos de Acesso correspondem, nos bastidores, a grupos. Para os ver, ative o modo de programador na secção Ferramentas de Programador da aplicação Definições. Pode então abrir o separador Direitos de Acesso Técnicos de um utilizador, que lista os grupos selecionados e os grupos adicionados automaticamente porque outros grupos os implicam.
Nesse separador, o verde assinala um direito já concedido por outra permissão, o vermelho assinala direitos em conflito que não podem estar ativos em simultâneo, e o itálico assinala direitos implicados por um grupo selecionado. Remover um grupo selecionado também pode alterar os grupos adicionados automaticamente, por isso reveja o resultado após cada alteração.
Com o modo de programador ativo, os grupos estão listados em Definições, Utilizadores e Empresas, Grupos. Cada ficha de grupo mostra os seus utilizadores, os grupos herdados, os menus, as vistas, os direitos de acesso ao nível do modelo com as opções de leitura, escrita, criação e eliminação, e as regras de registo.
As regras de registo são filtros ao nível da linha escritos como domínios, ou seja, condições de filtro sobre o registo. Cada regra pode aplicar-se separadamente à leitura, escrita, criação e eliminação. É assim que o Odoo limita, por exemplo, um comercial aos seus próprios documentos.
A documentação do Odoo avisa que só os administradores podem alterar os direitos de acesso e que alterações descuidadas podem deixar a base de dados sem nenhum utilizador capaz de as corrigir. Recomenda envolver um analista experiente antes de editar diretamente grupos ou regras de registo. Na prática, prefira os níveis padrão do separador Direitos de Acesso e só mexa em grupos e regras quando as opções padrão realmente não servirem.
A secção Administração no separador Direitos de Acesso de um utilizador controla quem pode gerir o próprio sistema. Escolher Direitos de Acesso permite a uma pessoa gerir os acessos de outros utilizadores, enquanto Definições dá um acesso de configuração mais amplo.
O modo de superutilizador, disponível no menu de depuração em modo de programador para utilizadores com acesso às Definições, ignora por completo as regras de registo e os direitos de acesso. Use-o apenas em emergências e na resolução de problemas, nunca no trabalho diário, e termine a sessão de superutilizador assim que acabar.
Por vezes, uma pessoa deve usar um registo mas não ver um dos seus campos, como um custo ou um valor salarial. No Odoo Studio, as propriedades dos campos incluem Permitir visibilidade a grupos, Proibir visibilidade a grupos e Só de leitura, para que possa restringir quem vê ou edita um campo específico.
O Studio também permite configurar regras de aprovação e ajustar regras de segurança. O Studio faz parte do Odoo Enterprise e não está disponível no Community, e a documentação refere que instalá-lo pode afetar o seu plano de subscrição, por isso verifique este ponto antes de começar.
No Odoo Community, a estrutura de segurança base de grupos, direitos de acesso ao modelo e regras de registo continua presente. Sem o Studio, as alterações ao nível dos campos e as regras personalizadas são normalmente feitas por um programador através de um módulo personalizado.
Acesso multiempresa
Uma base de dados Odoo pode conter várias empresas. Na ficha do utilizador, a área Multiempresa do separador Direitos de Acesso define as Empresas Permitidas em que o utilizador pode trabalhar e a Empresa Predefinida em que entra ao iniciar sessão.
Os utilizadores alternam entre as empresas permitidas com o seletor de empresas no cabeçalho, no canto superior direito, e podem assinalar várias empresas para trabalhar com elas em simultâneo.
O campo Empresa de um registo controla a sua visibilidade. Um campo Empresa em branco torna o registo disponível para todas as empresas, enquanto uma empresa específica o limita aos utilizadores com sessão iniciada nessa empresa. Documentos como orçamentos, faturas de clientes e faturas de fornecedores só aparecem quando tem sessão iniciada na respetiva empresa. Os novos artigos e contactos são partilhados por predefinição, salvo se lhes atribuir uma empresa.
A documentação avisa que definições multiempresa incorretas podem causar comportamentos inconsistentes, pelo que só administradores experientes as devem alterar. Em estruturas de grupo, decida cedo que dados são partilhados e quais são específicos de cada empresa, e teste os fluxos intercompanhias antes de entrar em produção.
Autenticação de dois fatores e política de palavras-passe
Cada utilizador pode ativar a autenticação de dois fatores em As Minhas Preferências, no separador Segurança, clicando em Ativar 2FA. Depois de confirmar a palavra-passe, lê um código QR com uma aplicação de autenticação e introduz o código de verificação.
Os administradores podem impor a autenticação de dois fatores na secção Permissões da aplicação Definições, assinalando Impor a autenticação de dois fatores e escolhendo Apenas funcionários ou Todos os utilizadores. Todos os utilizadores abrange também os utilizadores do portal.
Se um utilizador perder o acesso à sua aplicação de autenticação, um administrador tem de desativar a autenticação de dois fatores nessa conta antes de o utilizador poder voltar a iniciar sessão. Inclua este passo de recuperação no seu procedimento de suporte, para que seja tratado com verificações de identidade adequadas.
Para as palavras-passe, instale o módulo Política de Palavras-passe e defina um Comprimento mínimo da palavra-passe na secção Permissões das Definições. Também pode decidir se os utilizadores podem redefinir a sua própria palavra-passe a partir da página de início de sessão, com a opção Redefinição da palavra-passe na mesma secção.
Quando o módulo de tempo limite de sessão está instalado, as fichas de grupo ganham um separador Tempos limite. Aí pode definir bloqueios de ecrã por inatividade e encerramentos de sessão, opcionalmente combinados com a autenticação de dois fatores.
Rastreabilidade: o chatter e o registo de auditoria contabilística
O chatter, presente em quase todos os registos, oferece um histórico contínuo. Quando um registo é alterado, o Odoo regista uma nota com os pormenores da alteração e a data e hora, e as alterações feitas através de importações ou de ações do sistema são atribuídas ao OdooBot. As notas de registo só são visíveis para utilizadores internos.
Na contabilidade, o registo de auditoria acompanha as alterações aos campos que afetam as contas, incluindo a data e hora, o utilizador, o tipo de alteração e os valores anterior e novo. Está disponível em Contabilidade, Revisão, Registo de auditoria.
A definição opcional Registo de auditoria restritivo, na secção Relatórios das definições de Contabilidade, impede que os registos acompanhados sejam eliminados. Só podem ser cancelados ou arquivados, o que mantém o histórico intacto.
Exemplos de segregação de funções
A segregação de funções significa que nenhuma pessoa controla sozinha um processo sensível do princípio ao fim. Os níveis de acesso às aplicações, os grupos e as regras de aprovação do Odoo permitem repartir esses passos entre várias pessoas.
- Quem cria fornecedores e os respetivos dados bancários não deve ser a mesma pessoa que regista e envia os pagamentos.
- A equipa de compras cria pedidos e encomendas, enquanto um gestor com mais direitos aprova as encomendas acima de um limite acordado.
- A equipa do armazém valida receções e entregas, enquanto os ajustes de inventário são aprovados por alguém exterior à equipa do armazém.
- A preparação e a aprovação do processamento salarial cabem a pessoas diferentes, e os campos salariais ficam ocultos para os utilizadores que não precisam deles.
- Só um pequeno grupo de TI ou de administração detém o nível de administração Direitos de Acesso, e ninguém aprova alterações aos seus próprios acessos.
Em empresas mais pequenas, onde a separação total não é possível, compense com revisão: use o histórico do chatter e o registo de auditoria contabilística para verificar regularmente as alterações sensíveis.
Boas práticas e revisão periódica
- Conceda o acesso mínimo necessário e documente porque é que cada utilizador tem cada nível.
- Mantenha os administradores numa lista curta e nominal e evite credenciais partilhadas.
- Imponha a autenticação de dois fatores e um comprimento mínimo de palavra-passe.
- Arquive os utilizadores logo que saiam e revogue o acesso ao portal dos contactos que já não precisam dele.
- Teste cada alteração de acessos com um utilizador de teste numa base de dados duplicada antes de a aplicar em produção.
- Reveja utilizadores, grupos e empresas permitidas segundo um calendário fixo, por exemplo trimestralmente, e após cada reorganização.
Para arquivar um utilizador, selecione-o em Gerir Utilizadores, abra o menu de ações e escolha Arquivar. Para remover o acesso ao portal, abra o contacto, escolha Conceder acesso ao portal no menu de ações e clique em Revogar acesso.
Uma revisão periódica deve comparar cada utilizador ativo com a sua função atual, verificar quem tem os níveis de administrador ou Direitos de Acesso, confirmar as empresas permitidas e analisar as alterações sensíveis recentes no chatter e no registo de auditoria. Guarde um registo resumido de cada revisão para o poder apresentar aos auditores.
Como a 1CBMS pode ajudar
A 1CBMS desenha e implementa modelos de acesso no Odoo 19 para empresas no Egito e no Iraque. Mapeamos a sua organização e as suas políticas de aprovação para utilizadores, grupos, regras de registo e definições multiempresa, configuramos a autenticação de dois fatores e as regras de palavras-passe, integramos a segregação de funções nos fluxos de trabalho diários, testamos tudo numa base de dados de staging e formamos a sua equipa para realizar revisões regulares de acessos. Contacte-nos através de www.1cbms.com para rever ou proteger a sua base de dados Odoo.