Sécurité Dolibarr : associations Tutoriel pas à pas en 30 jours

Les associations utilisent de plus en plus Dolibarr pour gérer leurs adhérents, leurs finances, leurs projets et leur mailing. Si cet outil open source est puissant et économique, sa sécurité ne doit pas être négligée. Une faille peut exposer des données sensibles (coordonnées des membres, dons, comptabilité) et nuire à la réputation de votre structure.

Ce tutoriel progressif sur 30 jours est conçu spécifiquement pour les associations, avec des étapes simples, claires et adaptées à des ressources souvent limitées. L’objectif : passer d’une installation de base à un environnement sécurisé, sans nécessiter une expertise informatique poussée.

Semaine 1 : Les Fondamentaux – Protégez votre forteresse (Jours 1-7)

Jour 1 : Faites l’inventaire et mettez à jour

  • Action : Identifiez votre version exacte de Dolibarr (Menu Accueil > Information système). Consultez le site officiel pour vérifier si elle est à jour. Ne restez jamais sur une version obsolète.

  • Pour l’association : C’est la première règle de sécurité. Une mise à jour corrige souvent des failles critiques.

Jour 2 : Verrouillez l’accès administrateur

  • Action : Changez immédiatement le mot de passe par défaut du compte admin. Utilisez un mot de passe long, complexe et unique (minimum 12 caractères, majuscules, minuscules, chiffres, symboles). N’utilisez jamais ce compte pour le quotidien.

  • Pour l’association : L’accès admin est la clé de la porte principale. Ne la laissez pas sous le paillasson.

Jour 3 : Appliquez une politique de mots de passe forte

  • Action : Dans Accueil > Configuration > Sécurité, activez l’option pour forcer la complexité des mots de passe et définissez une durée de vie (ex: 90 jours).

  • Pour l’association : Un mot de passe faible est la faille n°1. Formez vos bénévoles à créer des phrases de passe.

Jour 4 : Activez la protection contre les attaques par force brute

  • Action : Activez le module Sécurité (s’il n’est pas déjà) et configurez les limites de tentatives de connexion (ex: 5 tentatives avant blocage temporaire).

  • Pour l’association : Cela stoppe les tentatives automatiques de deviner les mots de passe.

Jour 5 : Limitez les tentatives de connexion (IP)

  • Action : Si votre hébergeur le permet (via .htaccess ou un firewall), limitez l’accès à la page de connexion de Dolibarr à votre bureau ou à des IP Known.

  • Pour l’association : Une couche de protection supplémentaire très efficace.

Jour 6 : Désactivez les comptes inutilisés

  • Action : Passez en revue tous les comptes utilisateurs (Menu Utilisateurs & Groupes). Désactivez ou supprimez les comptes des anciens bénévoles, stagiaires ou prestataires.

  • Pour l’association : Le turn-over est fréquent. Un compte dormant est un risque.

Jour 7 : Sauvegardez ! Et vérifiez la restauration.

  • Action : Configurez une sauvegarde automtique et externalisée (hors du serveur) de la base de données ET des fichiers de Dolibarr (dossier documents). Testez la restauration au moins une fois.

  • Pour l’association : Votre sécurité, c’est aussi votre capacité à récupérer après un incident (piratage, panne). C’est NON-NÉGOCIABLE.

Semaine 2 : Gestion fine des accès – "Chacun son rôle" (Jours 8-14)

Jour 8 : Adoptez le principe du moindre privilège

  • Action : Analysez les besoins réels de chaque bénévole. Ne donnez jamais un accès administrateur par défaut.

  • Pour l’association : Un trésorier n’a pas besoin de voir la liste complète des membres, un responsable de projet n’a pas besoin de modifier la configuration.

Jour 9 : Créez des groupes par fonction

  • Action : Créez des groupes (ex: Adhérents, Trésorerie, Communication, Administrateurs). Attribuez les permissions au groupe, pas à l’individu.

  • Pour l’association : C’est plus simple à gérer. Quand un bénévole change de fonction, on le déplace d’un groupe à l’autre.

Jour 10 : Affinez les permissions par module

  • Action : Pour chaque groupe, allez dans Accueil > Configuration > Droits utilisateurs. Paramétrez finement : Lecture seule, Création, Modification, Suppression pour chaque module (Adhérents, Factures, Projets, etc.).

  • Pour l’association : Limitez la suppression (souvent inutile). Privilégiez la création/lecture.

Jour 11 : Gérez les accès temporaires

  • Action : Pour les stagiaires ou missions courtes, créez un compte avec une date d’expiration automatique (certains modules ou hébergeurs le permettent).

  • Pour l’association : Évite les oublis. Le compte se ferme tout seul.

Jour 12 : Protégez l’accès aux données sensibles (ex: dons)

  • Action : Utilisez les permissions pour restreindre l’accès aux modules Compta et Banque/Caisse aux seuls trésoriers et président.

  • Pour l’association : La transparence financière externe ne signifie pas que tous les bénévoles voient tous les chiffres.

Jour 13 : Limitez l’accès au mailing et aux exports

  • Action : Restreignez l’accès au module Standards/Mailing et aux fonctions d’export (Excel, CSV)

Publications similaires