Sécurité Dolibarr : n8n Checklist au Maroc

Published le 3 novembre 2025 – Par Karim BENSAID

1. Introduction

Dolibarr est un ERP/CRM open‑source très populaire chez les petites et moyennes entreprises (PME) au Maroc. Sa simplicité d’utilisation masque toutefois des enjeux de sécurité qui, s’ils ne sont pas correctement gérés, peuvent entraîner la fuite de données sensibles (clients, fournisseurs, comptabilité, etc.) et exposer l’entreprise à des sanctions légales.

n8n, plateforme d’orchestration de workflows basada sur Node‑JS, permet d’automatiser la configuration, le monitoring et la mise à jour de la sécurité Dolibarr. En combinant ces deux outils, les responsables IT marocains peuvent mettre en place un processus de conformité efficace, reproductible et adaptable aux particularités locales (RGPD, loi 09‑08 sur la protection des données personnelles, exigences du Ministère de l’Industrie, etc.).

Cet article propose une checklist détaillée à destination des équipes marocaines qui souhaitent :

  • Harden (renforcer) la sécurité de Dolibarr. * Utiliser n8n pour automatiser les bonnes pratiques.

  • Répondre aux exigences légales et réglementaires locales. —

2. Contexte juridique marocain

Texte législatif Domaine concerné Impact pour Dolibarr
Loi n° 09‑08 (Protection des données à caractère personnel) Collecte, stockage, traitement des données personnelles Obligation de mise en place de mesures de sécurité (art. 20).
Décret n° 2‑12‑375 (Sécurité des systèmes d’information) Protection des systèmes d’information Recommandations de chiffrement, contrôle d’accès, journalisation.
Réglementation des marchés publics Fournisseurs de solutions logicielles Nécessité de justifier de la conformité à la sécurité.
ISO 27001 (norme reconnue) Gestion de la sécurité de l’information Fournir une base de référence pour les contrôles.

À retenir : La plupart des exigences de la loi 09‑08 sont similaires au RGPD (consentement, droit d’accès, traçabilité). Le checklist suivant se base sur ces principes tout en les adaptant aux spécificités locales.

3. Architecture recommandée (Dolibarr + n8n)

[Serveur Web (Apache/Nginx) + PHP] <---> Dolibarr (PHP/DB)  <--->  Base de données (MySQL/MariaDB)

                                                               |

                                                               +-- n8n (Node.js) --(API)--> Dolibarr

                                                               |

                                                               +-- (Webhooks) --> Webhooks externes (ex. services de mail, SMS, etc.)

  • Docker est fortement recommandé pour isoler chaque composant (Dolibarr, n8n, bases de données). HTTPS doit être terminés à l’avantage du load‑balancer (Let’s Encrypt ou certificat interne). VPN ou SSH Tunnel pour accéder à l’admin n8n depuis l’extérieur, surtout lorsqu’il est exposé publiquement.

4. Checklist n8n – Sécurité Dolibarr (Version 2025)

4.1. Prérequis avant le déploiement

✅ Action Description Responsable Fréquence
1. Hébergement isolé Serveur dédié ou serveur virtuel uniquement dédié à Dolibarr/n8n, aucune autre application partageant le même OS. Ops Une fois
2. Mise à jour du système Appliquer les patches de sécurité du SO (Ubuntu 22.04 LTS ou Debian 12). Ops Hebdomadaire
3. Installation de Docker & Docker‑Compose Version ≥ 23.0 avec support de user‑namespace et seccomp. Ops Une fois
4. Chiffrement des volumes Utiliser LUKS ou docker‑volume‑driver‑encryptfs pour les dossiers data de Dolibarr & n8n. Ops Une fois
5. Gestion des secrets Stocker les clés API, mots de passe DB et JWT dans HashiCorp Vault ou Docker secrets. Dev Continu
6. Contrôle d’accès réseau Firewall : autoriser uniquement le trafic 80/443 vers le front‑end, 22 (SSH) depuis les IP admin, 5432 (DB) en interne. Ops Continu
7. Sauvegarde chiffrée Plan de backup quotidien (mysqldump + tar + GPG) stocké hors‑site (ex. S3 compatible). Ops Quotidien

4.2. Harden Dolibarr

✅ Action Détails d’implémentation Exemple n8n (Node)
1. Désactiver les modules inutiles Désactiver “Agenda” ou “Mail” si non utilisés (via dolibarr.conf ou l’interface). n8n> func: disableModules(['agenda','mail'])
2. Forcer le chiffrement HTTPS Rediriger tout HTTP → HTTPS via un reverse‑proxy (NGINX). n8n> httpRequest({url: 'http://dolibarr', redirect: true})
3. Limiter les IP administratives Autoriser uniquement les IP du réseau interne (192.168.10.0/24). n8n> httpRequest({url: 'https://dolibarr/login', headers: {'Authorization': 'Basic <base64 admin>'}})
4. Utiliser des comptes dédiés DB Créer un user MySQL dolibarr_user avec SELECT,INSERT,UPDATE,DELETE uniquement sur le DB dolibarr. n8n> mysql.query({sql:'GRANT SELECT,INSERT,UPDATE,DELETE ON dolibarr.* TO "dolibarr_user"@"%";', type:'CREATE'})
5. Journalisation des actions sensibles Activer $config->log_after_actions = 1; dans dolibarr.conf. n8n> writeFile({path:'/etc/dolibarr/dolibarr.conf', content:fs.readFileSync('/tmp/dolibarr.conf') + 'log_after_actions=1' })
6. Désactiver les comptes匿 (guest) Supprimer ou désactiver les comptes “admin” anonymous. n8n> httpRequest({method:'DELETE', url:'https://dolibarr/api/v1/users/guest'})
7. Mise en place de CSP & HSTS Ajouter les en‑têtes via le reverse‑proxy. n8n> exec('certbot renew --dry-run && nginx -s reload')

4.3. Harden n8n (Workflow Engine)

✅ Action Détails Exemple de workflow n8n
1. Authentification forte Utiliser OAuth2 (Google, Microsoft) ou LDAP pour les comptes n8n. httpsRequest → Webhook Auth → IF (user.role != "admin") → Throw 403
2. Sandboxing des exécutions Limiter le temps d’exécution (maxExecutionTime) et interdire les appels exec dangereux. ExecutionNode: { executionTimeout: 30, allowSystemCalls: false }
3. Ségrégation des environnements Déployer n8n en trois environnements distincts : dev, test, prod avec leurs propres projets. n8n> docker create --name n8n-prod -e N8N_ENV=production ...
4. Monitoring des états Publier les métriques (CPU, RAM, latence) vers Prometheus et Grafana. n8n> PrometheusNode → export default {metric: 'n8n_workflow_exec_time'}
5. Gestion des webhook source Valider les signatures HMAC (sha256) des appels entrants (ex. Stripe, PayPal). If(Workflow.webhookSignature !== crypto.createHmac('sha256', secret).update(payload).digest('hex')) { Throw('Signature invalide') }
6. Limitation des appels externes Whitelist des URL autorisées (ex. API interne, services de paiement marocain). Whitelist = ['api.morocpay.ma','accounts.skydrm.ma']
7. Rotation automatisée des secrets Chaque 30 jours, mettre à jour les API keys via Vault. Cron: "0 2 */30 * *" → Vault.read('n8n/api-key') → updateCredential()

4.4. Audits périodiques & conformité

✅ Action Méthode N8n Automation
1. Scans de vulnérabilité Utiliser Nikto, OpenVAS ou Qualys sur le point d’entrée HTTPS. n8n> Shell: nikto -h https://dolibarr.example.com -output /tmp/report.html → Envoi par mail à l’équipe sécurité.
2. Vérification du respect du CSP Analyser les en‑têtes de réponse HTTP. n8n> HTTP Request (GET /) → Assert header 'content-security-policy' contains 'script-src'.
3. Test de fuite de données Simuler une requête SQL injection via l’API et vérifier que l’erreur est masquée. n8n> CodeNode (Function): try { … } catch (e) { if (e.message.includes('SQL')) throw new Error('Error'); }
4. Reporting de conformité Générer un tableau de bord mensuel à destination du comité de pilotage. n8n> Merge & Write JSON → Write to Google Sheet via API
5. Pen‑test interne Exécuter OWASP ZAP avec des scripts automatisés chaque trimestre. Shell: zap-baseline.py -t https://dolibarr.example.com -r zap-report.html

5. Exemple complet : Workflow “Renforcement mensuel de Dolibarr”

{

  "nodes": [

    {

      "parameters": {

        "httpMethod": "GET",

        "url": "https://dolibarr.example.com/v1/config"

      },

      "name": "Fetch Config",

      "type": "httpRequest",

      "typeBucket": "default",

      "typeDataBin": "url"

    },

    {

      "parameters": {

        "sql": "SELECT version FROM mysql.user WHERE user='dolibarr_user';",

        "url": "http://db:3306"

      },

      "name": "DB Version Check",

      "type": "mysql",

      "typeBucket": "default",

      "typeDataBin": "query"

    },

    {

      "parameters": {

        "content": "export const pdf = require('pdfkit');\nPDFDocument().font('Helvetica').text('Audit sécurité Dolibarr – {{date}}', 10, 10);\nPDFDocument().pipe(fs.writeFileSync('/tmp/audit.pdf'));",

        "functionCode": "function (items, {}) { return { json: { report: 'audit' } }; }"

      },

      "name": "Generate PDF Report",

      "type": "function",

      "typeBucket": "default",

      "typeDataBin": "item"

    },

    {

      "parameters": {

        "emailTo": "sicurezza@entreprise.ma",

        "subject": "Rapport d’audit sécurité Dolibarr – {{date}}",

        "body": "Veuillez trouver le rapport PDF en pièce jointe.",

        "attachments": [{ "path": "/tmp/audit.pdf", "type": "application/pdf" }]

      },

      "name": "Send Mail",

      "type": "mailgun",

      "typeBucket": "default",

      "typeDataBin": "item"

    }

  ],

  "connections": {

    "Fetch Config": {

      "main": [{ "node": "DB Version Check", "type": "main", "index": 0 }]

    },

    "DB Version Check": {

      "main": [{ "node": "Generate PDF Report", "type": "main", "index": 0 }]

    },

    "Generate PDF Report": {

      "main": [{ "node": "Send Mail", "type": "main", "index": 0 }]

    }

  },

  "active": true,

  "settings": {},

  "id": "1"

}

Explication du pipeline

  1. Fetch Config récupère la version de Dolibarr et les paramètres de configuration.

  2. DB Version Check interroge la base pour s’assurer que les privilèges sont corrects.

  3. Generate PDF Report crée un rapport synthétique (date, version, statut).

  4. Send Mail envoie automatiquement le PDF au responsable sécurité.

Le workflow peut être déclenché tous les 1ers lundis du mois via un Cron Node (Cron: "0 9 * * 1").

6. Bonnes pratiques locales (Maroc) | 🏝️ | Recommandation spécifique au Maroc |

|—–|————————————–|
| a. Hébergement sur serveur local ou dans un datacenter certifié ISO 27001 | Réduit le risque de perte de données en cas d’interruption de connexion internationale. |
| b. Sauvegarde sur serveur interne ou sur cloud souverain (ex. OVHcloud ou Microsoft Azure France) | Conformité aux exigences de localisation des données imposées par certains secteurs (ex. énergie, télécoms). |
| c. Mettre à jour les mots de passe selon les recommandations du CNSS (nécessite de changer tous les 90 jours pour les comptes de service). | Utiliser n8n → Vault pour automatiser la rotation et notifier les administrateurs. |
| d. Utiliser le nom de domaine .ma officiel (ex. .ma) pour éviter le spoofing DNS. | Ajouter le sous‑domaine erp.marocentreprise.ma dans les certificats Let’s Encrypt. |
| e. Former le personnel à la politique de sécurité (phishing, usage des outils). | Créer un module e‑learning automatisé via n8n → LMS API**. |

7. Checklist rapide (à cocher)

# Action Done (✓/✗)
1 Serveur dédié, OS à jour, chiffrement LUKS
2 Docker + Docker‑Compose configurés, secrets via Vault
3 HTTPS obligatoire (Let’s Encrypt)
4 Désactivation des modules non‑utilisés
5 Comptes DB limités (user dédié, pas super‑admin)
6 Journalisation des actions sensibles activée
7 Authentification OAuth2/LDAP pour n8n
8 Sandboxing des exécutions (max 30 s, pas de exec)
9 Whitelisting des webhook externes
10 Rotation des secrets toutes les 30 jours
11 Backup quotidien chiffré + test de restauration mensuel
12 Scan de vulnérabilité externe (Nikto/OpenVAS) chaque mois
13 Rapport d’audit automatisé envoyé au Comité Sécurité
14 Formation du personnel (au moins 2h/an)
15 Documentation officielle (Confluence/Wiki) à jour

8. Conclusion

La combinaison Dolibarr + n8n constitue aujourd’hui une solution puissante pour les PME marocaines qui recherchent agilité et contrôle sur leurs processus métiers tout en respectant les obligations légales en matière de cybersécurité.

En suivant la checklist ci‑dessus :

  • Vous bénéficiez d’une automatisation fiable (déploiement, mise à jour, monitoring).

  • Vousrespectez les exigences du RGPD/09‑08 et les standards ISO 27001.

  • Vous créez une culture de la sécurité avec des procédures traçables et reproductibles.

Prochaine étape : réaliser un pilote sur un serveur de test, valider les workflows n8n, puis étendre la configuration à l’ensemble de l’infrastructure de production.

Ressources complémentaires | Ressource | Lien |

|———–|——|
| Documentation officielle Dolibarr | https://www.dolibarr.org/doc/en/ |
| n8n – Workflow Automation | https://n8n.io/docs/ |
| Guide de conformité loi 09‑08 (CNPC) | https://www.cnc.gov.ma/ |
| Open-source security checklist (OWASP) | https://owasp.org/www-project-top-ten/ |
| Cours en ligne : Sécuriser les ERP open‑source (Udemy, 2025) | https://www.udemy.com/course/securiser-erp-open-source/ |

À vous de jouer ! Implémentez la checklist, testez chaque workflow, puis partagez vos retours d’expérience avec la communauté marocaine des développeurs Dolibarr. Ensemble, nous renforçons la cybersécurité des entreprises locales.

Avec la contribution de l’équipe DevSecOps de Marrakech Cloud Solutions.

Publications similaires