Comment sécuriser l'accès à Dolibarr avec HTTPS : guide complet

Table des Matières

1. Introduction

2. Pourquoi HTTPS est important pour Dolibarr

3. Ce dont vous avez besoin pour activer HTTPS

4. Choisir entre les environnements auto-hébergés et hébergés

5. Obtention d'un certificat SSL (options gratuites et payantes)

6. Configuration de HTTPS sur Apache

7. Configuration de HTTPS sur Nginx

8. Utiliser Let's Encrypt avec Certbot

9. Configuration des hôtes virtuels pour Dolibarr

10. Redirection HTTP vers HTTPS

11. Mise à jour de la configuration de Dolibarr pour HTTPS

12. Test et vérification de l'installation SSL

13. Sécurisation des cookies et des données de session

14. Application du protocole HTTPS dans l'interface Dolibarr

15. Gestion des avertissements de contenu mixte

16. Sécurité des API HTTPS et Dolibarr

17. Utilisation de HTTPS avec un accès mobile ou externe

18. Sauvegarde et reprise après sinistre avec canaux cryptés

19. Erreurs courantes et comment les corriger

20. Conclusion : Assurer la sécurité de Dolibarr en 2025 et au-delà

1. Introduction

Dolibarr est une puissante solution ERP/CRM utilisée par les indépendants, les petites entreprises et les organisations du monde entier. Avec la transition numérique croissante des entreprises, la protection des données est devenue une préoccupation majeure. L'une des premières étapes, et des plus cruciales, pour sécuriser votre installation Dolibarr est d'activer l'accès HTTPS.

Ce guide vous explique en détail comment sécuriser Dolibarr avec HTTPS. Que vous soyez auto-hébergeur ou utilisiez un fournisseur cloud, nous vous expliquerons les outils, les étapes de configuration et les bonnes pratiques à suivre.

2. Pourquoi HTTPS est important pour Dolibarr

HTTPS chiffre les données transmises entre l'utilisateur et le serveur. Sans HTTPS :

• Les mots de passe et les jetons de session peuvent être interceptés

• Les données client peuvent être exposées pendant le transit

• Les navigateurs signaleront votre application comme non sécurisée

Dans Dolibarr, HTTPS permet de protéger :

• Connexions utilisateur

• Données financières

• Dossiers et communications clients

3. Ce dont vous avez besoin pour activer HTTPS

Pour utiliser HTTPS avec Dolibarr, vous aurez besoin de :

• Un serveur Web (Apache ou Nginx)

• Un nom de domaine pointant vers votre serveur Dolibarr

• Un certificat SSL (de Let's Encrypt ou d'un fournisseur payant)

• Accès shell (root ou sudo) pour configurer le serveur

Si vous utilisez un fournisseur d'hébergement, vérifiez si la configuration SSL fait partie du panneau de contrôle.

4. Choisir entre l'auto-hébergement et les environnements hébergés

et auto-hébergementVous contrôlez la configuration du serveur web et la configuration SSL. Cela offre une certaine flexibilité, mais nécessite des compétences techniques.

et SaaS ou hébergement mutualiséVotre fournisseur peut proposer une configuration HTTPS en un clic. Cependant, votre contrôle sur les fonctionnalités de sécurité avancées peut être limité.

5. Obtention d'un certificat SSL (options gratuites et payantes)

Vous pouvez obtenir un certificat SSL auprès de :

• Chiffrons (gratuit, renouvellements de 90 jours, largement pris en charge)

• CA commerciaux comme Comodo, Sectigo, DigiCert (offre des garanties et une validation étendue)

Pour la plupart des cas d'utilisation de Dolibarr, Let's Encrypt est suffisant.

6. Configuration de HTTPS sur Apache

Pour Apache :

1. Installer le module SSL : sudo a2enmod ssl

2. Créer ou modifier l'hôte virtuel :

<VirtualHost *:443>
    ServerName dolibarr.yourdomain.com
    DocumentRoot /var/www/dolibarr/htdocs
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/dolibarr.yourdomain.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/dolibarr.yourdomain.com/privkey.pem
</VirtualHost>

3. Redémarrez Apache: sudo systemctl restart apache2

7. Configuration de HTTPS sur Nginx

Pour Nginx :

server {
    listen 443 ssl;
    server_name dolibarr.yourdomain.com;

    ssl_certificate /etc/letsencrypt/live/dolibarr.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/dolibarr.yourdomain.com/privkey.pem;

    root /var/www/dolibarr/htdocs;
    index index.php;

    location / {
        try_files $uri $uri/ /index.php?$args;
    }
}

Redémarrez Nginx avec sudo systemctl restart nginx.

8. Utilisation de Let's Encrypt avec Certbot

Certbot automatise le processus d'émission et de renouvellement des certificats :

sudo apt install certbot python3-certbot-apache
sudo certbot --apache -d dolibarr.yourdomain.com

Pour Nginx, utilisez :

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d dolibarr.yourdomain.com

Certbot gérera le renouvellement automatiquement via cron.

9. Configuration des hôtes virtuels pour Dolibarr

Assurez-vous que votre hôte virtuel pointe correctement vers Dolibarr /htdocs/ répertoire. Consultez également :

• PHP est activé pour .php fichiers

• Les autorisations de fichier sont correctes

• La priorité du fichier d'index comprend index.php

10. Redirection HTTP vers HTTPS

Pour éviter toute confusion et tout risque de sécurité, redirigez tout le trafic HTTP vers HTTPS.

Dans Apache :

<VirtualHost *:80>
    ServerName dolibarr.yourdomain.com
    Redirect permanent / https://dolibarr.yourdomain.com/
</VirtualHost>

Dans Nginx :

server {
    listen 80;
    server_name dolibarr.yourdomain.com;
    return 301 https://$host$request_uri;
}

11. Mise à jour de la configuration de Dolibarr pour HTTPS

Après avoir activé HTTPS, connectez-vous à Dolibarr et accédez à : Accueil > Configuration > Autre configuration

Mettre à jour la valeur de MAIN_APPLICATION_URL à:

https://dolibarr.yourdomain.com

Cela garantit que tous les liens et appels API utilisent HTTPS.

12. Test et vérification de l'installation SSL

Utilisez ces outils :

• Test SSL Labs: https://www.ssllabs.com/ssltest/

• boucle: curl -I https://dolibarr.yourdomain.com

• Icône de verrouillage du navigateur : vérifier la validité du certificat

Assurez-vous que votre certificat est fiable, non expiré et utilise un cryptage fort.

13. Sécurisation des cookies et des données de session

Modifiez votre configuration PHP ou .htaccess ajouter:

session.cookie_secure = 1
session.cookie_httponly = 1

Cela empêche le détournement de session et garantit que les cookies sont transmis uniquement via HTTPS.

14. Application du protocole HTTPS dans l'interface Dolibarr

Dolibarr inclut des constantes telles que :

define('FORCE_SSL', 1);

Ajoutez ceci à conf/conf.php pour forcer SSL pour tous les liens internes.

15. Gestion des avertissements de contenu mixte

Si vous incluez des ressources non sécurisées (HTTP) dans Dolibarr :

• Les liens CSS, JS et images peuvent déclencher des avertissements

• Utiliser des URL relatives ou basées sur HTTPS

Analysez et remplacez les liens HTTP codés en dur dans des modules ou des modèles personnalisés.

16. Sécurité des API HTTPS et Dolibarr

Lors de l'utilisation de l'API REST :

• Assurez-vous que tous les appels sont dirigés vers https://

• Utilisez des jetons, pas des mots de passe simples

• Valider les certificats SSL dans les applications clientes

HTTPS est essentiel lors du traitement des données clients ou financières via API.

17. Utilisation de HTTPS avec un accès mobile ou externe

Si le personnel ou les clients accèdent à Dolibarr à distance :

• Utilisez un certificat SSL valide (non auto-signé)

• Évitez les réseaux Wi-Fi publics sans VPN

• Limitez l'accès administrateur avec la liste blanche IP ou MFA

HTTPS permet de protéger les utilisateurs externes et les données en déplacement.

18. Sauvegarde et reprise après sinistre avec canaux cryptés

Lors de la sauvegarde de Dolibarr :

• Utilisez SCP, SFTP ou rsync sur SSH

• Crypter les sauvegardes avant le transfert

• Stockez les sauvegardes dans un stockage sécurisé et accessible via HTTPS si elles sont basées sur le cloud

Évitez le FTP ou le HTTP non chiffré pour tout transfert impliquant Dolibarr.

19. Erreurs courantes et comment les corriger

20. Conclusion : Assurer la sécurité de Dolibarr en 2025 et au-delà

L'activation du protocole HTTPS pour Dolibarr n'est pas une simple recommandation, c'est une obligation. Elle garantit la sécurité des données, la confiance des utilisateurs et la conformité aux normes de confidentialité actuelles. Que vous soyez auto-hébergeur ou que vous fassiez appel à un fournisseur, la configuration du protocole HTTPS doit être intégrée à votre plan de déploiement initial de Dolibarr.

Avec une configuration sécurisée, votre instance Dolibarr devient une plateforme robuste et professionnelle prête pour la croissance et l'engagement client en toute sécurité.