Comprometidos con tu privacidad y la seguridad de tus datos

¡Tu seguridad es muy importante para nosotros! A continuación, encuentra un resumen de lo que hacemos cada día para garantizar que tu información esté a salvo con Odoo y que aplicamos las mejores prácticas de seguridad en nuestra versión alojada en la nube, QubiQ Cloud.

• Guardamos 14 copias de seguridad completas de cada instancia de Odoo durante 3 meses: 1/día durante 7 días, 1/semana durante 4 semanas, 1/mes durante 3 meses.
• También puedes solicitarnos la descarga manual de tus datos o copiar, mediante un script, tanto código, como la base de datos en uno de tus servidores.
• Puedes consultar con nuestro Centro de Soporte para restaurar cualquiera de estas copias de seguridad en tu base de datos activa (o a un lado).
• Conmutación del Hardware: para servicios alojados en metal expuesto, donde fallos en el hardware son posibles, implementamos una réplica del sistema de espera activa local con monitoreo y un proceso manual de conmutación que tarda menos de 5 minutos. 
• Recuperación de desastres: en caso de desastre completo, con un centro de datos completamente inactivo durante un largo periodo de tiempo, previniendo conmutación a nuestro sistema de espera activa (por el momento nunca ha pasado, pero este es el plan para el peor de los casos), tenemos los siguientes objetivos:
  • RPO (Objetivo de Punto de Recuperación) = 24h. Esto significa que puedes perder un máximo de 24h de trabajo si los datos no se pueden recuperar y necesitamos restaurar tu última copia de seguridad.
  • RTO (Tiempo de Recuperación del Objetivo) = 8h para suscripciones de pago. Este es el tiempo para restaurar el servicio en un centro de datos diferente si ocurre un desastre y el centro de datos está completamente inactivo.

• Los datos de los clientes se almacenan en una base de datos dedicada - no se comparten los datos entre clientes.
• Las reglas de control de acceso de datos implementan aislamiento completo entre las bases de datos de los clientes corriendo en el mismo conjunto, no se permite el acceso de una base de datos a otra. 

• Las contraseñas de nuestros clientes están protegidas con una encriptación estándar en la industria PBKDF2+SHA512 encriptada (salada + estirado miles de vueltas).
• Los empleados de QubiQ no tienen acceso a tu contraseña, y no la pueden recuperar por ti. La única opción si la pierdes es resetearla.
• Las credenciales de inicio siempre se transmiten de manera segura a través de HTTPS.

• Los empleados del Centro de Soporte de QubiQ pueden entrar a tu cuenta para acceder a la configuración relacionada con tu ticket de soporte. Para hacer esto usan sus propias credenciales de empleados, no tu contraseña (que no tienen forma de saber).
• Este acceso especial de los empleados mejora la eficiencia y seguridad: pueden reproducir de inmediato los problemas que estás teniendo. En ningún caso necesitas compartir tu contraseña, y podemos auditar y controlar las acciones de los empleados de manera independiente. 
• Nuestro Centro de Soporte trabaja para respetar tu privacidad en todo momento, y solo accede a archivos y configuraciones que necesitan para diagnosticar y resolver tu problema.

• Todos los servidores online de Odoo están corriendo en distribuidores reforzados de Linux con parches de seguridad actualizados. 
• Las instalaciones son a medida y mínimas para limitar el número de servicios que puedan contener vulnerabilidades (no PHP/MySQL stack por ejemplo).
• Solo algunos ingenieros de confianza de QubiQ tienen vía libre para manejar los servidores en remoto - y el acceso solo se posibilita usando pares de claves SSH (no se permite autentificación por contraseña).
• Servidores de seguridad y medidas para prevenir la invasión ayudan a evitar acceso no autorizado.  
• Se implementa mitigación en la Distribución Automática de Negación de Servicio (DDoS) en los centros de datos de Estados Unidos y Europa, y próximamente en Asia. 

Los servidores de QubiQ están alojados en Amazon en centros de datos de confianza, y todos deben seguir nuestro criterio de seguridad física:

• Perímetro restringido, accesible físicamente por empleados autorizados de los centros de datos únicamente.
• Control del acceso físico con tarjetas de seguridad o seguridad biométrica.
• Cámaras de seguridad monitoreando los centros de datos 24/7
• Personal de seguridad en el lugar 24/7

• Todas las conexiones web a instancias de clientes están protegidas con encriptación de vanguardia 256-bit SSL.
• Nuestros servidores están vigilados estrictamente, y siempre parcheados contra las vulnerabilidades SSL, y valoraciones de SLL
  Grade A en todo momento.  
• Todos nuestros certificados SLL usan un módulo 2048-bit con cadenas de certificados SHA-2 completas.

Odoo es de código abierto, así que toda la base del código está continuamente bajo examinación por parte de usuarios de Odoo y contribuidores a nivel global. Los reportes de problemas de la comunidad son una manera importante de conseguir feedback relacionado a la seguridad. Animamos a los desarrolladores a auditar el código y reportar problemas en la seguridad.

Los procesos de I+D de Odoo tienen pasos para revisar el código que incluyen aspectos de seguridad, para piezas de código nuevas y contribuidas.

Odoo está diseñado de manera que previene la invasión de las más comunes vulnerabilidades de seguridad:

• Las inyecciones SQL se previenen por el uso de una API de más alto nivel que no requiere queries manuales.
• Los ataques XSS se previenen por el uso de un sistema de alto nivel de templado que automáticamente escapa los datos inyectados.
• El framework previene acceso RPC a métodos privados, haciéndolo más difícil de explotar las vulnerabilidades.

Puedes ver la sección de las Mayores Vulnerabilidades OWASP para ver cómo Odoo está diseñado para prevenir la aparición de esas vulnerabilidades. 

Odoo se audita automáticamente por compañías independientes que son contratadas por nuestros clientes y prospectos para realizar auditorías y exámenes de penetración. El equipo de seguridad de Odoo recibe los resultados y toma medidas apropiadas de corrección cuando sea necesario.

No podemos revelar ninguno de esos resultados, porque son confidenciales y pertenecen a los comisarios. Por favor no pregunten  ;-)

Odoo también tiene una comunidad muy activa de investigadores de seguridad independientes, que contínuamente monitorean el código fuente y trabajan con ellos para mejorar la seguridad de Odoo. Su programa de seguridad se describe aquí: Responsible Disclosure