Security Suite byAkyras — 2FA, protezione dei dati bancari, controllo accessi e audit

Security Suite byAkyras — Individua i rischi. Controlla gli accessi. Mantieni la capacità di intervenire.

Un ex dipendente ha ancora accesso? Un fornitore ha cambiato le coordinate bancarie? L’ultimo backup è abbastanza recente? Chi può esportare dati o assegnare permessi sensibili?

Sono domande che riguardano la tua azienda ogni giorno. Security Suite byAkyras riunisce in Dolibarr gli strumenti per rispondere: autenticazione forte, controllo accessi, protezione delle operazioni aziendali, monitoraggio dell’istanza, avvisi e gestione degli incidenti.

Un centro di sicurezza integrato nell’ERP, con i punti da correggere e le azioni da intraprendere. La 2FA è inclusa; la suite segue anche ciò che accade dopo l’accesso.

Una dashboard che ti aiuta a scegliere cosa correggere

Consulta l’adozione della 2FA, gli amministratori attivi, gli account inattivi e quelli con chiave API. Un punteggio indicativo su 100 sintetizza i controlli.

I punti da correggere sono ordinati per gravità, con il riscontro e una correzione consigliata: backup assenti, account poco protetti, permessi rischiosi, approvazioni disattivate o impostazioni da rafforzare. Parti da una lista concreta di interventi in Dolibarr.

1. Autenticazione moderna per il tuo team

Il motore 2FA byAkyras è integrato: Windows Hello, chiavi FIDO2/WebAuthn, app TOTP e YubiKey OTP, con configurazione guidata, codici di recupero e dispositivi memorizzati. Gli utenti dispongono di più metodi; tu definisci l’obbligo attraverso le regole offerte dal modulo.

Windows Hello consente la conferma con PIN o biometria nelle configurazioni compatibili. FIDO2/WebAuthn associa la verifica al sito legittimo; i dati biometrici rimangono sul dispositivo. Quando il secondo fattore è richiesto, la sessione Dolibarr autenticata viene stabilita solo dopo la verifica.

2. Difese contro gli attacchi agli account

• Forza bruta: blocco temporaneo per indirizzo IP e nome utente preso di mira, con soglie configurabili.
• Password spraying: rilevamento di un indirizzo che prova molti nomi utente diversi.
• Recidive: blocchi progressivamente più lunghi, indirizzi esentati e pagina di sblocco.
• Nomi utente esca: un tentativo su un identificativo fittizio configurato provoca blocco e avviso critico.
• Password compromesse: controllo con Have I Been Pwned, rifiuto quando si imposta una nuova password compromessa e avviso all’accesso.

Il controllo trasmette soltanto un prefisso di cinque caratteri dell’hash SHA-1 tramite k-anonymity, mai la password stessa.

3. Regole di accesso prima e durante la sessione

Definisci restrizioni per IP o rete IPv4/IPv6, paese, giorno e orario. Puoi applicarle a tutti, agli amministratori, ai non amministratori, a un gruppo o a un account specifico.

Inizia in modalità monitoraggio, poi attiva il blocco. Le regole vengono verificate all’accesso e periodicamente durante la sessione. Un simulatore indica le regole violate per utente, indirizzo e orario. Controlli preventivi riducono il rischio di bloccare il proprio accesso, con una procedura di emergenza documentata.

4. Scopri chi è collegato e gestisci le sessioni

Consulta sessioni attive, IP, dispositivo e ultima attività. Chiudi da remoto una sessione o quelle di un utente; la chiusura entra in vigore alla richiesta successiva. La cronologia conserva connessioni e motivi di fine sessione.

Gestisci dispositivi noti, dimentica quelli persi e ricevi avvisi per nuovi dispositivi o reti secondo le impostazioni. Rileva sessioni simultanee con un limite opzionale. Il controllo del «viaggio impossibile» può segnalare o rifiutare accessi geograficamente incoerenti con il precedente.

«La mia sicurezza» coinvolge gli utenti. «Non ero io» chiude le altre sessioni, dimentica i dispositivi, rimuove la chiave API, avvisa il team sicurezza, apre un incidente e richiede una nuova password.

5. Aggiungi una seconda approvazione ai dati bancari

Le modifiche a IBAN, BIC o intestatario possono richiedere l’approvazione di un’altra persona. Il richiedente non approva la propria richiesta. I dati precedenti restano in uso fino alla decisione; un nuovo record in attesa rimane senza IBAN.

Segui richieste, decisioni e rifiuti motivati, con notifiche. Sono compresi i flussi API supportati. Le modifiche vengono registrate con IBAN mascherati negli eventi.

Alla creazione di un ordine di bonifico SEPA in Dolibarr, dati del beneficiario modificati di recente possono generare un avviso o bloccare l’ordine. Dopo il controllo con il fornitore, «Coordinate bancarie verificate» permette di rimuovere il controllo.

La suite monitora anche modifiche a e-mail, telefono e indirizzo dei fornitori e dei contatti, con ambito configurabile.

6. Controlla i permessi effettivi, non solo gli elenchi utenti

Visualizza i permessi effettivi, diretti o ereditati dai gruppi, con la loro origine. Individua amministratori da verificare, account inattivi e combinazioni che concentrano operazioni sensibili nelle stesse mani.

La separazione dei compiti riguarda, tra gli altri, fornitore, fattura e pagamento; dati bancari e bonifici; stipendi e pagamenti; scritture bancarie e riconciliazione. Correggi i permessi oppure accetta il rischio con una motivazione registrata.

Attiva la doppia approvazione dei permessi sensibili per stato amministratore, permessi selezionati o appartenenza ai gruppi che li possiedono. Le assegnazioni diventano richieste per un secondo amministratore. Nessuno approva la propria richiesta.

Per interventi brevi, concedi privilegi di amministratore temporanei, da 15 minuti a 4 ore entro i limiti configurati, con o senza approvazione. Le elevazioni sono visibili e registrate e vengono rimosse alla scadenza tramite i controlli del modulo.

7. Organizza ingressi, uscite e revisioni periodiche

• Ingresso: crea un account da un collega di riferimento, copia gruppi e, facoltativamente, permessi individuali. Imposta una scadenza 2FA con promemoria e attivazione obbligatoria alla scadenza quando è disponibile un metodo.
• Uscita: coordina disattivazione, chiusura sessioni, cambio password e rimozione di chiavi API, 2FA, permessi, gruppi e dispositivi. Conferma esplicita prima dell’operazione e attestazione PDF con data e ora.
• Campagne di revisione: acquisisci un’istantanea degli account attivi con gruppi, permessi, 2FA, chiavi API e ultimi accessi. Documenta le decisioni mantenere, modificare o revocare, poi chiudi con conclusione e PDF di prova. Le campagne in ritardo sono segnalate.

8. Tieni sotto controllo le chiavi API

Inventaria gli account con una chiave senza visualizzarla. Consulta ultima chiamata, indirizzo e numero di chiamate. Individua chiavi inutilizzate e imposta una durata massima con preavviso di scadenza.

Definisci gli indirizzi consentiti e applica facoltativamente le restrizioni di accesso all’API. Tratta anche le credenziali tecniche come accessi da controllare.

9. Individua esportazioni e cancellazioni insolite

La suite registra i download del modulo Exports e il numero di righe nei formati supportati. Le soglie segnalano esportazioni grandi o molti export e download di documenti in poco tempo. Vengono seguite anche generazione e download dei backup.

Una vista aggrega gli export per utente. Le eliminazioni degli oggetti aziendali supportati sono registrate e possono generare un avviso oltre la soglia oraria scelta. Ottieni elementi per analizzare attività insolite.

10. Monitora lo stato dell’istanza

• Scansione configurazione: controlli su Dolibarr, PHP, conf.php, directory documenti e moduli potenzialmente rischiosi.
• Integrità file: riferimento SHA-256, rilevamento di file eseguibili aggiunti, modificati o eliminati e script sospetti nei documenti. Puoi approvare un nuovo riferimento dopo un aggiornamento.
• Cronologia parametri: modifiche con vecchio e nuovo valore; i valori segreti non vengono conservati in chiaro.
• Backup: controlla anzianità, dimensioni, errori e cali insoliti, con directory monitorate e dichiarazioni o segnali da strumenti esterni. Segui backup fuori server e test di ripristino dichiarati.
• Versioni: verifica release Dolibarr pubblicate, vulnerabilità censite negli avvisi GitHub e fine del supporto di sicurezza PHP.

11. Un registro verificabile e avvisi nei tuoi canali di lavoro

Il registro raccoglie eventi supportati di accesso, sessioni, account, permessi e dati bancari, con filtri ed export CSV o JSON. Una catena di hash consente controlli di integrità, verifica automatica, avviso in caso di interruzione e attestazione PDF.

Invia gli eventi a un SIEM o server syslog via UDP, TCP o TCP con TLS, in formato RFC 5424 con JSON oppure CEF. La conservazione esterna può completare il registro locale.

Gli avvisi possono arrivare via e-mail, Teams, Slack, Google Chat, Discord o webhook JSON. Il riepilogo settimanale riunisce punteggio, attività, blocchi, modifiche sensibili e punti da correggere.

12. Gestisci gli incidenti e documenta la risposta

Crea incidenti con categoria, gravità, responsabile, stato e cronologia delle azioni. Consulta gli eventi vicini all’incidente e segui le scadenze proposte per i processi NIS2 e GDPR.

La modalità di blocco chiude le sessioni dei non amministratori e rifiuta nuovi accessi fino alla disattivazione. Richiede conferma, conserva il motivo e genera avviso e incidente.

Un report PDF riunisce controlli, account da verificare, incidenti e attività per il periodo scelto, con corrispondenze alle misure NIS2 e GDPR. Revisioni e attestazioni completano la documentazione. La suite documenta misure tecniche: non certifica l’organizzazione e non copre da sola gli obblighi organizzativi.

Una suite autonoma. Continuità per i clienti 2FA byAkyras.

Non serve acquistare separatamente la 2FA. Nelle installazioni già dotate del modulo, vengono ripresi dati, impostazioni e permessi, mantenuti i metodi registrati e disattivato il modulo 2FA autonomo. Gli utenti non devono registrarsi di nuovo.

Interfaccia completa in francese, inglese, tedesco, spagnolo, italiano e olandese; le varianti regionali usano la lingua di base. Nelle altre lingue, la parte 2FA usa le traduzioni disponibili e il resto è in inglese.

Requisiti e ambito

Dolibarr 20–24, PHP 7.4 minimo (8.2 o superiore consigliato), MySQL/MariaDB. HTTPS per Windows Hello e FIDO2/WebAuthn. Lavori pianificati e cron di sistema per i controlli automatici; GeoIP Maxmind per funzioni geografiche. Dichiara i proxy attendibili se utilizzi un reverse proxy. Multicompany non è stato testato.

Have I Been Pwned e GitHub richiedono accesso in uscita e i controlli vengono saltati se i servizi non sono raggiungibili; YubiKey OTP usa YubiCloud. Il monitoraggio backup non crea backup. I controlli sui bonifici riguardano ordini SEPA Dolibarr, non pagamenti diretti in banca. Export REST e schermate non rientrano nel rilevamento degli export.

La doppia approvazione copre i flussi Dolibarr/API supportati, non scritture dirette nel database. L’approvazione dei permessi è opzionale; senza un secondo amministratore l’assegnazione passa con un evento di aggiramento registrato. Gli hash non sono una prova indipendente contro chi controlla database e chiave dell’istanza. VPN e reti mobili possono influire sui controlli geografici. Consulta la documentazione per opzioni e procedure di emergenza.

Rendi la sicurezza di Dolibarr visibile, gestibile e parte del lavoro quotidiano.