Безопасность¶

Пароли в конфигурации¶

Параметр	Назначение
`db_manager_password` в `user_settings.json`	Пароль менеджера баз данных Odoo
`db_default_admin_login` / `db_default_admin_password`	Учётная запись администратора при создании новой базы
Учётные данные PostgreSQL	Подставляются в служебную конфигурацию и compose

На своём компьютере в режиме разработки допустимы значения из шаблона по умолчанию — база не доступна из интернета.

На сервере, виртуальной машине заказчика или тестовом стенде в сети организации пароли нужно задать явно, длинные и уникальные. Не полагайтесь на «заводские» значения из примера.

Секреты и git¶

Не помещайте в общий репозиторий пароли, токены доступа, приватные ключи. Файл .env каталога проекта обычно не коммитят. Шаблон user_settings.json в git лучше держать без реальных секретов.

Секреты Odoo-модулей (API-ключи, токены интеграций)¶

Для произвольных ключей модулей (не паролей БД Odoo) используйте .odpm/secrets.json — файл в .odpm/.gitignore, не попадает в odpm.json. odpm монтирует нормализованную копию в контейнер как /run/odpm/secrets.json (сценарии developer и server).

В git коммитьте только .odpm/secrets.example.json с заглушками REPLACE_ME.
После import odpm выставляет права 0600 на source.
Не логируйте значения из /run/odpm/secrets.json в Odoo и не дублируйте их в compose environment:.

Подробно: локальные секреты.

Сценарий `server` и доступ из интернета¶

Вынесите HTTPS на обратный прокси (nginx, Caddy, traefik и аналоги).
В odoo.conf включите proxy_mode; при публикации нескольких баз на одном хосте настройте dbfilter.
PostgreSQL в этом сценарии слушает только 127.0.0.1 на машине — odpm так настраивает проброс портов. Не расширяйте доступ к 5432 на все интерфейсы вручную в compose.
Межсетевой экран: снаружи открывайте SSH и HTTPS прокси; порты Odoo (8069, 8072) не обязаны быть видны из интернета, если прокси на той же машине.
Режим разработки Odoo (dev_mode) на доступном извне инстансе не используйте; в сценарии server он игнорируется, но переключаться на developer на production ради отладки нельзя.
Порт отладчика на сервере не нужен.

Разработка на localhost¶

Дефолтные пароли удобны для быстрого старта. Не переносите их на стенды и не открывайте dev-окружение в общую сеть без смены паролей и прокси.