DoliSCAN (module dolibarr) 2.2.20 : amélioration du cloisonnement des notes de frais

Suites à un audit de sécurité

DoliSCAN intéresse de plus en plus d'entreprises, dont certaines ont des exigences en matière de protection des données très strictes. L'une d'elles a soumis notre module à un audit de sécurité et nous l'a communiqué. Nous avons traité l'intégralité de ses conclusions, et cette nouvelle version en est le résultat.

Le cloisonnement des données s'appuie sur les droits natifs de Dolibarr : chaque page du module contrôle les permissions de l'utilisateur et la propriété de la donnée avant d'afficher quoi que ce soit. Chacun accède à ses notes de frais, et à rien d'autre.

Ce contrôle couvre l'ouverture d'une note de frais, la consultation de ses justificatifs, l'accès à une fiche de compte DoliSCAN, la suppression d'un brouillon et le lancement d'une synchronisation générale. Les profils qui doivent voir au-delà - comptabilité, direction, administrateurs - le font via les droits prévus pour cela dans Utilisateurs & Groupes.

Pour l'administrateur, cela veut dire qu'il n'y a aucun système de permissions parallèle à apprendre ni à maintenir : tout se règle au même endroit que le reste de Dolibarr.

Mise à jour de sécurité, recommandée à toutes les installations.

À faire après la mise à jour

1. Réactivez le module. Dolibarr n'écrit les permissions d'un module qu'au moment de son activation. Désactivez puis réactivez DoliSCAN depuis Accueil > Configuration > Modules/Applications, sans quoi le droit ajouté par cette version n'apparaîtra nulle part.

2. Accordez le droit aux salariés concernés. Les permissions DoliSCAN se gèrent exactement comme les autres : Accueil > Configuration > Utilisateurs et groupes, l'utilisateur ou le groupe voulu, onglet Permissions, section DoliSCAN. Le droit à cocher est celui de valider, annuler ou remettre en brouillon ses notes de frais DoliSCAN.

Tant que ces deux étapes ne sont pas faites, la validation manuelle d'une note de frais est refusée. La synchronisation automatique, elle, continue de fonctionner sans aucun droit particulier.

Multi-société

Ce point ne concerne que les installations équipées du module Multi-société. Les autres ne gèrent qu'une seule entité : la question ne s'y pose pas.

Pour les groupes qui l'utilisent, les rapprochements effectués par DoliSCAN sont strictement cloisonnés par entité. Un salarié qui travaille pour deux sociétés voit ses dépenses rattachées sans mélange possible entre les notes de frais et les factures fournisseur de l'une et de l'autre.

Compatibilité

DoliSCAN 2.2.20 demande Dolibarr 18 ou supérieur et PHP 7.4 ou supérieur. Le module est vérifié jusqu'à Dolibarr 24.

Au quotidien

• la page de configuration signale d'un coup d'oeil les droits manquants détectés lors de la dernière synchronisation, avec le lien pour les corriger ;
• la documentation utilisateur a été entièrement reprise et illustrée, elle est visible à l'adresse suivante doc.cap-rel.fr/doliscan-dolibarr