Vamos a instalar un programa de control de stock de código abierto — ¿qué debería revisar a nivel de seguridad?

Al hacer la instalación jamás le des permisos de 'root' al usuario de la base de datos, crea un usuario limitado que solo acceda a la base de datos de ese software. Activa el firewall (UFW) en el servidor y bloquea todas las entradas innecesarias excepto la 80 y la 443. Tampoco te olvides de configurar un certificado SSL gratuito.

Al descargar código del repositorio haz estas 4 comprobaciones: 1) ¿El número de estrellas e historial de seguidores es orgánico? 2) ¿Hay fallos sin resolver en la pestaña de avisos de seguridad? 3) ¿Con qué licencia se distribuye, hay limitaciones de uso comercial? 4) ¿Hay scripts ocultos en el código haciendo ping a servidores externos?

Nosotros llevamos 3 años usando un módulo de ERP/stock de código abierto. Pagamos 320 TL al mes de servidor y 80 TL por el espacio de backup encriptado externo. Ni llega a 5.000 TL al año. Eso sí, al principio le pagamos 15.000 TL a un consultor externo para la instalación y el hardening, valió totalmente la pena.

Si el conocido mañana se busca otro trabajo o se cae el servidor, ¿qué hacéis? El software de código abierto es gratis pero el soporte y el mantenimiento no. Si el sistema se bloquea en pleno periodo de facturación, el coste puede ser mayor que pagar la licencia.

No pongáis lo descargado directamente en producción. Meted un par de ítems de prueba con datos viejos y probadlo al menos dos semanas entre las sucursales. Así el personal se va adaptando al uso y veis si se acumulan logs de errores raros de fondo.

poned sí o sí ip fija a las sucursales. si dejáis un panel web abierto a todo el mundo los bots automáticos van a tumbar el servidor a base de probar contraseñas comprobado por experiencia propia.

Una duda, en estos proyectos open source, cuando sale una actualización ¿se actualiza con un solo botón como las apps del móvil o hay que instalar todo de cero?

Pon como regla obligatoria hacer imagen del servidor semanal automática y mandar el backup diario de la base de datos a un correo aparte o a la nube.

La respuesta de arriba ha dado en el clavo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Rara vez se encuentra un texto que lo explique tan claro.

Lo escribo para que no cometan el mismo error. bueno el error cometido por programa de stock código abierto suele ser reversible pero caro.

Buen trabajo.

tiene razón luego tomar notas durante dos semanas da mejores resultaados que estimar seis meses.

cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

Estoy de acuerdo.

No sabía eso.

A nosotros nos pasó esto. No confíes en una sola medida; ve capa por capa.

Si decidimos sin medir, siempre acabamos en el mismo punto. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Una copia de seguridad no probada no es una copia de seguridad.

Por supuesto, cambia si tu situación es diferente.

Gracias por escribir. Todos los que se apresuran con programa de stock código abierto se atascan en el mismo punto.

Las decisiones apresuradas son las que hay que corregir seis meses después. Lo dejo como nota por si sirve.