Cloud Armor
Cloud Armor est un pare-feu applicatif (WAF) placé sur le load balancer de votre projet. Il inspecte les requêtes qui arrivent sur votre site par son nom de domaine et rejette celles que vos règles désignent : robots, tentatives de connexion en rafale, pays non autorisés, attaques connues.
Settings › Network & Security › Cloud Armor. Réservé aux rôles Super Admin et Admin du projet. Cloud Armor nécessite que le service Load Balancer ou le service CDN (qui inclut un load balancer) soit actif : voir CDN et Load Balancer.
Activer Cloud Armor
Tant que Cloud Armor n'est pas activé, la page explique ce qui va se passer et affiche le bouton Activate Cloud Armor.
- Vérifiez que le service Load Balancer ou CDN est actif. Sinon, le bouton est grisé et le lien Activate the load balancer → vous mène au service.
- Cliquez sur Activate Cloud Armor.
- Karizma One crée une politique Cloud Armor pour le projet et l'attache à votre load balancer. Les règles qui existaient déjà dans Cloud Armor sont importées et apparaissent dans la liste.
- Configurez ensuite vos protections et vos règles depuis cette page.
Une politique sans règle laisse passer tout le trafic. Le filtrage commence quand vous activez une protection ou une règle.
Le bouton reste aussi grisé pendant qu'un load balancer est en cours de création ou de suppression : attendez la fin de l'opération.
Activer les protections Odoo prêtes à l'emploi
Dans l'onglet Rules, la carte Ready-made Odoo protections propose des protections pensées pour Odoo. Activez l'interrupteur d'une protection pour la déployer immédiatement ; le message Protection switched on (priority N). le confirme.
| Priorité | Protection | Effet | Recommandée | Paramètre demandé |
|---|---|---|---|---|
| 400 | Database manager | Bloque /web/database* (réponse 404). | Oui | — |
| 500 | Login attempts | Au-delà de 10 envois par minute sur /web/login depuis une même adresse IP, bannit cette adresse 10 minutes (réponse 429). | Oui | — |
| 600 | Scanning robots | Bloque les chemins visés par les robots : wp-admin, xmlrpc.php, .env, .git/, phpmyadmin (réponse 404). | Oui | — |
| 700 | Back-office access | Limite /odoo et /web/login à vos plages d'adresses IP (réponse 403) ; le site public reste ouvert. | Non | Vos plages d'adresses |
| 800 | Country restriction | N'autorise que les pays choisis (réponse 403). | Non | Pays autorisés (8 au maximum) |
| 900 | API and integration rate limit | Limite /jsonrpc et /web/dataset/call_kw à 600 requêtes par minute et par adresse IP (réponse 429). | Non | — |
Les protections qui demandent un paramètre ouvrent une fenêtre : saisissez vos plages d'adresses séparées par des virgules (par exemple 196.200.130.0/24, 41.140.12.5) ou choisissez les pays, puis cliquez sur Switch on the protection.
Avec Back-office access ou Country restriction, vérifiez que votre propre adresse ou votre pays fait partie de la liste. Sinon, vous perdez l'accès à votre instance.
Configurer le pare-feu web (OWASP)
La carte Web application firewall bloque les grandes familles d'attaques : injection SQL, cross-site scripting, exécution de code à distance, inclusion de fichiers, abus de protocole et scanners.
- Activez l'interrupteur de la carte.
- Dans Attack classes, gardez toutes les familles sélectionnées (choix par défaut). N'en retirez une que si elle provoque de faux positifs.
- Dans Sensitivity, choisissez le niveau : 1 — Recommended, 2 — Stricter, 3 — Aggressive ou 4 — Maximum.
- Cliquez sur Apply dans le bandeau You have unapplied changes.
Au-delà du niveau 1, les règles d'injection SQL et d'exécution de code commencent à bloquer les requêtes JSON-RPC normales d'Odoo. Ne montez le niveau que si l'onglet Events montre que des attaques passent.
Proposer des règles avec l'assistant IA
La carte Not sure what to write? rédige des règles à partir d'une description en langage courant.
- Décrivez ce que vous voulez bloquer dans Describe what you want to block, ou cliquez sur un exemple (Block China and Russia, Block the address 203.0.113.5…).
- Cliquez sur Propose rules (ou Ctrl + Entrée).
- Les règles proposées sont ajoutées à la liste désactivées. Le résultat indique leurs priorités et les propositions écartées.
- Relisez chaque règle dans la liste, puis activez celles que vous voulez appliquer.
Ajouter une règle personnalisée
La carte Rules liste toutes les règles de la politique, évaluées de la plus petite priorité à la plus grande. Une étiquette indique leur origine : protection, protection Odoo, assistant, manuelle ou importée.
-
Cliquez sur Add.
-
Remplissez la fenêtre Add a rule :
Champ Contenu Priority Nombre positif. La plage 400 à 4999 est réservée aux protections. Action Deny (bloquer) ou Allow (autoriser). Description Libellé libre, par exemple « scanner récurrent ». Condition Simple — IP addresses only : une liste d'adresses ; ou Advanced — expression : une expression CEL. Response code Pour Deny : 403, 404, 429 ou 502. -
Validez : la règle est ajoutée et déployée (Rule N added and deployed.).
Chaque règle a un interrupteur. L'activation demande une confirmation (Switch on) car une règle trop large peut vous bloquer l'accès à votre propre instance ; la désactivation est immédiate. Pour supprimer une règle, cliquez sur l'icône corbeille puis sur Delete rule : elle est retirée de Cloud Armor tout de suite.
Appliquer les changements en attente
Les protections Odoo et les règles prennent effet dès que vous les activez. Les réglages du pare-feu web, eux, sont d'abord enregistrés dans Karizma One : le bandeau You have unapplied changes l'indique. Cliquez sur Apply pour les mettre en ligne.
D'autres bandeaux peuvent apparaître en haut de la page :
| Bandeau | Signification |
|---|---|
| The last apply did not finish | La dernière application a échoué ; le message d'erreur est affiché. |
| Some protections are switched on but unfinished | Une protection activée n'a pas tous ses paramètres. Elle ne bloque rien, et Apply ne passera pas tant qu'elle n'est pas complétée. |
| Sync: not everything could be imported | Le bouton Sync n'a pas pu importer certaines règles créées en dehors de Karizma One. |
Le bouton Sync, en haut de la page, réimporte les règles présentes dans Cloud Armor.
Suivre les requêtes bloquées
L'onglet Events montre les requêtes sur lesquelles vos règles ont agi, des plus récentes aux plus anciennes.
-
Choisissez la période : Last hour, Last 24 hours ou Last 7 days.
-
Lisez les compteurs :
Compteur Signification Blocked Requêtes rejetées par une règle active. Would have been blocked Requêtes qui correspondent à une règle en simple observation. Recorded events Nombre d'événements sur la période. -
Consultez Most active rules, Top source addresses et la liste Events (adresse, URL, date, priorité de la règle).
Désactiver Cloud Armor
- En bas de l'onglet Rules, dans la zone Switch Cloud Armor off, cliquez sur Switch off.
- Confirmez dans la fenêtre Switch off Cloud Armor.
Cloud Armor arrête immédiatement de filtrer les requêtes. Vos règles et réglages sont conservés : la page affiche alors Resume Cloud Armor pour les rattacher à nouveau au load balancer.
Si le service Load Balancer ou CDN est désactivé, Cloud Armor passe en pause. Vos règles sont conservées et reviennent automatiquement quand un load balancer ou un CDN est de nouveau actif.
Limites de la protection
Les règles ne s'appliquent qu'aux requêtes qui passent par votre nom de domaine. Votre serveur répond aussi sur sa propre adresse IP, et les requêtes envoyées directement à cette adresse contournent Cloud Armor (et n'apparaissent pas dans Events). Tant que cet accès direct est ouvert, la page affiche le bandeau Couverture partielle. Pour le fermer, contactez votre interlocuteur Karizma.