Mengamankan Odoo dengan WAF BunkerWeb

Data ERP Anda Adalah Aset Bisnis

Di dalam ERP tersimpan hampir seluruh isi "dapur" perusahaan: data pelanggan, harga jual, stok, laporan keuangan, hingga gaji karyawan. Kalau sistem ini dibobol atau lumpuh, dampaknya langsung terasa: transaksi berhenti, data bocor ke pesaing, dan kepercayaan pelanggan turun.

Begitu ERP bisa diakses dari internet (supaya tim bisa bekerja dari mana saja), sistem itu juga terlihat oleh bot dan peretas yang setiap hari mencari celah. Karena itu, ERP yang aman bukan hanya soal password yang kuat, tetapi juga soal penjaga di depan pintu

Apa Itu WAF? Bayangkan Satpam di Pintu Gedung

WAF (Web Application Firewall) bekerja seperti satpam di pintu masuk kantor. Setiap tamu (request dari internet) diperiksa dulu: tamu biasa dipersilakan masuk, tamu yang mencurigakan ditolak sebelum sempat sampai ke ruangan. Ruangannya adalah ERP Odoo Anda.

BunkerWeb adalah salah satu WAF open source (gratis) yang bisa dipasang di depan Odoo. Berikut ancaman yang dihadangnya:

Cara Kerja WAF di Depan Odoo

Semua akses dari internet masuk lewat BunkerWeb. Odoo dan database berada di belakangnya dan tidak bisa diakses langsung.

Checklist untuk Pemilik Bisnis

Anda tidak perlu memasang WAF sendiri. Cukup pastikan vendor atau tim IT bisa menjawab "ya" untuk pertanyaan berikut:

• Apakah ERP kita dilindungi WAF, bukan hanya reverse proxy biasa?
• Apakah halaman pengelola database Odoo sudah ditutup dari internet?
• Apakah percobaan login berulang otomatis diblokir?
• Apakah akun admin memakai password kuat dan verifikasi dua langkah (2FA)?
• Apakah database di-backup otomatis setiap hari dan pernah diuji pemulihannya?
• Apakah Odoo dan modulnya rutin diperbarui?
• Apakah ada yang memantau log serangan secara berkala?

Kalau ada yang dijawab "belum", itu prioritas yang perlu dibahas dengan tim IT atau vendor ERP Anda.

Bagian 2: Untuk Tim IT dan IT Manager

Bagian berikut menjelaskan pemasangan BunkerWeb di depan Odoo memakai Docker.

Langkah 1: Docker Compose

Komponen yang dipakai:

Compose ini sengaja minimal: hanya koneksi database. Semua pengaturan situs dilakukan lewat Web UI (Langkah 3), sehingga tim IT bisa mengelolanya tanpa restart container.

services:
  bunkerweb:
    image: bunkerity/bunkerweb-all-in-one:1.6.17
    container_name: bunkerweb-aio
    depends_on: [bw-db]
    ports:
      - "80:8080/tcp"
      - "443:8443/tcp"
      - "443:8443/udp"
    environment:
      DATABASE_URI: "postgresql://bunkerweb:ganti-password-bw@bw-db:5432/db"
    volumes:
      - bw-storage:/data
    networks: [bw-services, bw-db]
    restart: unless-stopped

  bw-db:
    image: postgres:16
    environment:
      POSTGRES_USER: bunkerweb
      POSTGRES_PASSWORD: ganti-password-bw
      POSTGRES_DB: db
    volumes:
      - bw-db-data:/var/lib/postgresql/data
    networks: [bw-db]
    restart: unless-stopped

  odoo:
    image: odoo:19
    depends_on: [db]
    volumes:
      - odoo-data:/var/lib/odoo
      - ./config:/etc/odoo
      - ./addons:/mnt/extra-addons
    networks: [bw-services, odoo-db]
    restart: unless-stopped

  db:
    image: postgres:16
    environment:
      POSTGRES_USER: odoo
      POSTGRES_PASSWORD: ganti-password-kuat
      POSTGRES_DB: postgres
    volumes:
      - odoo-db-data:/var/lib/postgresql/data
    networks: [odoo-db]
    restart: unless-stopped

volumes:
  bw-storage:
  bw-db-data:
  odoo-data:
  odoo-db-data:

networks:
  bw-services:
    name: bw-services
  bw-db:
    name: bw-db
  odoo-db:
    name: odoo-db

• Odoo tidak membuka port ke host, jadi tidak bisa diakses langsung lewat IP:8069.
• Database BunkerWeb dan database Odoo berada di network terpisah dan tidak terbuka ke internet.

Langkah 2: odoo.conf

[options]
db_host = db
db_user = odoo
db_password = ganti-password-kuat
admin_passwd = master-password-yang-berbeda
proxy_mode = True
list_db = False
workers = 4
gevent_port = 8072	​	​

# Odoo bisa dibuka lewat HTTPS (hasil: 200)
curl -sI https://erp.contoh.co.id/web/login | head -n1

# Database Manager diblokir (hasil: 403)
curl -sI https://erp.contoh.co.id/web/database/manager | head -n1

# Pola SQL injection diblokir (hasil: 403)
curl -sI "https://erp.contoh.co.id/?id=1%27%20OR%20%271%27=%271" | head -n1

# Port Odoo tidak terbuka (hasil: timeout / refused)
curl -m 5 -sI http://IP-SERVER:8069/web/login