Odoo.sh chiude SSH e PostgreSQL agli indirizzi non autorizzati: cosa cambia dal 21 settembre

Dal 21 settembre 2026, Odoo.sh inizierà ad attivare un nuovo firewall su tutti i server di produzione. La modifica riguarda l'accesso via SSH e, dove abilitato, via PostgreSQL: le connessioni verranno accettate solo dagli indirizzi IP esplicitamente autorizzati nella sezione Firewall delle impostazioni di progetto. Tutto il resto sarà rifiutato per default, credenziali corrette comprese.

Non si tratta di un disservizio né di un bug: è una scelta dichiarata di sicurezza, in risposta a quello che Odoo descrive come un aumento degli attacchi automatizzati contro i servizi esposti su internet. La logica è semplice: una porta SSH aperta al mondo resta un bersaglio anche quando la password è solida. Filtrare l'indirizzo di provenienza elimina il bersaglio, non si limita a blindarlo meglio.

Cosa cambia in concreto

La chiave SSH continua a essere necessaria: Odoo lo ha chiarito esplicitamente. Cambia il momento in cui viene valutata. Prima le credenziali venivano verificate a prescindere dalla provenienza della richiesta; con il nuovo firewall, la connessione viene scartata prima ancora di arrivare a quel controllo, se l'indirizzo non è in whitelist.

Per prepararsi, Odoo.sh permette già oggi di registrare fino a 10 indirizzi IPv4 permanenti nella sezione Firewall delle impostazioni di progetto. Una volta attivo il firewall, sarà disponibile anche il pulsante Allow my IP, presente nella tab SSH di ogni branch: sblocca l'indirizzo corrente per un'ora, utile per chi si collega solo occasionalmente e non vuole gestire una whitelist permanente.

La stessa restrizione si applica ai progetti che hanno PostgreSQL External Access abilitato: anche in quel caso, solo gli indirizzi autorizzati potranno stabilire una connessione diretta al database.

Cosa può smettere di funzionare senza avviso

Il punto più delicato non è la connessione manuale occasionale, quella la nota il primo utente che prova ad accedere e trova la porta chiusa. Il rischio reale riguarda le integrazioni automatiche, che falliscono in silenzio: nessun errore visibile, nessuna notifica, finché qualcuno non si accorge che qualcosa non ha più funzionato, spesso nel momento peggiore.

Tra i casi più comuni:

• backup schedulati via SSH, gestiti da script esterni alla piattaforma
• strumenti di BI che interrogano il database Odoo.sh in tempo reale via PostgreSQL
• job schedulati su server terzi, magari configurati anni prima da chi oggi non segue più il progetto

In tutti questi casi, l'indirizzo IP da cui parte la connessione deve essere censito e autorizzato prima del 21 settembre. Chi ha un'infrastruttura documentata lo fa in pochi minuti. Chi non lo ha fatto, lo scopre quando il backup notturno manca all'appello.

Un'unica complicazione reale: gli IP dinamici

C'è un solo scenario che non si risolve semplicemente aggiungendo un indirizzo alla whitelist: le connessioni che partono da una linea con IP dinamico. Un indirizzo che cambia periodicamente non può essere autorizzato in modo permanente, e il pulsante Allow my IP (valido un'ora) non è pensato per processi automatici e ricorrenti.

Chi ha un job o un'integrazione che dipende da una connessione con IP variabile dovrà spostarla su una macchina con indirizzo fisso prima della scadenza. È l'unico punto della transizione che richiede una pianificazione, non un semplice inserimento di dati, ed è quindi il primo da affrontare.

Come arrivare pronti al 21 settembre

Prima di quella data, la domanda utile da porsi non è "abbiamo configurato la whitelist", ma una più a monte: quanti servizi entrano oggi nel progetto Odoo.sh via SSH o direttamente via PostgreSQL? Backup, BI, job schedulati, script di manutenzione: vale la pena elencarli esplicitamente, verificare da quale indirizzo parte ciascuno, e registrare quelli statici già nelle impostazioni del progetto. Chi parte da un indirizzo dinamico va isolato subito, perché è l'unico caso che richiede un intervento infrastrutturale e non solo amministrativo.

Se non hai il tempo o le risorse interne per fare questa mappatura prima del 21 settembre, puoi affidarti a noi: ti aiutiamo a censire i servizi coinvolti, mettere in sicurezza l'accesso e gestire anche i casi più scomodi, come gli IP dinamici da spostare su indirizzo fisso, senza farti perdere la testa dietro whitelist e configurazioni da rincorrere all'ultimo momento. Prenota un primo appuntamento!