Manuel d'utilisation du module NotePlus

Notes illimitées pour chaque élément

• Vous pouvez ajouter un nombre illimité de notes à chaque élément.
• Chaque note dispose de son propre titre et contenu.
• Le système enregistre la date et l’utilisateur ayant effectué la dernière modification :

Éléments compatibles avec NotePlus

• Vous trouverez l’onglet « Note+ » sur les éléments suivants de Dolibarr : Produits, Services, Clients, Fournisseurs, Contacts, Membres, Utilisateurs, Projets, Contrats, Devis, Commandes clients, Commandes fournisseurs, Factures clients, Factures fournisseurs, Événements du calendrier (Agenda), Nomenclatures (Bill of Materials), Ordres de fabrication, Postes de travail, Tickets.
   
• Certains de ces éléments (comme les événements de l’Agenda) n’ont pas la fonctionnalité native de Dolibarr permettant d’ajouter une « Note privée » ou une « Note publique ». NotePlus comble cette lacune ! :

Notes chiffrées (optionnel)

Vous avez la possibilité de **chiffrer le contenu des notes** pour une sécurité renforcée.

Comment ça marche ?

1. Le module génère une clé aléatoire de 256 bits (64 caractères hexadécimaux).
2. Le système vous demande une « clé de déverrouillage » (mot de passe).
   
   ⚠️ Cette clé n’est jamais stockée en base de données.
   ⚠️ Si vous la perdez ou l’oubliez, vous perdrez l’accès aux données chiffrées !
    
3. Pour accéder au contenu d’une note chiffrée, il suffit de connaître la clé de déverrouillage.

Exemple d’utilisation :

• Vous créez une note sensible sur un client et la chiffrez avec une clé personnelle :

• Seul vous (ou ceux avec qui vous partagez la clé) pourrez la lire : 

Clés personnelles vs. clés partagées

Clés personnelles

• Chaque utilisateur peut créer autant de clés de chiffrement qu’il le souhaite.
• Les notes chiffrées avec une clé personnelle ne sont déverrouillables que par leur créateur.

Clés partagées

• Un utilisateur peut aussi créer des clés partagées pour permettre à d’autres utilisateurs d’accéder aux notes chiffrées.
• Les notes chiffrées avec une clé partagée sont accessibles à tous ceux qui connaissent la clé de déverrouillage.

Gestion des clés

• Chaque utilisateur gère **ses propres clés** (personnelles et partagées).
• Seul le créateur d’une clé partagée peut la modifier ou la supprimer.

Cas d’usage des clés partagées :

• Un utilisateur crée une clé partagée et la marque comme « PARTAGÉE ».
• D’autres utilisateurs peuvent alors l’utiliser pour chiffrer des notes, en utilisant toujours la même clé de déverrouillage.
• Cela permet de **partager des informations chiffrées entre différentes équipes** de l’entreprise.

⚠️ Attention :

• Seul le créateur de la clé peut la modifier ou la supprimer.
• Si un utilisateur quitte l’entreprise, il faut **changer la clé partagée** pour éviter tout accès non autorisé.

Considérations techniques

Stockage robuste des clés de chiffrement

• Les clés de chiffrement des notes sont de 256 bits (64 caractères hexadécimaux) générées aléatoirement à l’aide de l’algorithme openssl_random_pseudo_bytes() de PHP, en utilisant un "salt" unique. Elles ressemblent à cet exemple :
  e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
• Cette clé de chiffrement est stockée dans la base de données après avoir été chiffrée avec l’algorithme AES 256 bits, de niveau militaire, en utilisant comme clé de chiffrement la "clé de déverrouillage" fournie par l’utilisateur, qui est généralement assez faible. Pour cette raison, le système la renforce en appliquant l’algorithme PBKDF2 avec 600 000 itérations et un "salt" aléatoire unique. Cela dépasse largement les recommandations OWASP pour 2025 (!!).
   
  Note : pour cette raison, vous remarquerez peut-être que lors du chiffrement/déchiffrement d’une clé ou d’une note, votre Dolibarr peut prendre environ 0,5 seconde de plus (selon la puissance de votre serveur).
   
• Enfin, les notes sont chiffrées à l’aide de cette clé de 256 bits mentionnée au premier point, en utilisant à nouveau l’algorithme AES 256 bits.
    
• Ainsi, même si quelqu’un pouvait accéder à une sauvegarde de votre base de données, il lui faudrait un effort computationnel considérable pour mener une attaque par force brute. 

Recommandations concernant le chiffrement

Ce système, qui utilise une version "renforcée avec PBKDF2", rend très difficile la réussite d’une attaque par force brute. Cependant, il est recommandé :

1. Ne mettez pas tous vos œufs dans le même panier. Utilisez des clés différentes pour différents "sujets". Cela augmentera toujours la difficulté pour un attaquant, qu’il tente une attaque par force brute ou que l’une de vos clés soit compromise via des techniques d'"ingénierie sociale".
    
2. Utilisez des clés de verrouillage robustes. Évitez les clés de déverrouillage trop courtes ou basées sur des mots du dictionnaire. À la place : combinez majuscules et minuscules, incluez des signes de ponctuation et des chiffres. Si vous préférez utiliser des mots "du dictionnaire", optez pour une phrase longue composée de mots "sans lien apparent".

Traçabilité minimale des modifications

Pour le moment, seule la minute et l’utilisateur ayant effectué la dernière modification sur une note sont enregistrés. À l’avenir, un journal des changements (LOG) pourrait être ajouté, s’il existe un intérêt pour une fonctionnalité de ce type.

Compatibilité avec la multi-société

Les notes ajoutées à un élément d’une société ne sont visibles que pour cette société. De plus, les clés qu’un utilisateur crée dans une société ne sont accessibles que lorsqu’il opère au sein de cette même société.

Processus d’installation

Comme pour tout module Dolibarr, suivez ces étapes :

1. Allez dans Configuration → Modules.
2. Sélectionnez l’onglet « Installer un module externe ».
3. Téléchargez le fichier ZIP du module (ou son update).
4. Retournez dans l’onglet « Modules disponibles ».
5. Filtrez par Origine : « Externe - IMASDEWEB ».
6. Activez le module NotePlus