ich bin neu in Dolibar und steh vor der Entscheidung welches ERP CRM System es für das Unternehmen werden soll.
Was ich noch nicht verstanden habe ist die Opensource Geschichte? Ist Dollibarr für Unternehmen kostenlos oder nur für Vereine oder Community Users?
Wie finanziert sich Dollibarr? Nur über einen Server Service oder Module die Geld kosten?
Für mich ist Dollibarr interessant wegen der flexiblen Modulwahl. Ich kann für ein Fünf Mann Unternehmen genau das System für die Firma anpassen und bei Bedarf Dollibarr mit dem Unternehmen mit wachsen lassen.
Fängst man sich mit der Opensource Offenheit nicht auch gefahren oder Schwachstellen mit ein? Wie wir das überprüft?
erstmal willkommen im Forum und in der Dolibarr-Community!
Tatsächlich wird das Open Source Projekt Dolibarr von einer breiten Community aus Enthusiasten getragen, die letztlich unentgeltlich Beiträge leisten. Das können direkte Verbesserungen und Erweiterungen von ehrenamtlichen Programmierern sein. Teile stammen aber auch aus der kommerziellen Tätigkeit von Dienstleistern, die für Ihre Kunden gegen Vergütung benötigte Erweiterungen realisieren und diese dann in das Projekt einfließen lassen. Dieser Ansatz hat sich langjährig bewährt: Dolibarr kann bereits auf eine mehr als 20-jährige Erfolgsgeschichte zurückblicken.
Zur Förderung dieser Community gibt es zum einen die internationale Dolibarr Foundation und für die deutschsprachige Community den Dolibarr e.V. Beide finanzieren sich u.a. aus Mitgliedsbeiträgen.
Bei Bedarf gibt es zudem ein Ökosystem aus professionellen Dienstleistern, so dass gegebenenfalls das passende Know How verfügbar ist. Das ist allerdings nur optional - das ganze Projekt ist für jeden frei verfügbar und nutzbar. Es ist unternehmerisch nur die Abwägung zu treffen, inwieweit man sich selbst detailliert einarbeitet oder sich durch die Lernkurve begleiten lässt.
Im Gegensatz zu vielen anderen Open Source ERP-Systemen ist Dolibarr unternehmensunabhängig. Da es nicht das Projekt eines einzelnen Unternehmens ist, ist auch langfristig sichergestellt, dass das Projekt ein Open Source Projekt bleibt und nicht aus finanziellen Erwägungen zu einer geschlossenen Lösung mutiert.
Und die Offenheit von Dolibarr ist gerade auch in Bezug auf die Sicherheit ein großer Vorteil: Sehr viele Beteiligte werfen einen Blick auf den Sourcecode. Jede Änderung durchläuft sowohl eine automatisierte Qualitätssicherung als auch ein persönliche Sichtung durch den Projektleiter, bevor sie aufgenommen wird. Darüber hinaus gibt es seit mehreren Jahren eine Bug Bounty-Kampagne, also finanzielle Prämien für gefundene Sicherheitslücken. Nachdem Anfangs durchaus einige Schwachstellen gefunden und geschlossen wurden, gibt es inzwischen nur noch wenige Meldungen. Das zeigt, auf welch hohem Niveau man hier inzwischen angelangt ist.
Ich hoffe, damit konnte ich die Fragen ein wenig beantworten.
Insbesondere Prämien für gefundene Schwachstellen sind ein großer Schritt in Sachen “Sicherheit” - spätestens seit Edward Snowden (2013, also quasi ‘ne Ewigkeit her) wissen wir, dass unsere Regierungen auf bislang unbekannten Sicherheitslücken sitzen und zum Teil auch aktiv die Softwaresicherheit schwächen um behördliche Interessen leichter durchsetzen zu können.
Bei proprietären Lösungen ist das ein Problem - für die Sicherheit ist eine Firma zuständig die dazu noch Profitinteressen hat, welche durch überschwängliche Absicherungsprozesse beeinträchtigt werden. Den Quellcode offenlegen tun sie auch nicht, denn die Kunden sollen ja dafür bezahlen. Wie stellst du sicher, dass die Software “sicher” ist?
Eine Prämie für aufgedeckt Schwachstellen erhöht den Druck - einerseits motiviert es die bisher an der Entwicklung Beteiligten, den Code nochmal genauer zu untersuchen; zum anderen motiviert es Menschen die sich mit Softwaresicherheit auskennen, den Code unter die Lupe zu nehmen … und eine Schwachstelle zügig zu melden, denn wer seinen Fund zu lange bedeckt hält riskiert, dass jemand anders dieselbe Angriffsroute entdeckt und die Prämie einstreicht.
