install.lock : où le mettre, et comment faire une mise à jour avec

Après une installation, l’accueil de Dolibarr affiche aux administrateurs :

Attention, une fois l’installation terminée, les outils d’installation/migration doivent être désactivés en ajoutant un fichier install.lock dans le répertoire /var/www/documents. L’absence de ce fichier représente une faille de sécurité.

Le chemin affiché est celui de votre dossier des documents. C’est exactement là qu’il faut poser le fichier.

Pourquoi l’assistant ne le crée pas

Sans ce fichier, n’importe qui peut ouvrir /install/ sur votre serveur et relancer l’assistant. Pourtant, l’installation par l’assistant web ne le crée pas : sur l’instance de test, aucun install.lock n’existait après la dernière étape.

C’est voulu, et le code l’explique : un fichier créé par l’assistant appartiendrait au serveur web, qui pourrait donc aussi l’effacer. Dolibarr préfère vous demander de le créer vous-même, avec un autre compte.

Le créer

Le dossier des documents est celui de la ligne $dolibarr_main_data_root de votre conf.php. Sur un serveur Linux :

sudo touch /chemin/vers/documents/install.lock
sudo chmod 444 /chemin/vers/documents/install.lock

Le fichier peut rester vide. Créé avec sudo, il appartient à root : le serveur web peut le lire, pas le supprimer. Rechargez l’accueil : l’avertissement a disparu.

Avec l’image Docker officielle dolibarr/dolibarr, le script de démarrage le crée lui-même dans /var/www/documents/ à la fin de l’installation automatique, qui est activée par défaut avec une base MariaDB ou MySQL.

Ce que voient ensuite les pages d’installation

Toute page sous /install/ affiche désormais :

Les pages d’installation/mise à jour ont été désactivées pour des raisons de sécurité (en raison de la présence d’un verrou fichier install.lock dans le répertoire des documents dolibarr).

C’est le comportement attendu.

Le piège de htdocs

Dolibarr accepte aussi un install.lock placé à la racine de htdocs/ : les pages d’installation sont alors bien fermées. Mais l’avertissement de l’accueil, lui, ne regarde que le dossier des documents. Sur l’instance de test, avec le fichier seulement dans htdocs/, l’installation était bloquée et l’avertissement toujours affiché. Mettez-le dans le dossier des documents.

Faire une mise à jour sans le supprimer

Pour une mise à jour, inutile de retirer install.lock. Ajoutez à côté un fichier upgrade.unlock :

sudo touch /chemin/vers/documents/upgrade.unlock

Les pages de mise à jour s’ouvrent de nouveau, et celles d’une installation neuve restent fermées : sur l’instance de test, la page de vérification s’affichait, la page de configuration initiale non. Une fois la mise à jour finie, supprimez upgrade.unlock.

La méthode complète, avant, pendant et après, est dans Mettre à jour Dolibarr sans casse.

Supprimer install.lock ou créer upgrade.unlock ?

Le message des pages fermées propose les deux : « vous devez supprimer le fichier install.lock (ou créer un fichier upgrade.unlock) ». Pour une mise à jour, choisissez toujours upgrade.unlock : il ne rouvre que la mise à jour, alors que supprimer install.lock rouvre aussi l’installation neuve.

Voir aussi

• « Installation non autorisée par les permissions du fichier conf.php »
• Mot de passe administrateur perdu

À lire aussi

• Mettre à jour Dolibarr en ligne de commande
• Sécuriser une instance Dolibarr hébergée
• « Dolibarr config file content seems to be not correctly defined »