Prérequis

• Module odooskills_helpdesk v19.0.1.14.0 (T22).
• Module website installé (pour le layout public).
• Notions QWeb (T20).

2. type='http' vs type='json'

type='http' — page rendue

@http.route('/helpdesk/status/<path:ref>', type='http', auth='public', website=True)
def helpdesk_status_page(self, ref, **kwargs):
    """Page publique de tracking d'un ticket."""
    ticket = request.env['helpdesk.ticket'].sudo().search(
        [('reference', '=', ref)], limit=1,
    )
    values = {'ref': ref, 'ticket': ticket}
    return request.render('odooskills_helpdesk.ticket_status_page', values)

Points clés :

• <path:ref> — converter qui accepte plusieurs segments séparés par /. Obligatoire ici : les références sont de la forme HLP/2026/00006.
• website=True — rend la route compatible avec le framework website (menu public, thème, multi-website). Sans ça, pas d'accès à website.layout.
• .sudo() sur la recherche — auth=public = utilisateur anonyme sans ACL sur helpdesk.ticket. On bypasse pour afficher le ticket, mais on limite les champs exposés côté template.
• request.render(template_xmlid, values) — rend un template QWeb avec le dict values comme contexte.

type='json' — API REST

@http.route('/api/v1/tickets', type='json', auth='user', methods=['POST'])
def api_tickets(self, **kwargs):
    """Lister ou créer un ticket."""
    action = kwargs.get('action', 'list')
    Ticket = request.env['helpdesk.ticket']

    if action == 'list':
        domain = kwargs.get('domain') or []
        limit = min(int(kwargs.get('limit', 20)), 100)
        tickets = Ticket.search(domain, limit=limit, order='create_date desc')
        return {
            'count': len(tickets),
            'tickets': [{
                'id': t.id,
                'reference': t.reference,
                'name': t.name,
                'state': t.state,
                'partner': t.partner_id.name,
            } for t in tickets],
        }

    if action == 'create':
        ticket = Ticket.create({
            'name': kwargs['name'],
            'partner_id': int(kwargs['partner_id']),
            'channel': kwargs.get('channel', 'email'),
        })
        return {'id': ticket.id, 'reference': ticket.reference}

    return {'error': f"unknown action '{action}'"}

Trois différences structurelles :

• Pas d'ensure_one ou de template — on retourne un dict, Odoo le sérialise en JSON.
• methods=['POST'] — conventions REST : list et create en POST dans l'enveloppe JSON-RPC Odoo, pas de GET pour modifier.
• Les paramètres arrivent dans kwargs — Odoo parse automatiquement le body JSON et le dispatche en arguments nommés.

4. CSRF — le piège des formulaires publics POST

Odoo active par défaut une protection CSRF sur les routes type='http' en POST. Concrètement, tout formulaire qui appelle ta route doit contenir un champ caché csrf_token.

<form action="/ma/route/post" method="POST">
    <input type="hidden" name="csrf_token" t-att-value="request.csrf_token()"/>
    <input type="text" name="nom"/>
    <button type="submit">Envoyer</button>
</form>

Sans ça, Odoo renvoie 403 Forbidden — Session expired.

Désactiver CSRF pour une API externe

Un webhook extérieur (Slack, Stripe, GitHub) ne peut PAS envoyer le CSRF token. On le désactive explicitement :

@http.route('/webhook/stripe', type='http', auth='none', methods=['POST'], csrf=False)
def stripe_webhook(self, **post):
    # Vérifier la signature Stripe manuellement ici
    signature = request.httprequest.headers.get('Stripe-Signature')
    # ...
    return 'ok'

Les routes type='json' ont csrf=False par défaut — le format JSON-RPC inclut l'ID de requête comme protection alternative.

6. Page publique — le template QWeb côté website

Côté vue, on crée un template qui enveloppe le contenu dans website.layout :

<template id="ticket_status_page" name="Helpdesk — Suivi de ticket">
    <t t-call="website.layout">
        <div id="wrap" class="oe_structure">
            <div class="container pt-5 pb-5">
                <div class="row">
                    <div class="col-lg-8 mx-auto">

                        <t t-if="not ticket">
                            <div class="alert alert-warning">
                                <h3>Ticket introuvable</h3>
                                <p>Aucun ticket ne correspond à <strong><t t-out="ref"/></strong>.</p>
                            </div>
                        </t>

                        <t t-else="">
                            <h1>Suivi du ticket <t t-out="ticket.reference"/></h1>
                            <div class="card shadow-sm">
                                <div class="card-body">
                                    <h4><t t-out="ticket.name"/></h4>
                                    <!-- ...contenu... -->
                                </div>
                            </div>
                        </t>

                    </div>
                </div>
            </div>
        </div>
    </t>
</template>

Trois détails qui comptent :

• t-call="website.layout" — enveloppe automatique avec header/footer/menu/logo du site. Ton contenu hérite du thème actif.
• <div id="wrap" class="oe_structure"> — zone éditable depuis le builder website (admin peut ajouter des snippets autour de ta page).
• Bootstrap 5 + FontAwesome dispos — pas besoin de charger d'assets supplémentaires, ils sont déjà dans web.assets_frontend.

Voir aussi dans cette série