Inicio de sesión solo para tu empresa, sin configurar

Q: ¿Alcanza con el parámetro hd?

No. El parámetro hd de Google solo le dice a la página de inicio de sesión qué cuentas sugerir. Cualquiera puede quitarlo. El dominio se tiene que revisar en el servidor después del inicio de sesión, con el token verificado. TeamOnly hace esa revisión en cada inicio de sesión.

01Compañero

Lo que ve tu compañero

Abre el enlace, hace clic en “Iniciar sesión con Google” o “Iniciar sesión con Microsoft” y elige su cuenta de trabajo, o pide un código en su correo de trabajo. Unos segundos después está en la app, y la próxima vez ya tiene la sesión iniciada.

02De fuera

Lo que ve alguien de fuera

Alguien con una cuenta personal, un contratista de otro dominio o un bot que encontró el enlace. Llega hasta la pantalla de inicio de sesión y ahí se le rechaza. El código de tu app nunca corre para esa persona.

03Códigos por correo

Sirve cualquier correo de empresa

¿No usan Google Workspace ni Microsoft 365? Tus compañeros pueden iniciar sesión con un código de 6 dígitos enviado a su dirección de trabajo.

Funciona sin importar quién maneje tu correo: Zoho, Fastmail, GoDaddy o tu propio servidor de correo. Si tu empresa tiene su propio dominio de correo, puede usar TeamOnly sin configurar nada.

Cómo funciona para un compañero

1
Escribe su correo de trabajo
En la pantalla de inicio de sesión, debajo de los botones de Google y Microsoft, escribe su dirección de trabajo y pide un código.
2
Revisa su bandeja de entrada
Le llega un código de 6 dígitos desde signin@teamonly.app.
3
Ingresa el código
Lo escribe en el mismo navegador y se abre la app. La próxima vez ya tiene la sesión iniciada.

Por qué es seguro

Solo las direcciones de los dominios de tu empresa reciben un código. Las direcciones personales como Gmail u Outlook.com se rechazan.
Un código sirve por 10 minutos, permite 5 intentos y solo en el navegador que lo pidió.
El formulario da la misma respuesta para cualquier dirección, así que nadie puede usarlo para averiguar quién tiene acceso.
Los límites de solicitudes y Cloudflare Turnstile evitan que los bots lo ataquen sin parar.

La lista completa de protecciones

04Contraseñas

Por qué una contraseña compartida no alcanza para un equipo

Una contraseña para toda la app es mejor que nada. Para un equipo, se cae rápido.

Viaja. Termina en un chat, en una nota adhesiva, en un correo a un contratista. No puedes saber quién la tiene.
No tiene nombres. Tu app no puede decir quién aprobó un gasto si todos entraron como la misma persona.
No se va con la gente. Cuando alguien deja la empresa, sigue sabiendo la contraseña hasta que la cambias y les das la nueva a todos los demás.
Muchas veces cuesta extra. Algunos hostings cobran por proyecto para agregar una.

05Hacerlo por tu cuenta

Hacerlo por tu cuenta, y dónde sale mal

Claro que puedes construir esto tú mismo. Esto es lo que implica, para que decidas.

Google: crear una app OAuth
Crea un proyecto en Google Cloud, configura la pantalla de consentimiento, crea credenciales, agrega direcciones de redirección para cada lugar donde vive la app y guarda el secreto en un lugar seguro.
El error común: usar el parámetro hd y quedarse ahí. Solo sugiere qué cuentas mostrar. El dominio se tiene que revisar en el servidor.
Microsoft: registrar una app de un solo tenant
Registra la app en Microsoft Entra, elige quién puede iniciar sesión y maneja sus tokens.
El error común: elegir “cualquier organización” para que la configuración funcione, lo que deja entrar a cuentas de trabajo de cualquier empresa.
O poner Cloudflare Access delante
Cloudflare Access es gratis hasta 50 usuarios. Conectas tu proveedor de identidad y luego escribes políticas para cada app.
El error común: una política que permite un poco de más, o una app nueva publicada sin ninguna.

Una puerta por app. Las cuentas de la empresa pasan; a todos los demás se les detiene antes de la app.

06Quién puede abrirla

Toda la empresa o una lista de nombres

Por defecto, cada app está abierta a todos en tu empresa. Puedes limitar una app a una lista de direcciones de correo, como el equipo de finanzas para la app de aprobación de gastos.

Todos en @acme.com

o

Solo personas con nombre

Entre quien entre, tu app recibe su nombre y su correo, así que sabe quién hizo qué.

07Bajas

Cuando alguien se va

Cuando se desactiva su cuenta de trabajo, ya no puede volver a iniciar sesión en tus apps. Nadie tiene que acordarse de quitarlo de cada herramienta.

No hay cuentas ni licencias extra para las personas que usan tus apps, así que no hay nada más que limpiar. Para TI, hay más sobre bajas y responsables de apps en la página Para TI.

Preguntas

Lo que la gente pregunta

Todas las preguntas y respuestas

¿Puedo limitar el inicio de sesión con Google al dominio de mi empresa?

Sí, y con TeamOnly no configuras nada. Cuando tu empresa queda lista en TeamOnly, se confirma tu dominio de correo, por ejemplo acme.com. Desde ese momento solo las cuentas de Google de ese dominio pueden abrir tus apps.

¿Alcanza con el parámetro hd?

No. El parámetro hd de Google solo le dice a la página de inicio de sesión qué cuentas sugerir. Cualquiera puede quitarlo. El dominio se tiene que revisar en el servidor después del inicio de sesión, con el token verificado. TeamOnly hace esa revisión en cada inicio de sesión.

¿Y si no usamos Google Workspace ni Microsoft 365?

También funciona. Tus compañeros escriben su correo de trabajo en la pantalla de inicio de sesión y les mandamos un código de 6 dígitos. Funciona con cualquier proveedor de correo, como Zoho, Fastmail, GoDaddy o tu propio servidor de correo, así que cualquier empresa con su propio dominio de correo puede usar TeamOnly sin configurar nada.

¿Y si usamos Microsoft 365?

Ya funciona. Tus compañeros hacen clic en “Iniciar sesión con Microsoft” y usan su cuenta de trabajo. Las cuentas personales de Microsoft se rechazan, y solo entran las cuentas de los dominios de tu empresa.

¿Qué pasa si alguien inicia sesión con un Gmail personal?

Se le rechaza en la pantalla de inicio de sesión con un mensaje breve que dice que la app es solo para tu empresa. Pedir un código por correo en una dirección personal tampoco funciona. Tu app nunca carga para esa persona.

¿Puedo dar acceso solo a unas pocas personas?

Sí. Cada app está abierta a toda la empresa o a una lista de direcciones de correo que tú eliges.

Sigue leyendo

Acceso anticipado

Pon tu primera herramienta en línea esta semana.

TeamOnly está en acceso anticipado y todos los planes ya están abiertos. Pruébalo gratis 14 días sin tarjeta, o suscríbete. De cualquier forma, tu empresa queda lista de inmediato, y tres comandos ponen tu primera app en línea.

Prueba gratis 14 días O suscríbete ahora

Sin tarjeta para la prueba. Después, desde $19 al mes, cancela cuando quieras.

Escribe tus preguntas a hello@teamonly.dev y te responde una persona.