Para TI y seguridad
La gente ya las está creando. Dales un lugar seguro.
TeamOnly aloja herramientas internas hechas con IA, detrás del inicio de sesión de tu empresa. El inicio de sesión se exige antes de que corra el código de cualquier app, cada app está aislada de las demás y cada app tiene un responsable con nombre. Los creadores no configuran nada de la seguridad, así que no pueden configurarla mal.
01Hoy
Lo que está pasando hoy
Alguien de finanzas creó una herramienta de aprobaciones en un fin de semana. Funciona. También corre en una cuenta personal, puede que sea pública, y el enlace está en un chat grupal.
- Cuentas personales. Las apps viven en la plataforma que el creador eligió, cobradas a su tarjeta. Cuando se va, tu visibilidad se va con él.
- Públicas por defecto. Muchas plataformas de IA para crear apps publican en la web abierta, a menos que pagues por la opción privada o la encuentres.
- Enlaces en el chat. El control de acceso es “quién tiene el enlace”.
No es hipotético. En mayo de 2026, investigadores de RedAccess informaron haber encontrado miles de apps hechas con herramientas de IA, accesibles públicamente, que exponían datos de empresas o personales, muchas de ellas indexadas por Google. (El reporte de Security Boulevard.)
Una puerta con el letrero Solo personal está delante de la app de gastos. Sam, con la sesión iniciada como sam@acme.com, pasa el control de la puerta y entra. Después, randomperson@gmail.com y un bot pasan por la misma puerta y son rechazados. Nunca llegan a la app, porque el control ocurre en la puerta, antes de la app.
02Primero el acceso
Inicio de sesión antes de que corra cualquier app
Cada solicitud a cada app pasa primero por nuestra capa de despacho. Revisa la sesión, y solo deja pasar a la app a personas de tu dominio con la sesión iniciada.
La capa de despacho también quita cualquier encabezado de identidad que una solicitud intente falsificar, y luego agrega ella misma el nombre y el correo verificados. Las apps pueden confiar en quién inició sesión, y un creador no puede desactivar el inicio de sesión.
Ninguna app es accesible sin iniciar sesión. No existe una opción pública.
03Identidad
Inicio de sesión limitado a tus dominios
Tu proveedor de identidad es el que ya usas. Google Workspace y Microsoft 365 ya funcionan, y también cualquier otro correo de empresa, con un código de un solo uso. Solo entran las direcciones de los dominios de tu empresa.
El inicio de sesión se verifica en nuestro servidor, incluido el dominio. No dependemos de la pista hd, que cualquiera puede quitar.
Solo cuentas de trabajo o de estudios. Las cuentas personales de Microsoft se rechazan, y el dominio del correo tiene que ser uno de los tuyos.
¿Usan Zoho, Fastmail, GoDaddy o su propio servidor de correo? Tus compañeros reciben un código de 6 dígitos en su dirección de trabajo. Vence en 10 minutos, permite 5 intentos y solo funciona en el navegador que lo pidió. Todas las protecciones.
¿Varios dominios, como acme.com y acme.co.uk? Agrégalos todos. Desactiva a alguien en tu directorio y ya no podrá iniciar sesión en ninguna app.
04Aislamiento
Cada app en su propio cuarto
El código de los clientes se trata como no confiable. Cada app corre por separado, con acceso solo a lo que se creó para ella.
Un plano con tres cuartos: las apps de gastos, inventario y búsqueda. Cada cuarto guarda sus propios datos, archivos y secretos. La app de gastos intenta entrar al cuarto de inventario y choca con la pared. La app de inventario intenta entrar al cuarto de búsqueda y también choca con la pared. Los datos, las cookies y los secretos se quedan en su cuarto.
- Datos
- Su propia base de datos. Ninguna app tiene credenciales para la base de datos de otra.
- Archivos
- Su propia área de almacenamiento, a la que solo se llega por el binding de esa app.
- Cookies
- Las cookies de sesión están limitadas a la dirección exacta de la app, nunca al dominio principal compartido.
- Secretos
- Se guardan fuera del código y solo se entregan a la app a la que pertenecen.
05Inventario
Una lista: cada app, su responsable, quién tiene acceso, última publicación
Cada app de tu organización tiene un responsable con nombre y una regla de acceso: toda la empresa o una lista de nombres. El panel en dashboard.teamonly.dev muestra cada app, su responsable, quién puede abrirla y cada publicación, y ahí los administradores pueden cambiar quién abre una app o pasarla a un nuevo responsable. npx teamonly whoami muestra la misma lista en la terminal. También podemos enviarle a TI la lista completa por correo si la pide.
Los creadores se registran por su cuenta, con una prueba gratis o con una tarjeta, así que pueden aparecer apps antes de que TI participe. Esa es la idea: cuando estés listo, TI toma el control de la organización, y todo ya está en un solo lugar.
La página de cada app también muestra los roles dentro de ella, como aprobador o finanzas, y quién los tiene. Los admins pueden cambiarlos ahí. Las apps solo pueden enviar correos a personas de tu empresa, y la misma página muestra cuántos correos envió cada app en los últimos 30 días y cuándo se ejecutaron por última vez sus tareas programadas.
Un registro de apps de acme.com se llena fila por fila. expenses, de dana@acme.com, abierta a todos en acme.com, publicada por última vez hoy a las 9:41. inventory, de marco@acme.com, abierta a 6 personas, publicada ayer. lookup, de priya@acme.com, abierta a priya, marco y 3 personas más, publicada el 21 de octubre. requests, de lee@acme.com, abierta a todos en acme.com, publicada el 18 de octubre. Luego se da de baja a marco@acme.com y se tachan todas las líneas que le daban acceso.
06Bajas
Cuando alguien se va
Desactiva su cuenta de trabajo y ya no podrá iniciar sesión en TeamOnly ni en ninguna app. Las personas que usaban sus apps no son cuentas aparte, así que no hay nada más que quitar.
Sus apps siguen funcionando para todos los demás. Un administrador pasa cada una a un nuevo responsable desde el panel, así que ninguna se queda sin alguien a cargo.
07Alcance
Solo apps internas, a propósito
TeamOnly no aloja sitios web públicos ni apps para clientes. No hay ninguna opción para hacer pública una app, así que nadie puede hacerlo por accidente.
Cada respuesta de una app, incluida la pantalla de inicio de sesión, les pide a los buscadores que no la indexen.
08Plan Business
En el plan Business
Para cuando TI toma el control. Cada una de estas cosas está incluida, y la configuramos con tu equipo de TI cuando te unes.
- Okta, OneLogin y otros SSOTu propio proveedor de identidad, por OpenID Connect o SAML. Configurado con tu equipo de TI.
- Registros de auditoríaQuién publicó, cambió accesos o abrió qué, y cuándo. Configurados contigo.
- Región de datosElige dónde se guardan los datos de las apps. Lo configuramos contigo cuando te unes.
- FacturaciónPaga con factura en lugar de tarjeta. Lo acordamos contigo cuando te unes.
$899 al mes, ya disponible para suscribirse. Suscríbete a Business.
09Política
Por qué esto es mejor que prohibirlo
La gente crea estas herramientas porque resuelven problemas reales. Prohibirlas no elimina el problema. Solo mueve la herramienta a un lugar que no puedes ver.
Darles a los creadores un solo lugar aprobado para publicar significa que las herramientas terminan detrás de tu inicio de sesión, con las reglas de tu dominio, en una lista que puedes leer. Puedes decir que sí, y seguir sabiendo qué está corriendo.
10Lista de permitidos
Qué permitir en tu red
Si tu firewall o filtro web bloquea sitios nuevos, estas son las únicas direcciones que TeamOnly necesita. Se hace en unos minutos, una sola vez.
| Dirección | Quién la necesita | Para qué sirve |
|---|---|---|
*.<yourcompany>.teamonly.app | Todos los que abren tus apps | Las apps de tu empresa. Usa el nombre de tu empresa en TeamOnly, que aparece en el panel. Las apps de otras empresas siguen bloqueadas. |
auth.teamonly.app | Todos los que abren tus apps | El paso de inicio de sesión. Comprueba la cuenta de la empresa antes de que cargue cualquier app. |
accounts.google.comlogin.microsoftonline.com | Quienes inician sesión con Google o Microsoft | La página de inicio de sesión de tu propio proveedor de identidad. Normalmente ya está permitida. |
challenges.cloudflare.com | Quienes inician sesión con un código por correo | La comprobación de que el formulario del código lo usa una persona y no un bot. |
teamonly.devdashboard.teamonly.dev | Administradores y creadores | El panel: cada app, su responsable y quién puede abrirla. |
api.teamonly.devregistry.npmjs.org | Creadores | Publicar desde la terminal con npx teamonly. |
Los códigos de acceso llegan desde signin@teamonly.app las invitaciones desde hello@teamonly.app y los correos que envían las apps desde notify@teamonly.app. Si tu filtro de correo retiene remitentes nuevos, permite el correo de teamonly.app.
Puedes seguir bloqueando los sitios públicos para crear apps si quieres. Las apps publicadas aquí funcionan en la dirección propia de tu empresa, detrás de tu inicio de sesión.
¿Cómo encontramos las apps hechas con IA que la gente ya creó?
Empieza por los registros de inicio de sesión de tu SSO o de Google Workspace en plataformas para crear apps (Replit, Lovable, Vercel, Netlify), y por los reportes de gastos con sus suscripciones. Después pregunta, sin culpar a nadie. Cuando sepas quiénes son los creadores, dales TeamOnly como el lugar aprobado para mover esas apps.
¿Necesitamos Okta?
No. Tus compañeros inician sesión con Google Workspace, Microsoft 365 o un código enviado a su correo de trabajo, y solo se permiten tus dominios. Si quieres Okta, OneLogin u otro proveedor de SSO, eso es parte del plan Business, y lo configuramos con tu equipo de TI.
¿Las apps pueden ver los datos de otras?
No. Cada app tiene su propia base de datos, su propio almacenamiento de archivos y sus propios secretos. Una app no tiene credenciales para nada más, y su cookie de sesión está limitada a su propia dirección. Los detalles están en la página de seguridad.
¿Qué pasa cuando el creador se va?
Se desactiva su cuenta de trabajo, así que ya no puede iniciar sesión en TeamOnly ni en ninguna app. Las apps siguen funcionando para todos los demás. Un administrador puede pasar cada una de sus apps a un nuevo responsable desde el panel. En el plan Business, las bajas también se configuran contigo cuando te unes.
¿Son compatibles con Okta o SAML?
En el plan Business, sí. Configuramos Okta, OneLogin u otro proveedor de SSO, por OpenID Connect o SAML, con tu equipo de TI cuando te unes, junto con los registros de auditoría. El inicio de sesión con Google Workspace, Microsoft 365 y código por correo funciona en todos los planes.
¿Las apps pueden enviar correos fuera de la empresa?
No. Una app solo puede enviar correos a direcciones de los dominios de correo de tu propia empresa, las mismas personas que pueden iniciar sesión. Cada correo dice qué app lo envió, hay límites de 100 destinatarios por hora y 500 al día por app, y el panel muestra cuántos correos envió cada app en los últimos 30 días.
Para la revisión de seguridad
- Detalles de seguridadInicio de sesión, aislamiento, cookies y secretos, en detalle.
- Inicio de sesión solo para la empresaLo que ven los usuarios y los de fuera, y los errores de hacerlo por tu cuenta.
- PreciosBuilder, Team y Business están abiertos para suscribirse, después de una prueba gratis de 14 días si quieres.
- Todas las preguntasIncluidos datos, facturación y soporte.
- DocsCLI, SDK y el archivo de skill que usan los creadores.
Acceso anticipado
Dale a tu gente un lugar seguro para publicar.
TeamOnly está en acceso anticipado, y todos los planes ya están abiertos. Los creadores pueden probarlo gratis 14 días sin tarjeta, o suscribirse. Tu empresa queda lista de inmediato, y los creadores pueden publicar ese mismo día.
Sin tarjeta para la prueba. Después, desde $19 al mes, cancela cuando quieras.
¿Aún no? Recibe novedades
Escribe tus preguntas a hello@teamonly.dev y te responde una persona.