Per IT e sicurezza
Le persone le creano già. Dagli un posto sicuro dove metterle.
TeamOnly ospita gli strumenti interni creati con l’AI, dietro il login aziendale. Il login è imposto prima che giri il codice di qualsiasi app, ogni app è isolata dalle altre e ha un responsabile con nome e cognome. I creatori non configurano niente della sicurezza, quindi non possono sbagliarla.
01Oggi
Cosa succede oggi
Qualcuno in amministrazione ha creato uno strumento di approvazione in un weekend. Funziona. Ma gira anche su un account personale, magari è pubblico, e il link è in una chat di gruppo.
- Account personali. Le app stanno su qualunque piattaforma il creatore abbia scelto, pagate con la sua carta. Quando se ne va, se ne va anche la tua visibilità.
- Pubbliche per impostazione predefinita. Molti strumenti AI per creare app pubblicano sul web aperto, a meno che tu non paghi l’opzione privata o la trovi.
- Link in chat. Il controllo degli accessi è “chi ha il link”.
Non è un’ipotesi. A maggio 2026 i ricercatori di RedAccess hanno riferito di aver trovato migliaia di app create con strumenti AI, raggiungibili pubblicamente, che esponevano dati aziendali o personali, molte delle quali indicizzate da Google. (L’articolo di Security Boulevard.)
Davanti all’app delle spese c’è una porta con la targa Riservato al personale. Sam, che ha fatto l’accesso come sam@acme.com, viene controllato alla porta ed entra. Poi randomperson@gmail.com e un bot vengono controllati alla stessa porta e respinti. Non arrivano mai all’app, perché il controllo avviene alla porta, prima dell’app.
02Prima di tutto
Login prima che giri il codice di qualsiasi app
Ogni richiesta a ogni app passa prima dal nostro livello di dispatch. Controlla la sessione, e solo chi ha fatto l’accesso con il tuo dominio passa all’app.
Il livello di dispatch rimuove anche qualsiasi header di identità che una richiesta prova a falsificare, poi aggiunge lui stesso nome ed email verificati. Le app possono fidarsi di chi ha fatto l’accesso, e un creatore non può disattivare il login.
Nessuna app è raggiungibile senza login. Non esiste un’impostazione pubblica.
03Identità
Accesso limitato ai tuoi domini
Il tuo identity provider è quello che usi già. Google Workspace e Microsoft 365 funzionano entrambi già oggi, e così qualsiasi altra email aziendale, con un codice monouso. Entrano solo gli indirizzi dei domini della tua azienda.
L’accesso viene verificato sul nostro server, compresa la claim del dominio. Non ci affidiamo al suggerimento hd, che chiunque può rimuovere.
Solo account aziendali e dell’istituto. Gli account Microsoft personali vengono rifiutati, e il dominio email deve essere uno dei tuoi.
Usi Zoho, Fastmail, GoDaddy o un tuo server di posta? I colleghi ricevono un codice di 6 cifre al loro indirizzo di lavoro. Scade dopo 10 minuti, consente 5 tentativi e funziona solo nel browser che l’ha richiesto. Tutte le protezioni.
Più domini, come acme.com e acme.co.uk? Aggiungili tutti. Disattiva qualcuno nella tua directory e non potrà più accedere a nessuna app.
04Isolamento
Ogni app nella sua stanza
Il codice dei clienti è considerato non attendibile. Ogni app gira da sola, con accesso solo a ciò che è stato creato per lei.
Una pianta con tre stanze: le app Spese, Magazzino e Ricerca. Ogni stanza ha i propri dati, file e segreti. L’app Spese prova a entrare nella stanza di Magazzino e sbatte contro il muro. Anche l’app Magazzino prova a entrare nella stanza di Ricerca e sbatte contro il muro. Dati, cookie e segreti restano nella loro stanza.
- Dati
- Un suo database. Nessuna app ha credenziali per il database di un’altra app.
- File
- Un suo spazio di archiviazione, raggiungibile solo tramite il binding di quell’app.
- Cookie
- I cookie di sessione sono limitati all’indirizzo esatto dell’app, mai al dominio padre condiviso.
- Segreti
- Salvati fuori dal codice e dati solo all’app a cui appartengono.
05Inventario
Un unico elenco: ogni app, responsabile, accessi, ultima pubblicazione
Ogni app della tua organizzazione ha un responsabile con nome e cognome e una regola di accesso: tutta l’azienda o un elenco di nomi. La dashboard su dashboard.teamonly.dev mostra ogni app, il suo responsabile, chi può aprirla e ogni pubblicazione, e lì gli amministratori possono cambiare chi apre un’app o passarla a un nuovo responsabile. npx teamonly whoami mostra lo stesso elenco nel terminale. Su richiesta possiamo anche mandare all’IT l’elenco completo via email.
I creatori si iscrivono da soli, con una prova gratuita o con una carta, quindi le app possono comparire prima che l’IT sia coinvolto. È proprio questo il punto: quando sei pronto, l’IT prende in mano l’organizzazione, e tutto è già in un unico posto.
La pagina di ogni app mostra anche i ruoli al suo interno, come approvatore o amministrazione, e chi li ha. Gli admin possono cambiarli lì. Le app possono inviare email solo alle persone della tua azienda, e la stessa pagina mostra quante email ha inviato ogni app negli ultimi 30 giorni e quando sono stati eseguiti l’ultima volta i suoi job pianificati.
Un registro delle app di acme.com si compila riga per riga. expenses, responsabile dana@acme.com, aperta a tutti in acme.com, ultima pubblicazione oggi alle 9:41. inventory, responsabile marco@acme.com, aperta a 6 persone, pubblicata ieri. lookup, responsabile priya@acme.com, aperta a priya, marco e altri 3, pubblicata il 21 ottobre. requests, responsabile lee@acme.com, aperta a tutti in acme.com, pubblicata il 18 ottobre. Poi marco@acme.com viene disattivato e ogni riga che gli dava accesso viene barrata.
06Offboarding
Quando qualcuno se ne va
Disattiva il suo account di lavoro e non potrà più accedere a TeamOnly né a nessuna app. Le persone che usavano le sue app non sono account separati, quindi non c’è nient’altro da rimuovere.
Le sue app continuano a funzionare per tutti gli altri. Un amministratore passa ciascuna a un nuovo responsabile dalla dashboard, così nessuna resta senza qualcuno che se ne occupi.
07Ambito
Solo app interne, per scelta
TeamOnly non ospita siti web pubblici né app per i clienti. Non esiste un’impostazione per rendere pubblica un’app, quindi nessuno può farlo per sbaglio.
Ogni risposta di un’app, compresa la schermata di accesso, chiede ai motori di ricerca di non indicizzarla.
08Piano Business
Nel piano Business
Per quando subentra l’IT. Ognuna di queste cose è inclusa, e la configuriamo insieme al tuo team IT quando ti abboni.
- Okta, OneLogin e altri SSOIl tuo identity provider, tramite OpenID Connect o SAML. Configurato insieme al tuo team IT.
- Log di auditChi ha pubblicato, cambiato gli accessi o aperto cosa, e quando. Configurati insieme a te.
- Regione dei datiScegli dove vengono salvati i dati delle app. Lo configuriamo insieme a te quando ti abboni.
- FatturazionePaga con fattura invece che con carta. Lo organizziamo insieme a te quando ti abboni.
$899 al mese, già disponibile. Abbonati a Business.
09Policy
Perché è meglio di un divieto
Le persone creano questi strumenti perché risolvono problemi reali. Un divieto non elimina il problema. Sposta lo strumento dove non puoi vederlo.
Dare ai creatori un unico posto approvato dove pubblicare significa che gli strumenti finiscono dietro il tuo login, con le regole del tuo dominio, in un elenco che puoi leggere. Puoi dire di sì, e sapere comunque cosa sta girando.
10Lista consentiti
Cosa consentire sulla tua rete
Se il firewall o il filtro web blocca i siti nuovi, questi sono gli unici indirizzi che servono a TeamOnly. Bastano pochi minuti, una volta sola.
| Indirizzo | Chi ne ha bisogno | A cosa serve |
|---|---|---|
*.<yourcompany>.teamonly.app | Tutti quelli che aprono le tue app | Le app della tua azienda. Usa il nome della tua azienda su TeamOnly, che trovi nella dashboard. Le app di altre aziende restano bloccate. |
auth.teamonly.app | Tutti quelli che aprono le tue app | Il passaggio di accesso. Controlla l’account aziendale prima che si carichi qualsiasi app. |
accounts.google.comlogin.microsoftonline.com | Chi accede con Google o Microsoft | La pagina di accesso del tuo provider di identità. Di solito è già consentita. |
challenges.cloudflare.com | Chi accede con un codice via email | Il controllo che a usare il modulo del codice sia una persona e non un bot. |
teamonly.devdashboard.teamonly.dev | Amministratori e creatori | La dashboard: ogni app, chi ne è responsabile e chi può aprirla. |
api.teamonly.devregistry.npmjs.org | Creatori | Pubblicare dal terminale con npx teamonly. |
I codici di accesso arrivano da signin@teamonly.app, gli inviti da hello@teamonly.app e le email inviate dalle app da notify@teamonly.app. Se il filtro della posta trattiene i mittenti nuovi, consenti la posta da teamonly.app.
Puoi continuare a bloccare i siti pubblici per creare app, se vuoi. Le app pubblicate qui girano sull’indirizzo della tua azienda indicato sopra, dietro il tuo login.
Come troviamo le app create con l’AI che le persone hanno già fatto?
Parti dai log di accesso del tuo SSO o di Google Workspace per le piattaforme di creazione app (Replit, Lovable, Vercel, Netlify), e dalle note spese per i relativi abbonamenti. Poi chiedi, senza colpevolizzare nessuno. Una volta che sai chi sono i creatori, offri loro TeamOnly come posto approvato dove spostare quelle app.
Ci serve Okta?
No. I colleghi accedono con Google Workspace, Microsoft 365 o un codice inviato alla loro email aziendale, e sono ammessi solo i vostri domini. Se volete Okta, OneLogin o un altro provider SSO, fa parte del piano Business, e lo configuriamo insieme al vostro team IT.
Le app possono vedere i dati delle altre?
No. Ogni app ha un suo database, una sua archiviazione file e i suoi segreti. Un’app non ha credenziali per nient’altro, e il suo cookie di sessione è limitato al suo indirizzo. I dettagli sono nella pagina sulla sicurezza.
Cosa succede quando chi ha creato l’app se ne va?
Il suo account di lavoro viene disattivato, quindi non può più accedere a TeamOnly né a nessuna app. Le app continuano a funzionare per tutti gli altri. Un amministratore può passare ciascuna delle sue app a un nuovo responsabile dalla dashboard. Nel piano Business configuriamo anche l’offboarding insieme a te quando ti abboni.
Supportate Okta o SAML?
Nel piano Business, sì. Configuriamo Okta, OneLogin o un altro provider SSO, tramite OpenID Connect o SAML, insieme al tuo team IT quando ti abboni, insieme ai log di audit. L’accesso con Google Workspace, Microsoft 365 e codice via email funziona in tutti i piani.
Le app possono inviare email fuori dall’azienda?
No. Un’app può inviare email solo a indirizzi sui domini email della tua azienda, cioè le stesse persone che possono accedere. Ogni email dice quale app l’ha inviata, ci sono limiti di 100 destinatari all’ora e 500 al giorno per app, e la dashboard mostra quante email ha inviato ogni app negli ultimi 30 giorni.
Per la revisione di sicurezza
- Dettagli sulla sicurezzaAccesso, isolamento, cookie e segreti, nel dettaglio.
- Login solo aziendaleCosa vedono utenti ed esterni, e gli errori del fai da te.
- PrezziBuilder, Team e Business sono tutti già disponibili, dopo una prova gratuita di 14 giorni se vuoi.
- Tutte le domandeCompresi dati, fatturazione e supporto.
- DocumentazioneCLI, SDK e il file della skill che usano i creatori.
Accesso anticipato
Dai ai tuoi creatori un unico posto sicuro dove pubblicare.
TeamOnly è in accesso anticipato e tutti i piani sono già disponibili. I creatori possono provarlo gratis per 14 giorni senza carta, oppure abbonarsi. La tua azienda è pronta subito, e i creatori possono pubblicare il giorno stesso.
Nessuna carta per la prova. Poi da $19 al mese, disdici quando vuoi.
Non sei pronto? Ricevi aggiornamenti
Le domande vanno a hello@teamonly.dev, e risponde una persona.