IT・セキュリティ担当の方へ
みんな、もう作っています。安全な置き場所を。
TeamOnly は、AIで作った社内ツールを会社のログインの内側でホストします。アプリのコードが動く前にログインを強制し、アプリ同士を分離し、すべてのアプリにオーナーを明記します。作る人はセキュリティの設定を一切しないので、設定を誤ることもありません。
01いま
いま起きていること
経理の誰かが、週末に承認ツールを作りました。ちゃんと動きます。ただし個人のアカウントで動いていて、一般公開されているかもしれず、リンクはグループチャットに貼られています。
- 個人のアカウント。アプリは作った人が登録したサービス上にあり、その人のカードで支払われています。その人が辞めれば、IT部門から見えなくなります。
- 初期設定が一般公開。AI のアプリ作成サービスの多くは、有料の非公開設定を買うか見つけるかしない限り、誰でも見られる状態で公開します。
- チャットに貼られたリンク。アクセス管理は「リンクを知っているかどうか」だけです。
仮定の話ではありません。2026年5月、RedAccess の研究者が、AI ツールで作られ、会社や個人のデータが露出した誰でもアクセスできるアプリを数千件見つけたと報告しました。その多くは Google に登録されていました。(Security Boulevard の記事)
経費アプリの前に、関係者専用と書かれたドアがあります。sam@acme.com でログインした Sam はドアで確認され、中に入ります。次に randomperson@gmail.com とボットが同じドアで確認され、締め出されます。確認はアプリの手前のドアで行われるので、2人はアプリにたどり着きません。
02最初に強制
アプリのコードより先にログイン
すべてのアプリへのすべてのリクエストは、まず私たちのディスパッチ層を通ります。ここでセッションを確認し、御社のドメインでログインした人だけをアプリに通します。
ディスパッチ層は、リクエストが偽装しようとする身元情報のヘッダーをすべて取り除き、確認済みの名前とメールアドレスを自ら付け加えます。アプリはログイン中の人を信頼でき、作った人がログインをオフにすることもできません。
ログインなしで到達できるアプリはありません。一般公開の設定もありません。
03ID管理
ログインは御社のドメインに限定
ID プロバイダーは、すでに運用しているものをそのまま使います。Google Workspace も Microsoft 365 も現在使え、それ以外の会社のメールでもワンタイムコードでログインできます。入れるのは御社のドメインのアドレスだけです。
ログインは、ドメインのクレームも含めて私たちのサーバーで検証します。誰でも取り除ける hd ヒントには頼りません。
職場または学校のアカウントのみ。個人の Microsoft アカウントは拒否され、メールのドメインが御社のものである必要があります。
Zoho、Fastmail、GoDaddy、自社のメールサーバーをお使いですか?同僚は会社のアドレスで6桁のコードを受け取ります。コードは10分で失効し、試行は5回まで、要求したブラウザでしか使えません。すべての保護策。
acme.com と acme.co.uk のように複数のドメインがありますか?すべて追加できます。ディレクトリで無効にした人は、どのアプリにもログインできなくなります。
04分離
アプリごとに別の部屋
顧客のコードは信頼しないものとして扱います。各アプリは単独で動き、そのアプリのために作られたものにしかアクセスできません。
3つの部屋がある間取り図: expenses、inventory、lookup のアプリ。各部屋には、それぞれのデータ、ファイル、シークレットがあります。expenses のアプリが inventory の部屋に手を伸ばそうとして、壁にぶつかります。inventory のアプリが lookup の部屋に手を伸ばそうとして、同じく壁にぶつかります。データ、Cookie、シークレットは、それぞれの部屋に留まります。
- データ
- 専用のデータベース。別のアプリのデータベースの認証情報を持つアプリはありません。
- ファイル
- 専用の保存領域。そのアプリ自身のバインディングを通してのみアクセスできます。
- Cookie
- セッション Cookie はアプリの正確なアドレスに限定され、共有の親ドメインには設定されません。
- シークレット
- コードの外に保存され、それが属するアプリにだけ渡されます。
05アプリ台帳
すべてのアプリ、オーナー、アクセスできる人、最終デプロイを一覧に
組織内のすべてのアプリに、オーナーの名前とアクセスのルール(全社か、名前のリストか)があります。dashboard.teamonly.dev のダッシュボードで、すべてのアプリ、そのオーナー、開ける人、すべてのデプロイを確認でき、管理者はそこでアプリを開ける人を変えたり、新しいオーナーに渡したりできます。npx teamonly whoami でも同じ一覧をターミナルで確認できます。ご依頼があれば、完全な一覧を IT部門にメールでお送りすることもできます。
作る人は無料トライアルかカードで自分から申し込めるので、IT部門が関わる前にアプリが現れることもあります。それが狙いです。準備ができたら IT部門が組織の管理を引き継ぎ、そのときにはすべてが1か所にそろっています。
各アプリのページには、承認者や経理などアプリ内の役割と、それを持つ人も表示され、管理者はそこで変更できます。アプリがメールを送れるのは社内の人だけで、同じページに、各アプリが過去30日間に送ったメールの数と、定期実行ジョブが最後に動いた時刻が表示されます。
acme.com のアプリ台帳が1行ずつ埋まっていきます。expenses はオーナーが dana@acme.com、acme.com の全員に公開、最終デプロイは今日の9:41。inventory はオーナーが marco@acme.com、6人に公開、デプロイは昨日。lookup はオーナーが priya@acme.com、priya、marco ほか3人に公開、デプロイは10月21日。requests はオーナーが lee@acme.com、acme.com の全員に公開、デプロイは10月18日。そして marco@acme.com がオフボーディングされ、彼にアクセスを与えていた行がすべて取り消し線で消されます。
06オフボーディング
誰かが退職するとき
会社のアカウントを無効にすれば、その人は TeamOnly にもどのアプリにもログインできなくなります。アプリを使っていた人たちは別のアカウントを持っていないので、ほかに削除するものはありません。
その人のアプリは、ほかの人のために動き続けます。管理者がダッシュボードでそれぞれを新しいオーナーに渡すので、担当者のいないアプリは残りません。
07対象範囲
はじめから社内アプリ専用
TeamOnly は、一般公開の Web サイトや顧客向けのアプリをホストしません。アプリを一般公開にする設定がないので、誰かがうっかり公開することもありません。
ログイン画面を含め、アプリからのすべてのレスポンスで、検索エンジンにインデックスしないよう求めています。
08Business プラン
Business プランでは
IT部門が管理を引き継ぐときのために。どれもプランに含まれ、ご利用開始時に IT部門と一緒に設定します。
- Okta、OneLogin などの SSO御社の ID プロバイダーを、OpenID Connect または SAML で。IT部門と一緒に設定します。
- 監査ログ誰がいつ、デプロイし、アクセスを変更し、何を開いたか。一緒に設定します。
- データ保存リージョンアプリのデータを保存する場所を選べます。ご利用開始時に一緒に設定します。
- 請求書払いカードの代わりに請求書でお支払い。ご利用開始時に手配します。
月額 $899。今すぐお申し込みいただけます。Business に申し込む。
09ポリシー
禁止するより、うまくいく理由
こうしたツールが作られるのは、実際の問題を解決するからです。禁止しても問題は消えません。ツールが見えない場所に移るだけです。
作る人に認められたデプロイ先を1つ用意すれば、ツールは御社のログインの内側に、御社のドメインのルールのもとで、読める一覧に収まります。「いいよ」と言いながら、何が動いているかも把握できます。
10許可リスト
ネットワークで許可するもの
ファイアウォールや Web フィルターが新しいサイトをブロックしている場合、TeamOnly に必要なアドレスはこれだけです。設定は数分、一度だけです。
| アドレス | 必要な人 | 用途 |
|---|---|---|
*.<yourcompany>.teamonly.app | アプリを開くすべての人 | 会社のアプリです。ダッシュボードに表示される TeamOnly 上の会社名を使います。他社のアプリはブロックされたままです。 |
auth.teamonly.app | アプリを開くすべての人 | ログインの手順です。アプリが読み込まれる前に会社のアカウントを確認します。 |
accounts.google.comlogin.microsoftonline.com | Google または Microsoft でログインする人 | 自社の ID プロバイダーのログインページです。通常はすでに許可されています。 |
challenges.cloudflare.com | メールのコードでログインする人 | コードのフォームを使っているのがボットではなく人であることの確認です。 |
teamonly.devdashboard.teamonly.dev | 管理者と作成者 | ダッシュボードです。すべてのアプリ、そのオーナー、開ける人が分かります。 |
api.teamonly.devregistry.npmjs.org | 作成者 | ターミナルから npx teamonly で公開するときに使います。 |
ログインコードは signin@teamonly.app から、招待は hello@teamonly.app から、アプリが送るメールは notify@teamonly.app から届きます。メールフィルターが新しい送信者を保留する場合は、teamonly.app からのメールを許可してください。
公開型のアプリ作成サイトは、必要ならブロックしたままで構いません。ここで公開したアプリは、上の会社専用のアドレスで、会社のログインの内側で動きます。
社員がすでに AI で作ったアプリは、どう見つければいいですか?
まずは SSO や Google Workspace のログイン記録で、アプリ作成サービス(Replit、Lovable、Vercel、Netlify)へのログインを確認し、経費精算でそれらの利用料を探します。そのうえで、責めずに聞いてみてください。作っている人がわかったら、それらのアプリの移行先として認められた場所として TeamOnly を案内してください。
Okta は必要ですか?
いいえ。同僚は Google Workspace、Microsoft 365、または会社のメールに届くコードでログインし、許可されるのは御社のドメインだけです。Okta、OneLogin などの SSO を使いたい場合は Business プランに含まれ、IT部門と一緒に設定します。
アプリ同士でデータが見えることはありますか?
ありません。アプリごとに専用のデータベース、ファイル保存、シークレットがあります。アプリはほかのものにアクセスする認証情報を持たず、セッション Cookie はそのアプリ自身のアドレスに限定されます。詳しくはセキュリティのページをご覧ください。
作った人が退職したらどうなりますか?
会社のアカウントが無効になるので、その人は TeamOnly にもどのアプリにもログインできなくなります。アプリはほかの人のために動き続けます。管理者はダッシュボードで、その人のアプリをそれぞれ新しいオーナーに渡せます。Business プランでは、オフボーディングもご利用開始時に一緒に設定します。
Okta や SAML に対応していますか?
Business プランで対応しています。ご利用開始時に IT部門と一緒に、OpenID Connect または SAML で Okta、OneLogin などの SSO を設定し、監査ログもあわせて設定します。Google Workspace、Microsoft 365、メールのコードによるログインは全プランで使えます。
アプリから社外にメールを送れますか?
いいえ。アプリがメールを送れるのは、御社のメールドメインのアドレス、つまりログインできる人だけです。どのメールにもどのアプリが送ったかが書かれ、アプリごとに1時間に宛先100件、1日に500件の上限があり、ダッシュボードには各アプリが過去30日間に送ったメールの数が表示されます。
アーリーアクセス
作る人に、安全なデプロイ先を1つ。
TeamOnly はアーリーアクセス中で、すべてのプランを今すぐお申し込みいただけます。作る人はカード不要で14日間無料で試すか、お申し込みいただけます。御社の準備はすぐに整い、作る人はその日のうちにデプロイできます。
まだ検討中なら、最新情報を
ご質問は hello@teamonly.dev へ。人が返信します。