Dana Okafor
dana@acme.com
Login da empresa
Só quem tem e-mail da empresa entra
Todo app do TeamOnly fica atrás do login da sua empresa. Os colegas usam a conta Google ou Microsoft de trabalho, ou um código enviado ao e-mail corporativo. Todo o resto é barrado antes de o app carregar. Você não constrói nem configura nada disso. A segurança fica com a gente.
O que as pessoas veem ao abrir o link
01Colega
O que seu colega vê
Ele abre o link, clica em “Entrar com o Google” ou “Entrar com a Microsoft” e escolhe a conta de trabalho, ou pede um código no e-mail corporativo. Alguns segundos depois está no app, e da próxima vez já entra direto.
02De fora
O que alguém de fora vê
Alguém com conta pessoal, um terceirizado de outro domínio ou um bot que achou o link. Eles chegam até a tela de login e são barrados ali. O código do seu app nunca roda para eles.
03Códigos por e-mail
Qualquer e-mail de empresa serve
Não usa Google Workspace nem Microsoft 365? Os colegas podem entrar com um código de 6 dígitos enviado ao endereço de trabalho.
Funciona não importa quem cuida do seu e-mail: Zoho, Fastmail, GoDaddy ou seu próprio servidor de e-mail. Se sua empresa tem domínio de e-mail próprio, pode usar o TeamOnly, sem configurar nada.
Como funciona para um colega
- 1
Digita o e-mail corporativo
Na tela de login, abaixo dos botões do Google e da Microsoft, ele informa o endereço de trabalho e pede um código.
- 2
Confere a caixa de entrada
Um código de 6 dígitos chega de
signin@teamonly.app. - 3
Digita o código
Ele digita no mesmo navegador e o app abre. Da próxima vez, já entra direto.
Por que é seguro
- Só endereços dos domínios da sua empresa recebem código. Endereços pessoais como Gmail ou Outlook.com são recusados.
- Um código vale por 10 minutos, permite 5 tentativas e só funciona no navegador que pediu.
- O formulário dá a mesma resposta para qualquer endereço, então ninguém consegue usá-lo para descobrir quem tem acesso.
- Limites de tentativas e o Cloudflare Turnstile impedem que bots fiquem martelando o formulário.
04Senhas
Por que uma senha compartilhada não basta para uma equipe
Uma senha no app inteiro é melhor que nada. Para uma equipe, ela desanda rápido.
- Ela circula. Vai parar numa conversa, num post-it, num e-mail para um terceirizado. Você não sabe quem tem.
- Ela não tem nome. Seu app não consegue dizer quem aprovou uma despesa se todo mundo entrou como a mesma pessoa.
- Ela não vai embora com as pessoas. Quando alguém sai da empresa, continua sabendo a senha até você trocar e avisar a nova para todo mundo.
- Muitas vezes custa a mais. Algumas hospedagens cobram por projeto para adicionar uma.
05Por conta própria
Fazer por conta própria, e onde dá errado
Você pode, sim, construir isso sozinho. Veja o que envolve, para poder decidir.
Google: crie um app OAuth
Crie um projeto no Google Cloud, configure a tela de consentimento, gere credenciais, adicione endereços de redirecionamento para cada lugar onde o app fica e guarde o segredo com cuidado.
O erro comum: usar o parâmetro
hde parar por aí. Ele só sugere quais contas mostrar. O domínio precisa ser verificado no servidor.Microsoft: registre um app de locatário único
Registre o app no Microsoft Entra, escolha quem pode entrar e cuide dos tokens.
O erro comum: escolher “qualquer organização” para a configuração funcionar, o que deixa entrar contas de trabalho de todas as empresas.
Ou coloque o Cloudflare Access na frente
O Cloudflare Access é grátis para até 50 usuários. Você conecta seu provedor de identidade e depois escreve políticas para cada app.
O erro comum: uma política que libera um pouco demais, ou um app novo publicado sem nenhuma.
Uma porta com a placa Só funcionários fica na frente do app de despesas. Sam, conectado como sam@acme.com, é verificado na porta e entra. Depois, randomperson@gmail.com e um bot são verificados na mesma porta e barrados. Eles nunca chegam ao app, porque a verificação acontece na porta, antes do app.
06Quem pode abrir
A empresa toda ou uma lista de nomes
Por padrão, cada app fica aberto para todos na sua empresa. Você pode restringir um app a uma lista de endereços de e-mail, como a equipe financeira no aprovador de despesas.
Todos @acme.com
ouSó pessoas da lista
Quem entrar, seu app recebe o nome e o e-mail da pessoa, então sabe quem fez o quê.
07Desligamento
Quando alguém sai
Quando a conta de trabalho da pessoa é desativada, ela não consegue mais entrar nos seus apps. Ninguém precisa lembrar de remover a pessoa de cada ferramenta.
Não há contas nem licenças extras para quem usa seus apps, então não há mais nada para limpar. Para a TI, há mais sobre desligamento e responsáveis na página Para TI.
Posso restringir o login do Google ao domínio da minha empresa?
Sim, e com o TeamOnly você não configura nada. Quando sua empresa é configurada no TeamOnly, seu domínio de e-mail é confirmado, por exemplo acme.com. A partir daí, só contas Google desse domínio abrem seus apps.
O parâmetro hd é suficiente?
Não. O parâmetro hd do Google só diz à página de login quais contas sugerir. Qualquer pessoa pode removê-lo. O domínio precisa ser verificado no servidor depois do login, usando o token verificado. O TeamOnly faz essa verificação em todo login.
E se não usamos Google Workspace nem Microsoft 365?
Também funciona. Os colegas digitam o e-mail corporativo na tela de login e mandamos um código de 6 dígitos. Funciona com qualquer provedor de e-mail, como Zoho, Fastmail, GoDaddy ou seu próprio servidor de e-mail, então qualquer empresa com domínio de e-mail próprio pode usar o TeamOnly sem configurar nada.
E se usamos Microsoft 365?
Já funciona. Os colegas clicam em “Entrar com a Microsoft” e usam a conta de trabalho. Contas pessoais da Microsoft são recusadas, e só contas dos domínios da sua empresa entram.
O que acontece se alguém entra com um Gmail pessoal?
A pessoa é barrada na tela de login com uma mensagem curta dizendo que o app é só para a sua empresa. Pedir um código por e-mail num endereço pessoal também não funciona. Seu app nunca carrega para ela.
Posso liberar só algumas pessoas?
Sim. Cada app fica aberto para a empresa toda ou para uma lista de endereços de e-mail que você escolhe.
Continue lendo
- Detalhes de segurançaComo o login é verificado e como os apps ficam separados.
- Para TIInventário, desligamento e o que a TI recebe no Business.
- Como funcionaDo seu notebook para a equipe com um comando.
- Outras formas de manter um app privadoReplit, Lovable, Vercel, Netlify e Cloudflare Access, lado a lado.
Acesso antecipado
Coloque sua primeira ferramenta no ar esta semana.
O TeamOnly está em acesso antecipado, e todos os planos já estão abertos. Teste grátis por 14 dias sem cartão, ou assine. Nos dois casos, sua empresa fica pronta na hora, e três comandos colocam seu primeiro app no ar.
Teste grátis por 14 diasOu assine agora
Sem cartão no teste. Depois, a partir de $19 por mês, cancele quando quiser.
Ainda não? Receba novidades
Dúvidas vão para hello@teamonly.dev, e uma pessoa responde.