Para TI e segurança
As pessoas já estão criando. Dê a elas um lugar seguro.
O TeamOnly hospeda ferramentas internas feitas com IA, protegidas pelo login da sua empresa. O login é exigido antes de qualquer código do app rodar, cada app fica isolado dos outros e todo app tem um responsável identificado. Os criadores não configuram nada da segurança, então não têm como errar.
01Hoje
O que está acontecendo agora
Alguém do financeiro criou uma ferramenta de aprovação num fim de semana. Funciona. Também está rodando numa conta pessoal, pode estar pública, e o link está num grupo de conversa.
- Contas pessoais. Os apps ficam na plataforma em que o criador se cadastrou, cobrados no cartão dele. Quando ele sai, sua visibilidade vai junto.
- Públicos por padrão. Muitas plataformas de criação de apps com IA publicam na internet aberta, a menos que você pague pela opção privada ou a encontre.
- Links no chat. O controle de acesso é “quem tem o link”.
Isso não é hipotético. Em maio de 2026, pesquisadores da RedAccess relataram ter encontrado milhares de apps criados com ferramentas de IA, acessíveis publicamente, que expunham dados da empresa ou pessoais, muitos deles indexados pelo Google. (Reportagem do Security Boulevard.)
Uma porta com a placa Só funcionários fica na frente do app de despesas. Sam, conectado como sam@acme.com, é verificado na porta e entra. Depois, randomperson@gmail.com e um bot são verificados na mesma porta e barrados. Eles nunca chegam ao app, porque a verificação acontece na porta, antes do app.
02Exigido antes
Login antes de qualquer código do app
Toda requisição para qualquer app passa primeiro pela nossa camada de despacho. Ela verifica a sessão, e só pessoas autenticadas do seu domínio seguem para o app.
A camada de despacho também remove qualquer cabeçalho de identidade que uma requisição tente falsificar e depois adiciona ela mesma o nome e o e-mail verificados. Os apps podem confiar em quem está autenticado, e um criador não consegue desligar o login.
Nenhum app é acessível sem login. Não existe configuração pública.
03Identidade
Login limitado aos seus domínios
O provedor de identidade é o que você já usa. Google Workspace e Microsoft 365 já funcionam, e qualquer outro e-mail de empresa também, com um código de uso único. Só endereços dos domínios da sua empresa entram.
O login é verificado no nosso servidor, incluindo o claim de domínio. Não dependemos da dica hd, que qualquer pessoa pode remover.
Só contas corporativas e de estudante. Contas pessoais da Microsoft são recusadas, e o domínio do e-mail precisa ser um dos seus.
Usa Zoho, Fastmail, GoDaddy ou seu próprio servidor de e-mail? Os colegas recebem um código de 6 dígitos no endereço de trabalho. Ele expira em 10 minutos, permite 5 tentativas e só funciona no navegador que pediu. Todas as proteções.
Vários domínios, como acme.com e acme.co.uk? Adicione todos. Desative alguém no seu diretório e a pessoa não consegue mais entrar em nenhum app.
04Isolamento
Cada app na sua própria sala
O código do cliente é tratado como não confiável. Cada app roda separado, com acesso só ao que foi criado para ele.
Uma planta com três salas: os apps de despesas, estoque e consulta. Cada sala guarda seus próprios dados, arquivos e segredos. O app de despesas tenta entrar na sala do estoque e bate na parede. O app de estoque tenta entrar na sala da consulta e também bate na parede. Dados, cookies e segredos ficam na própria sala.
- Dados
- Banco de dados próprio. Nenhum app tem credenciais para o banco de dados de outro.
- Arquivos
- Área de armazenamento própria, acessada só pelo binding do próprio app.
- Cookies
- Os cookies de sessão valem para o endereço exato do app, nunca para o domínio pai compartilhado.
- Segredos
- Guardados fora do código e entregues só ao app a que pertencem.
05Inventário
Uma lista: cada app, o responsável, quem tem acesso, última publicação
Todo app da sua organização tem um responsável identificado e uma regra de acesso: a empresa toda ou uma lista de nomes. O painel em dashboard.teamonly.dev mostra todos os apps, o responsável, quem pode abrir cada um e cada publicação, e ali os administradores podem mudar quem abre um app ou passá-lo para um novo responsável. O npx teamonly whoami mostra a mesma lista no terminal. Também podemos mandar a lista completa por e-mail para a TI quando pedirem.
Os criadores se cadastram por conta própria, com um teste grátis ou com cartão, então os apps podem aparecer antes de a TI se envolver. É essa a ideia: quando você estiver pronto, a TI assume a organização, e tudo já está num lugar só.
A página de cada app também mostra os papéis dentro dele, como aprovador ou financeiro, e quem tem cada um. Os admins podem mudar isso ali. Os apps só podem mandar e-mail para pessoas da sua empresa, e a mesma página mostra quantos e-mails cada app enviou nos últimos 30 dias e quando as tarefas agendadas dele rodaram pela última vez.
Um registro de apps de acme.com é preenchido linha por linha. expenses, de dana@acme.com, aberto a todos em acme.com, última publicação hoje às 9:41. inventory, de marco@acme.com, aberto a 6 pessoas, publicado ontem. lookup, de priya@acme.com, aberto a priya, marco e mais 3, publicado em 21 de outubro. requests, de lee@acme.com, aberto a todos em acme.com, publicado em 18 de outubro. Então marco@acme.com é desligado e cada linha que dava acesso a ele é riscada.
06Desligamento
Quando alguém sai
Desative a conta de trabalho da pessoa e ela não consegue mais entrar no TeamOnly nem em nenhum app. Quem usava os apps dela não tem conta separada, então não há mais nada para remover.
Os apps dela continuam rodando para todos os outros. Um administrador passa cada um para um novo responsável no painel, então nenhum fica sem alguém responsável por ele.
07Escopo
Só apps internos, de propósito
O TeamOnly não hospeda sites públicos nem apps para clientes. Não existe configuração para tornar um app público, então ninguém faz isso por engano.
Toda resposta de um app, incluindo a tela de login, pede aos buscadores que não a indexem.
08Plano Business
No plano Business
Para quando a TI assume. Cada item está incluído, e configuramos com sua equipe de TI na entrada.
- Okta, OneLogin e outros SSOSeu próprio provedor de identidade, via OpenID Connect ou SAML. Configurado com sua equipe de TI.
- Logs de auditoriaQuem publicou, mudou acessos ou abriu o quê, e quando. Configurados com você.
- Região dos dadosEscolha onde os dados dos apps ficam guardados. Configuramos com você na entrada.
- FaturamentoPague por fatura em vez de cartão. Combinado com você na entrada.
$899 por mês, já aberto para assinatura. Assine o Business.
09Política
Por que isso é melhor que proibir
As pessoas criam essas ferramentas porque elas resolvem problemas reais. Proibir não elimina o problema. Só leva a ferramenta para onde você não vê.
Dar aos criadores um lugar aprovado para publicar significa que as ferramentas acabam atrás do seu login, com as regras do seu domínio, numa lista que você consegue ler. Você pode dizer sim e ainda saber o que está rodando.
10Lista de permissões
O que liberar na sua rede
Se o seu firewall ou filtro web bloqueia sites novos, estes são os únicos endereços de que o TeamOnly precisa. Leva poucos minutos, uma vez só.
| Endereço | Quem precisa | Para que serve |
|---|---|---|
*.<yourcompany>.teamonly.app | Todos que abrem seus apps | Os apps da sua empresa. Use o nome da sua empresa no TeamOnly, que aparece no painel. Os apps de outras empresas continuam bloqueados. |
auth.teamonly.app | Todos que abrem seus apps | A etapa de login. Ela confere a conta da empresa antes de qualquer app carregar. |
accounts.google.comlogin.microsoftonline.com | Quem entra com Google ou Microsoft | A página de login do seu próprio provedor de identidade. Normalmente já está liberada. |
challenges.cloudflare.com | Quem entra com um código por e-mail | A verificação de que é uma pessoa, e não um robô, usando o formulário do código. |
teamonly.devdashboard.teamonly.dev | Administradores e criadores | O painel: todos os apps, o responsável e quem pode abrir cada um. |
api.teamonly.devregistry.npmjs.org | Criadores | Publicar pelo terminal com npx teamonly. |
Os códigos de acesso vêm de signin@teamonly.app, os convites de hello@teamonly.app e os e-mails enviados pelos apps de notify@teamonly.app. Se o seu filtro de e-mail retém remetentes novos, libere os e-mails de teamonly.app.
Você pode continuar bloqueando os sites públicos de criação de apps, se quiser. Os apps publicados aqui rodam no endereço da sua empresa acima, protegidos pelo seu login.
Como encontrar os apps feitos com IA que as pessoas já criaram?
Comece pelos logs de login do seu SSO ou do Google Workspace nas plataformas de criação (Replit, Lovable, Vercel, Netlify), e pelos relatórios de despesas com as assinaturas delas. Depois pergunte, sem culpar ninguém. Quando souber quem são os criadores, ofereça o TeamOnly como o lugar aprovado para levar esses apps.
Precisamos de Okta?
Não. Os colegas entram com Google Workspace, Microsoft 365 ou um código enviado ao e-mail corporativo, e só os seus domínios são permitidos. Se você quiser Okta, OneLogin ou outro provedor de SSO, isso faz parte do plano Business, e configuramos com sua equipe de TI.
Um app consegue ver os dados de outro?
Não. Cada app tem seu próprio banco de dados, seu próprio armazenamento de arquivos e seus próprios segredos. Um app não tem credenciais para mais nada, e o cookie de sessão dele vale só para o próprio endereço. Os detalhes estão na página de segurança.
O que acontece quando o criador sai da empresa?
A conta de trabalho dele é desativada, então ele não consegue mais entrar no TeamOnly nem em nenhum app. Os apps continuam rodando para todos os outros. Um administrador pode passar cada app dele para um novo responsável no painel. No plano Business, o desligamento também é configurado com você na entrada.
Vocês suportam Okta ou SAML?
No plano Business, sim. Configuramos Okta, OneLogin ou outro provedor de SSO, via OpenID Connect ou SAML, com sua equipe de TI na entrada, junto com os logs de auditoria. Login com Google Workspace, Microsoft 365 e código por e-mail funciona em todos os planos.
Os apps podem mandar e-mail para fora da empresa?
Não. Um app só pode mandar e-mail para endereços nos domínios de e-mail da sua empresa, as mesmas pessoas que podem entrar. Cada e-mail diz qual app o enviou, há limites de 100 destinatários por hora e 500 por dia por app, e o painel mostra quantos e-mails cada app enviou nos últimos 30 dias.
Para a revisão de segurança
- Detalhes de segurançaLogin, isolamento, cookies e segredos, em detalhes.
- Login só para a empresaO que usuários e pessoas de fora veem, e as armadilhas de fazer por conta própria.
- PreçosBuilder, Team e Business estão todos abertos para assinatura, depois de um teste grátis de 14 dias se você quiser.
- Todas as perguntasIncluindo dados, cobrança e suporte.
- DocumentaçãoCLI, SDK e o arquivo de skill que os criadores usam.
Acesso antecipado
Dê aos seus criadores um lugar seguro para publicar.
O TeamOnly está em acesso antecipado, e todos os planos já estão abertos. Os criadores podem testar grátis por 14 dias sem cartão, ou assinar. Sua empresa fica pronta na hora, e os criadores podem publicar no mesmo dia.
Sem cartão no teste. Depois, a partir de $19 por mês, cancele quando quiser.
Ainda não? Receba novidades
Dúvidas vão para hello@teamonly.dev, e uma pessoa responde.