Вход через корпоративный аккаунт в приложение, без настройки

Q: Достаточно ли параметра hd?

Нет. Параметр hd от Google только подсказывает странице входа, какие аккаунты предложить. Любой может его убрать. Домен нужно проверять на сервере после входа, по проверенному токену. TeamOnly делает эту проверку при каждом входе.

01Коллега

Что видит ваш коллега

Он открывает ссылку, нажимает «Войти через Google» или «Войти через Microsoft» и выбирает рабочий аккаунт либо запрашивает код на рабочую почту. Через несколько секунд он уже в приложении, а в следующий раз вход уже выполнен.

02Посторонний

Что видит посторонний

Человек с личным аккаунтом, подрядчик с другого домена или бот, который нашёл ссылку. Они доходят до экрана входа, и там им отказывают. Код вашего приложения для них не запускается.

03Коды на почту

Подойдёт любая корпоративная почта

У вас нет Google Workspace или Microsoft 365? Коллеги могут войти по 6-значному коду, отправленному на рабочий адрес.

Неважно, кто обслуживает вашу почту: Zoho, Fastmail, GoDaddy или ваш собственный почтовый сервер. Если у компании есть свой почтовый домен, она может пользоваться TeamOnly, ничего не настраивая.

Как это выглядит для коллеги

1
Ввести рабочую почту
На экране входа, под кнопками Google и Microsoft, коллега вводит рабочий адрес и запрашивает код.
2
Проверить почту
6-значный код приходит с signin@teamonly.app.
3
Ввести код
Код вводится в том же браузере, и приложение открывается. В следующий раз вход уже выполнен.

Почему это безопасно

Код получают только адреса на доменах вашей компании. Личные адреса, такие как Gmail или Outlook.com, отклоняются.
Код действует 10 минут, даёт 5 попыток и работает только в том браузере, где его запросили.
Форма отвечает одинаково на любой адрес, поэтому через неё нельзя узнать, у кого есть доступ.
Ограничение частоты запросов и Cloudflare Turnstile не дают ботам её штурмовать.

Полный список мер защиты

04Пароли

Почему общего пароля команде мало

Пароль на всё приложение лучше, чем ничего. Но для команды он быстро перестаёт работать.

Он расходится. Он оказывается в чате, на стикере, в письме подрядчику. Вы не знаете, у кого он есть.
Он безымянный. Приложение не может сказать, кто одобрил расход, если все входят под одним и тем же человеком.
Он не уходит вместе с людьми. Когда сотрудник увольняется, он знает пароль, пока вы его не смените и не сообщите новый всем остальным.
За него часто доплачивают. Некоторые хостинги берут плату за каждый проект, чтобы его добавить.

05Своими силами

Как сделать самому и где обычно ошибаются

Это вполне можно сделать самому. Вот что для этого нужно, чтобы вы могли решить.

Google: создать OAuth-приложение
Создать проект в Google Cloud, настроить экран согласия, выпустить учётные данные, добавить адреса перенаправления для каждого места, где живёт приложение, и надёжно хранить секрет.
Частая ошибка: использовать параметр hd и на этом остановиться. Он только подсказывает, какие аккаунты показать. Домен нужно проверять на сервере.
Microsoft: зарегистрировать однотенантное приложение
Зарегистрировать приложение в Microsoft Entra, выбрать, кто может входить, и обрабатывать его токены.
Частая ошибка: выбрать «любая организация», чтобы всё заработало, и тем самым пустить рабочие аккаунты любой компании.
Или поставить перед приложением Cloudflare Access
Cloudflare Access бесплатен для 50 пользователей. Вы подключаете своего провайдера идентификации и пишете политики для каждого приложения.
Частая ошибка: политика, которая разрешает чуть больше, чем нужно, или новое приложение, опубликованное без неё.

У каждого приложения своя дверь. Аккаунты компании проходят, всех остальных останавливают до приложения.

06Кто может открыть

Вся компания или список людей

По умолчанию каждое приложение открыто всем в вашей компании. Можно сузить доступ к приложению до списка адресов почты, например только для финансового отдела в случае согласования расходов.

Все @acme.com

или

Только указанные люди

Кто бы ни вошёл, приложение получает его имя и почту, поэтому знает, кто что сделал.

07Увольнение

Когда сотрудник уходит

Когда его рабочий аккаунт отключают, он больше не может войти в ваши приложения. Никому не нужно помнить, что его надо удалить из каждого инструмента.

У тех, кто пользуется вашими приложениями, нет дополнительных аккаунтов или платных мест, поэтому больше ничего чистить не нужно. Для ИТ подробнее об увольнениях и владении приложениями на странице для ИТ.

Вопросы и ответы

Что обычно спрашивают

Все вопросы и ответы

Можно ли ограничить вход через Google доменом компании?

Да, и в TeamOnly вам ничего не нужно настраивать. Когда ваша компания подключается к TeamOnly, домен почты подтверждается, например acme.com. С этого момента открыть ваши приложения могут только аккаунты Google на этом домене.

Достаточно ли параметра hd?

Нет. Параметр hd от Google только подсказывает странице входа, какие аккаунты предложить. Любой может его убрать. Домен нужно проверять на сервере после входа, по проверенному токену. TeamOnly делает эту проверку при каждом входе.

А если у нас нет Google Workspace или Microsoft 365?

Это тоже работает. Коллеги вводят рабочую почту на экране входа, и мы присылаем им 6-значный код. Это работает с любым почтовым сервисом, например Zoho, Fastmail, GoDaddy или вашим собственным почтовым сервером, поэтому любая компания со своим почтовым доменом может пользоваться TeamOnly, ничего не настраивая.

А если у нас Microsoft 365?

Это уже работает. Коллеги нажимают «Войти через Microsoft» и используют рабочий аккаунт. Личные аккаунты Microsoft отклоняются, а пускают только аккаунты на доменах вашей компании.

Что будет, если кто-то войдёт через личный Gmail?

Ему откажут на экране входа с коротким сообщением, что приложение только для вашей компании. Запросить код на личный адрес тоже не получится. Ваше приложение для него не загрузится.

Можно ли пустить только нескольких человек?

Да. Каждое приложение открыто либо всей компании, либо списку адресов почты, который вы выберете.

Что ещё почитать

Ранний доступ

Запустите первый инструмент на этой неделе.

TeamOnly в раннем доступе, и все тарифы уже открыты. Попробуйте бесплатно 14 дней без карты или оформите подписку. В любом случае компания готова сразу, а три команды запускают первое приложение.

14 дней бесплатно Или оформите подписку сейчас

Для пробного периода карта не нужна. Дальше от $19 в месяц, отменить можно в любой момент.

Вопросы пишите на hello@teamonly.dev, отвечает живой человек.