Для ИТ и безопасности
Сотрудники уже делают такие приложения. Дайте им безопасное место.
TeamOnly размещает внутренние инструменты, сделанные с ИИ, за входом через аккаунт компании. Вход проверяется до того, как запустится код приложения, каждое приложение изолировано от остальных, и у каждого есть конкретный владелец. Авторы ничего не настраивают в безопасности сами, поэтому и ошибиться в ней не могут.
01Сейчас
Что происходит сейчас
Кто-то из финансового отдела за выходные сделал инструмент для согласований. Он работает. А ещё он запущен на личном аккаунте, может быть открыт всему интернету, и ссылка на него лежит в групповом чате.
- Личные аккаунты. Приложения живут на той платформе, где зарегистрировался автор, и оплачиваются с его карты. Когда он уходит, вы теряете их из виду.
- Публичные по умолчанию. Многие ИИ-конструкторы приложений публикуют их в открытый интернет, если не заплатить за приватный режим или не найти его.
- Ссылки в чатах. Контроль доступа сводится к тому, у кого есть ссылка.
Это не гипотеза. В мае 2026 года исследователи RedAccess сообщили, что нашли тысячи публично доступных приложений, сделанных с помощью ИИ, через которые утекали корпоративные или личные данные, и многие из них были проиндексированы Google. (Отчёт Security Boulevard.)
Перед приложением для расходов стоит дверь с табличкой «Только для персонала». Sam входит как sam@acme.com, проходит проверку у двери и заходит. Затем randomperson@gmail.com и бот проходят ту же проверку, и им отказывают. До приложения они не доходят, потому что проверка происходит у двери, раньше приложения.
02Сначала проверка
Вход до запуска кода приложения
Каждый запрос к каждому приложению сначала проходит через наш слой маршрутизации. Он проверяет сессию и пропускает к приложению только вошедших пользователей из вашего домена.
Этот слой также удаляет все заголовки идентификации, которые запрос пытается подделать, и сам добавляет проверенные имя и почту. Приложения могут доверять тому, кто вошёл, а автор не может отключить вход.
Ни одно приложение не открывается без входа. Публичной настройки нет.
03Идентификация
Вход только для ваших доменов
Провайдер идентификации тот, который у вас уже есть. Google Workspace и Microsoft 365 работают уже сейчас, как и любая другая корпоративная почта с одноразовым кодом. Войти могут только адреса на доменах вашей компании.
Вход проверяется на нашем сервере, включая утверждение о домене. Мы не полагаемся на подсказку hd, которую любой может убрать.
Только рабочие и учебные учётные записи. Личные аккаунты Microsoft отклоняются, а домен почты должен быть одним из ваших.
У вас Zoho, Fastmail, GoDaddy или свой почтовый сервер? Коллеги получают 6-значный код на рабочий адрес. Он действует 10 минут, даёт 5 попыток и работает только в том браузере, где его запросили. Все меры защиты.
Несколько доменов, например acme.com и acme.co.uk? Добавьте все. Отключите сотрудника в своём каталоге, и он больше не сможет войти ни в одно приложение.
04Изоляция
У каждого приложения своя комната
Код клиентов считается недоверенным. Каждое приложение работает отдельно и имеет доступ только к тому, что создано для него.
План этажа с тремя комнатами: приложения expenses, inventory и lookup. В каждой комнате свои данные, файлы и секреты. Приложение expenses пытается заглянуть в комнату inventory и упирается в стену. Приложение inventory пытается заглянуть в комнату lookup и тоже упирается в стену. Данные, cookie и секреты остаются в своей комнате.
- Данные
- Своя база данных. Ни у одного приложения нет учётных данных к базе другого.
- Файлы
- Своя область хранения, доступная только через binding этого приложения.
- Cookie
- Сессионные cookie привязаны к точному адресу приложения и никогда к общему родительскому домену.
- Секреты
- Хранятся отдельно от кода и выдаются только тому приложению, которому принадлежат.
05Учёт
Один список: приложение, владелец, доступ, последняя публикация
У каждого приложения в вашей организации есть конкретный владелец и правило доступа: вся компания или список людей. Панель управления на dashboard.teamonly.dev показывает все приложения, их владельцев, тех, кто может их открыть, и каждую публикацию, а администраторы могут там изменить доступ к приложению или передать его новому владельцу. npx teamonly whoami показывает тот же список в терминале. По запросу мы также можем прислать ИТ-отделу полный список по почте.
Авторы подключаются сами, через бесплатный пробный период или с банковской картой, поэтому приложения могут появиться ещё до того, как подключится ИТ. В этом и смысл: когда вы будете готовы, ИТ-отдел берёт организацию на себя, и всё уже собрано в одном месте.
На странице каждого приложения также видны роли внутри него, например approver или finance, и у кого они есть. Администраторы могут менять их там же. Приложения могут отправлять письма только людям из вашей компании, и на той же странице видно, сколько писем каждое приложение отправило за последние 30 дней и когда последний раз запускались его задачи по расписанию.
Реестр приложений acme.com заполняется строка за строкой. expenses, владелец dana@acme.com, открыто всем в acme.com, последняя публикация сегодня в 9:41. inventory, владелец marco@acme.com, открыто 6 людям, опубликовано вчера. lookup, владелец priya@acme.com, открыто priya, marco и ещё 3 людям, опубликовано 21 октября. requests, владелец lee@acme.com, открыто всем в acme.com, опубликовано 18 октября. Затем marco@acme.com увольняется, и все строки, которые давали ему доступ, зачёркиваются.
06Увольнение
Когда сотрудник уходит
Отключите его рабочий аккаунт, и он больше не сможет войти ни в TeamOnly, ни в одно приложение. У тех, кто пользовался его приложениями, нет отдельных аккаунтов, так что удалять больше нечего.
Для всех остальных его приложения продолжают работать. Администратор передаёт каждое новому владельцу в панели управления, так что ни одно приложение не остаётся без ответственного.
07Назначение
Только внутренние приложения, так задумано
TeamOnly не размещает публичные сайты и приложения для клиентов. Настройки, которая делает приложение публичным, нет, поэтому случайно этого никто не сделает.
Каждый ответ приложения, включая экран входа, просит поисковые системы его не индексировать.
08Тариф Business
В тарифе Business
Для момента, когда ИТ берёт всё на себя. Всё это входит в тариф, и мы настраиваем это вместе с вашим ИТ-отделом при подключении.
- Okta, OneLogin и другие SSOВаш собственный провайдер идентификации по OpenID Connect или SAML. Настраиваем вместе с вашим ИТ-отделом.
- Журнал аудитаКто опубликовал, изменил доступ или что открыл, и когда. Настраиваем вместе с вами.
- Регион данныхВыберите, где хранятся данные приложений. Настраиваем вместе с вами при подключении.
- Оплата по счётуОплата по счёту вместо карты. Договоримся при подключении.
$899 в месяц, подписку можно оформить уже сейчас. Оформить Business.
09Политика
Почему это лучше запрета
Люди делают такие инструменты, потому что те решают реальные задачи. Запрет задачу не убирает. Он просто уводит инструмент туда, где вы его не видите.
Одно согласованное место для публикации означает, что инструменты оказываются за вашим входом, с вашими правилами для доменов, в списке, который вы можете прочитать. Вы можете сказать «да» и при этом знать, что работает.
10Список разрешённых
Что разрешить в вашей сети
Если файрвол или веб-фильтр блокирует новые сайты, вот единственные адреса, которые нужны TeamOnly. Это займёт несколько минут, один раз.
| Адрес | Кому нужен | Для чего |
|---|---|---|
*.<yourcompany>.teamonly.app | Всем, кто открывает ваши приложения | Приложения вашей компании. Подставьте название компании в TeamOnly, оно есть в панели управления. Приложения других компаний останутся заблокированными. |
auth.teamonly.app | Всем, кто открывает ваши приложения | Шаг входа. Он проверяет аккаунт компании до того, как загрузится любое приложение. |
accounts.google.comlogin.microsoftonline.com | Тем, кто входит через Google или Microsoft | Страница входа вашего поставщика удостоверений. Обычно уже разрешена. |
challenges.cloudflare.com | Тем, кто входит по коду из письма | Проверка, что формой для кода пользуется человек, а не бот. |
teamonly.devdashboard.teamonly.dev | Администраторам и авторам приложений | Панель управления: все приложения, их владельцы и те, кто может их открыть. |
api.teamonly.devregistry.npmjs.org | Авторам приложений | Публикация из терминала командой npx teamonly. |
Коды для входа приходят с signin@teamonly.app, приглашения с hello@teamonly.app, а письма, которые отправляют приложения, с notify@teamonly.app. Если почтовый фильтр задерживает новых отправителей, разрешите почту с teamonly.app.
Публичные конструкторы приложений можно и дальше блокировать, если хотите. Приложения, опубликованные здесь, работают по собственному адресу вашей компании выше, за вашим входом.
Как найти ИИ-приложения, которые сотрудники уже сделали?
Начните с логов входа в SSO или Google Workspace: ищите платформы для создания приложений (Replit, Lovable, Vercel, Netlify). Потом проверьте авансовые отчёты на подписки к ним. И просто спросите, без упрёков. Когда станет ясно, кто эти авторы, предложите им TeamOnly как согласованное место, куда можно перенести приложения.
Нам нужна Okta?
Нет. Коллеги входят через Google Workspace, Microsoft 365 или по коду, отправленному на рабочую почту, и пускают только ваши домены. Если вам нужна Okta, OneLogin или другой SSO-провайдер, это входит в тариф Business, и мы настраиваем его вместе с вашим ИТ-отделом.
Видят ли приложения данные друг друга?
Нет. У каждого приложения своя база данных, своё хранилище файлов и свои секреты. У приложения нет учётных данных ни к чему другому, а его сессионная cookie привязана к его собственному адресу. Подробнее на странице о безопасности.
Что будет, когда автор приложения уволится?
Его рабочий аккаунт отключают, и он больше не может войти ни в TeamOnly, ни в одно приложение. Для всех остальных приложения продолжают работать. Администратор может передать каждое его приложение новому владельцу в панели управления. В тарифе Business мы также настраиваем вместе с вами отключение уволенных сотрудников при подключении.
Вы поддерживаете Okta или SAML?
В тарифе Business да. При подключении мы вместе с вашим ИТ-отделом настраиваем Okta, OneLogin или другой SSO-провайдер по OpenID Connect или SAML, а также журнал аудита. Вход через Google Workspace, Microsoft 365 и по коду на почту работает во всех тарифах.
Могут ли приложения отправлять письма за пределы компании?
Нет. Приложение может отправлять письма только на адреса в собственных почтовых доменах вашей компании, то есть тем же людям, которые могут войти. В каждом письме указано, какое приложение его отправило, действуют ограничения в 100 получателей в час и 500 в день на приложение, а панель управления показывает, сколько писем каждое приложение отправило за последние 30 дней.
Для проверки безопасности
- БезопасностьВход, изоляция, cookie и секреты в подробностях.
- Вход только для сотрудниковЧто видят пользователи и посторонние, и подводные камни самостоятельной настройки.
- ЦеныПодписку на Builder, Team и Business можно оформить уже сейчас, по желанию после бесплатного пробного периода на 14 дней.
- Все вопросыВключая данные, оплату и поддержку.
- ДокументацияCLI, SDK и файл навыка, которым пользуются авторы.
Ранний доступ
Дайте авторам одно безопасное место для публикации.
TeamOnly в раннем доступе, и все тарифы уже открыты. Авторы могут попробовать бесплатно 14 дней без карты или оформить подписку. Компания готова сразу, и авторы смогут опубликовать приложения в тот же день.
Для пробного периода карта не нужна. Дальше от $19 в месяц, отменить можно в любой момент.
Пока не готовы? Получайте новости
Вопросы пишите на hello@teamonly.dev, отвечает живой человек.