Dana Okafor
dana@acme.com
企业登录
只有公司邮箱才能进
每个TeamOnly应用都在你的企业登录之后。同事用工作Google或Microsoft账号登录，或用发到工作邮箱的验证码登录。其他人在你的应用加载之前就被拒之门外。这些你都不用自己搭建或配置，安全由我们负责。
打开链接时大家会看到什么
01同事
你的同事看到的
他们打开链接，点击“使用Google登录”或“使用Microsoft登录”并选择工作账号，或者用工作邮箱申请验证码。几秒后就进入了应用，下次打开时已经是登录状态。
02外人
外人看到的
用个人账号的人、其他域名的外包人员，或者找到链接的机器人。他们最多走到登录页，就在那里被拦下。你的应用代码根本不会为他们运行。
03邮箱验证码
任何公司邮箱都能用
没用Google Workspace或Microsoft 365？同事可以用发到工作邮箱的6位验证码登录。
不管你们的邮箱由谁提供都可以：Zoho、Fastmail、GoDaddy或你们自己的邮件服务器。只要你的公司有自己的邮箱域名，就能用TeamOnly，什么都不用配置。
同事怎么用
- 1
输入工作邮箱
在登录页的Google和Microsoft按钮下方，输入工作邮箱，申请验证码。
- 2
查看收件箱
来自
signin@teamonly.app的6位验证码会发到邮箱。 - 3
输入验证码
在同一个浏览器里输入验证码，应用就打开了。下次打开时已经是登录状态。
为什么安全
- 只有你公司域名下的邮箱才会收到验证码。Gmail或Outlook.com这类个人邮箱一律拒绝。
- 验证码10分钟内有效，最多尝试5次，而且只能在申请它的浏览器里使用。
- 无论输入哪个邮箱，表单给出的回应都一样，所以没人能借此查出谁有访问权限。
- 频率限制和Cloudflare Turnstile能防止机器人反复刷。
04密码
为什么团队只靠共享密码不够
给整个应用加一个密码总比没有强。但对一个团队来说，它很快就会失效。
- 它会到处流传。最后出现在聊天记录、便利贴、发给外包人员的邮件里。你根本不知道谁手里有。
- 它没有名字。如果每个人都用同一个身份登录，你的应用就没法知道是谁批准了一笔报销。
- 人走了，它还在。有人离职后，他依然知道密码，直到你改掉密码，再把新密码告诉其他所有人。
- 它常常要额外付费。有些托管服务按项目收费才能加密码。
05自己动手
自己动手做，以及容易出错的地方
你当然可以自己做。下面是要做哪些事，你可以自己判断。
Google：创建OAuth应用
在Google Cloud里建一个项目，配置同意屏幕，创建凭据，为应用所在的每个地址添加重定向网址，并保管好密钥。
常见错误：用了
hd参数就到此为止。它只是提示显示哪些账号。域名必须在服务器上检查。Microsoft：注册单租户应用
在Microsoft Entra里注册应用，选择谁能登录，并处理它的令牌。
常见错误：为了让配置跑通而选择“任何组织”，结果所有公司的工作账号都能进来。
或者在前面加一层Cloudflare Access
Cloudflare Access最多50位用户免费。你接入身份提供商，再给每个应用编写访问策略。
常见错误：策略放得稍微宽了一点，或者新部署的应用忘了加策略。
报销应用前面有一扇挂着“员工专用”牌子的门。Sam用sam@acme.com登录，在门口通过检查后走了进去。接着，randomperson@gmail.com和一个机器人在同一扇门前接受检查，被拒之门外。它们根本碰不到应用，因为检查发生在门口，在应用之前。
06谁能打开
全公司，或一份名单
每个应用默认对公司所有人开放。你可以把某个应用限制为一组邮箱，比如报销审批只给财务团队用。
@acme.com所有人
或仅限指定人员
不管谁进来，你的应用都会知道他的名字和邮箱，从而知道谁做了什么。
07离职处理
有人离职时
他的工作账号一停用，就再也登录不了你的应用。没人需要记着去每个工具里把他移除。
使用你应用的人没有额外的账号或席位，所以没有别的需要清理。IT团队可以在面向IT页面了解更多关于离职处理和应用归属的内容。
能把Google登录限制在公司域名内吗？
能，而且用TeamOnly你什么都不用配置。你的公司在TeamOnly上开通时，你的邮箱域名（例如acme.com）就会得到确认。从那以后，只有这个域名下的Google账号能打开你的应用。
只用hd参数够吗？
不够。Google的hd参数只是告诉登录页推荐哪些账号，任何人都能把它去掉。域名必须在登录后由服务器用经过验证的令牌来检查。TeamOnly每次登录都会做这项检查。
我们不用Google Workspace或Microsoft 365怎么办？
也可以。同事在登录页输入工作邮箱，我们会给他们发一个6位验证码。它适用于任何邮箱服务商，比如Zoho、Fastmail、GoDaddy或你们自己的邮件服务器，所以任何有自己邮箱域名的公司都能用TeamOnly，什么都不用配置。
我们用Microsoft 365呢？
现在就能用。同事点击“使用Microsoft登录”，用工作账号登录即可。个人Microsoft账号会被拒绝，只有你公司域名下的账号才能进来。
有人用个人Gmail登录会怎样？
他们会在登录页被拒之门外，看到一条简短提示，说明这个应用只供你的公司使用。用个人邮箱申请验证码也不行。你的应用根本不会为他们加载。
能只允许几个人访问吗？
能。每个应用可以对全公司开放，也可以只对你选定的一组邮箱开放。
抢先体验
这周就让第一个工具上线。
TeamOnly正处于抢先体验阶段，所有套餐现在都可以购买。你可以免费试用14天，无需绑卡，也可以直接订阅。无论哪种方式，你的公司都会马上准备好，三条命令就能让你的第一个应用上线。
还没准备好？先获取动态
有问题请发邮件到hello@teamonly.dev，会有真人回复。