面向IT和安全团队
员工已经在做这些工具了。给它们一个安全的去处。
TeamOnly托管用AI做的内部工具，并放在你的企业登录之后。任何应用代码运行之前都会先强制登录，每个应用都与其他应用隔离，每个应用都有明确的负责人。安全设置不用搭建者动手，所以他们也不会弄错。
01现状
现在的情况
财务部有人花一个周末做了个审批工具。它能用。但它也跑在个人账号上，可能是公开的，链接就在群聊里。
- 个人账号。应用放在搭建者自己注册的平台上，用他们自己的卡付费。他们一走，你就什么也看不到了。
- 默认公开。很多AI应用搭建平台默认发布到公网，除非你付费开通或者找到私有选项。
- 链接在群里。访问控制就是“谁有链接”。
这不是假设。2026年5月，RedAccess的研究人员报告称，发现了数千个用AI工具搭建、可公开访问的应用，泄露了公司或个人数据，其中很多已被Google收录。（Security Boulevard的报道。）
报销应用前面有一扇挂着“员工专用”牌子的门。Sam用sam@acme.com登录，在门口通过检查后走了进去。接着，randomperson@gmail.com和一个机器人在同一扇门前接受检查，被拒之门外。它们根本碰不到应用，因为检查发生在门口，在应用之前。
02先行强制
应用代码运行前先登录
每个应用的每个请求都先经过我们的调度层。它检查会话，只有在你域名下且已登录的人才会被放行到应用。
调度层还会移除请求中试图伪造的身份标头，然后自己加上经过验证的姓名和邮箱。应用可以信任登录的是谁，搭建者也无法关掉登录。
没有登录，任何应用都访问不了。没有公开设置。
03身份
登录只限你的域名
身份提供商就用你现在在用的那个。Google Workspace和Microsoft 365现在都能用，其他任何公司邮箱也可以，通过一次性验证码登录。只有你公司域名下的邮箱才能进入。
登录在我们的服务器上验证，包括域名声明。我们不依赖hd提示，因为任何人都可以把它去掉。
只接受工作或学校账号。个人Microsoft账号会被拒绝，邮箱域名也必须是你的。
用的是Zoho、Fastmail、GoDaddy或自己的邮件服务器？同事会在工作邮箱收到一个6位验证码。它10分钟后过期，最多可试5次，而且只能在发起请求的浏览器里使用。查看全部防护措施。
有多个域名，比如acme.com和acme.co.uk？全部加上即可。在你的目录中停用某人后，他就无法再登录任何应用。
04隔离
每个应用都在自己的房间里
客户代码一律视为不可信。每个应用独立运行，只能访问为它创建的资源。
一张有三个房间的平面图：报销、库存和查询三个应用。每个房间里放着自己的数据、文件和密钥。报销应用想伸手进库存的房间，撞到了墙。库存应用想伸手进查询的房间，也撞到了墙。数据、Cookie和密钥都留在各自的房间里。
- 数据
- 独立的数据库。没有任何应用持有其他应用数据库的凭据。
- 文件
- 独立的存储区域，只能通过该应用自己的绑定访问。
- Cookie
- 会话Cookie只限于该应用的确切网址，绝不会设在共享的上级域名上。
- 密钥
- 存放在代码之外，只交给它所属的应用。
05应用清单
一张清单：每个应用、负责人、谁有权限、最近部署
你组织里的每个应用都有明确的负责人和一条访问规则：全公司，或一份指定名单。dashboard.teamonly.dev上的控制台会显示每个应用、它的负责人、谁能打开它以及每次部署，管理员还可以在那里修改谁能打开某个应用，或把它交给新的负责人。npx teamonly whoami会在终端里显示同一份清单。如有需要，我们也可以把完整清单发邮件给IT。
搭建者可以自己注册，用免费试用或银行卡，所以应用可能在IT介入之前就出现了。这正是设计的初衷：等你准备好，IT接管整个组织，所有东西都已经集中在一个地方。
每个应用的页面还会显示它里面的角色，比如approver或finance，以及谁有这些角色。管理员可以直接在那里修改。应用只能给你公司里的人发邮件，同一个页面也会显示每个应用过去30天发了多少封邮件，以及它的定时任务最近一次运行的时间。
acme.com的应用登记表一行一行填满。expenses，负责人dana@acme.com，acme.com所有人可用，最近部署于今天9:41。inventory，负责人marco@acme.com，6人可用，昨天部署。lookup，负责人priya@acme.com，priya、marco和另外3人可用，10月21日部署。requests，负责人lee@acme.com，acme.com所有人可用，10月18日部署。随后marco@acme.com离职，所有给过他访问权限的行都被划掉。
06离职处理
有人离职时
停用他们的工作账号，他们就无法再登录TeamOnly或任何应用。使用他们应用的人并不是单独的账号，所以没有别的需要删除。
他们的应用会继续为其他人运行。管理员在控制台里把每个应用交给新的负责人，这样每个应用都始终有人负责。
07范围
仅限内部应用，这是有意为之
TeamOnly不托管公开网站或面向客户的应用。没有把应用设为公开的选项，所以谁也不会不小心这么做。
应用的每个响应，包括登录页，都会要求搜索引擎不要收录。
08Business套餐
Business套餐包含
适合IT接管的时候。以下每一项都已包含，你加入时由我们和你的IT团队一起配置。
- Okta、OneLogin和其他SSO你自己的身份提供商，通过OpenID Connect或SAML接入。和你的IT团队一起配置。
- 审计日志谁在什么时候部署、修改了访问权限或打开了什么。和你一起配置。
- 数据区域选择应用数据的存储位置。你加入时由我们和你一起配置。
- 发票付款用发票付款，不用银行卡。你加入时和你一起安排。
每月$899，现在就可以订阅。订阅Business套餐。
09政策
为什么这比一刀切禁止更好
大家做这些工具，是因为它们能解决实际问题。禁止并不能让问题消失，只会把工具挪到你看不到的地方。
给搭建者一个指定的部署位置，工具就会落在你的登录之后，遵守你的域名规则，出现在你能查看的清单里。你可以说“行”，同时还清楚有哪些东西在运行。
10允许列表
在你的网络里需要放行什么
如果你的防火墙或网页过滤器会拦截新网站，TeamOnly只需要放行下面这些地址。几分钟就能设好，只需一次。
| 地址 | 谁需要 | 用途 |
|---|---|---|
*.<yourcompany>.teamonly.app | 所有打开你们应用的人 | 你们公司的应用。填入你们公司在TeamOnly上的名称，控制台里能看到。其他公司的应用仍然被拦截。 |
auth.teamonly.app | 所有打开你们应用的人 | 登录步骤。在任何应用加载之前先核验企业账号。 |
accounts.google.comlogin.microsoftonline.com | 用Google或Microsoft登录的人 | 你们自己的身份提供商的登录页。通常已经放行。 |
challenges.cloudflare.com | 用邮件验证码登录的人 | 确认使用验证码表单的是人而不是机器人。 |
teamonly.devdashboard.teamonly.dev | 管理员和搭建者 | 控制台：每个应用、负责人以及谁能打开。 |
api.teamonly.devregistry.npmjs.org | 搭建者 | 在终端用npx teamonly部署。 |
登录验证码来自signin@teamonly.app，邀请来自hello@teamonly.app，应用发出的邮件来自notify@teamonly.app。如果你的邮件过滤器会扣留新发件人，请放行来自teamonly.app的邮件。
如果愿意，你可以继续拦截公开的应用搭建网站。在这里部署的应用运行在上面你们公司自己的地址上，放在企业登录之后。
怎么找出员工已经用AI做好的应用？
先查你的SSO或Google Workspace登录日志里有没有搭建平台（Replit、Lovable、Vercel、Netlify），再看报销单里有没有这些平台的订阅费。然后去问，不追究责任。弄清楚谁在搭建之后，把TeamOnly交给他们，作为迁移这些应用的指定位置。
我们需要Okta吗？
不需要。同事可以用Google Workspace、Microsoft 365或发送到工作邮箱的验证码登录，而且只允许你的域名。如果你想用Okta、OneLogin或其他SSO服务商，这包含在Business套餐里，由我们和你的IT团队一起配置。
应用之间能看到彼此的数据吗？
不能。每个应用都有自己的数据库、自己的文件存储和自己的密钥。应用没有访问其他任何东西的凭据，它的会话Cookie也只限于它自己的网址。详情见安全页面。
搭建者离职了怎么办？
他们的工作账号被停用后，就再也无法登录TeamOnly或任何应用。应用会继续为其他人运行。管理员可以在控制台里把他们的每个应用交给新的负责人。Business套餐还会在你加入时由我们和你一起配置离职处理。
支持Okta或SAML吗？
Business套餐支持。你加入时，我们会和你的IT团队一起，通过OpenID Connect或SAML配置Okta、OneLogin或其他SSO服务商，同时配置审计日志。所有套餐都支持Google Workspace、Microsoft 365和邮箱验证码登录。
应用能把邮件发到公司以外吗？
不能。应用只能给你公司自己的邮箱域名下的地址发邮件，也就是能登录的那些人。每封邮件都会说明是哪个应用发的，每个应用每小时最多100个收件人、每天最多500个，控制台还会显示每个应用过去30天发了多少封邮件。
抢先体验
给你的搭建者一个安全的部署位置。
TeamOnly正处于抢先体验阶段，所有套餐现在都可以购买。搭建者可以免费试用14天，无需绑卡，也可以直接订阅。你的公司会马上准备好，搭建者当天就能部署。
还没准备好？先获取动态
有问题请发邮件到hello@teamonly.dev，会有真人回复。