تأمين مثيلك

​

نظرة عامة

​

خاص افتراضيًا

​

اختر إعدادًا

Tailscale

خاص تماماً. أبسط إعداد، والأفضل للفرق الصغيرة.

Cloudflare

لا توجد منافذ مفتوحة، قم بتسجيل الدخول مع موفر هويتك والمسار العام عند الحاجة.

عكس الوكيل

Caddy أو Nginx مع قوائم أذونات IP لا توجد خدمة تابعة لجهة خارجية.

​

الخيار 1: Tailscale

services:
  server:
    ports:
      - "127.0.0.1:3000:3000"

sudo tailscale up --hostname=twenty

sudo tailscale serve --bg 3000

SERVER_URL=https://twenty.your-tailnet.ts.net

​

الخيار 2: Cloudflare Tunnel وAccess

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    command: tunnel --no-autoupdate run
    environment:
      TUNNEL_TOKEN: ${CLOUDFLARE_TUNNEL_TOKEN}
    depends_on:
      - server
    restart: always

SERVER_URL=https://crm.example.com

​

الخيار 3: الوكيل العكسي الخاص بك

crm.example.com {
  # Keep only the public paths you use
  @public path /webhooks/* /s/* /emailing/*
  handle @public {
    reverse_proxy localhost:3000
  }

  @ai_clients {
    path /mcp /mcp/* /oauth/* /.well-known/*
    remote_ip 160.79.104.0/21 {$CHATGPT_CONNECTOR_IPS}
  }
  handle @ai_clients {
    reverse_proxy localhost:3000
  }

  @team remote_ip 203.0.113.0/24
  handle @team {
    reverse_proxy localhost:3000
  }

  handle {
    respond 403
  }
}

server {
  listen 443 ssl;
  server_name crm.example.com;
  ssl_certificate /etc/ssl/crm.example.com/fullchain.pem;
  ssl_certificate_key /etc/ssl/crm.example.com/privkey.pem;

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_http_version 1.1;
  proxy_set_header Connection "";
  proxy_buffering off;

  # Keep only the public paths you use
  location ^~ /webhooks/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /s/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /emailing/ { proxy_pass http://127.0.0.1:3000; }

  location ~ ^/(mcp|oauth|\.well-known)(/|$) {
    allow 203.0.113.0/24;
    allow 160.79.104.0/21;
    # one allow line per ChatGPT connector range
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }

  location / {
    allow 203.0.113.0/24;
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }
}

​

المسارات العامة

• لا تتحقق خطافات ويب مهام سير العمل إلا من وجود مساحة العمل ومهمة سير العمل. يمكن لأي شخص يعرف عنوان URL تشغيل مهمة سير العمل، لذا تعامل مع عنوان URL كسِر وتحقق من الحمولة في مهمة سير العمل قبل اتخاذ إجراء بشأنها.
• تكون مسارات التطبيق والدوال المنطقية عامة ما لم يكن المسار يتطلب مصادقة (isAuthRequired). بالنسبة إلى المسارات العامة، تحقق من هوية المستدعي في التعليمات البرمجية الخاصة بك، مثلًا باستخدام توقيع خدمة الإرسال.
• يتحقق Twenty من خطافات ويب Google وMicrosoft وSES وResend باستخدام توقيع الموفر أو رمزه المميز.
• لا يمكن أن تسجل روابط البريد الإلكتروني إلا فتحًا أو نقرة أو إلغاء اشتراك للمستلم الذي أُرسلت إليه.

​

عملاء الذكاء الاصطناعي (MCP)

​

العملاء المحليون: لا شيء لفتحه

{
  "mcpServers": {
    "twenty": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://twenty.your-tailnet.ts.net/mcp"
      ]
    }
  }
}

​

الموصلات السحابية: افتح بحذر

• افتح فقط /mcp و/oauth و/.well-known. لا تفتح مطلقًا /authorize أو بقية التطبيق.
• اسمح فقط للموردين الذين تستخدمهم:
  • Anthropic: 160.79.104.0/21، من صفحة عناوين IP الخاصة بـ Anthropic.
  • OpenAI: القائمة الموجودة في chatgpt-connectors.json. تصفها OpenAI بأنها بأفضل جهد وتتغير بمرور الوقت، لذا حدّثها وفق جدول زمني:
    curl -s https://openai.com/chatgpt-connectors.json | jq -r '.prefixes[].ipv4Prefix | select(.)'
    
• رقِّ بسرعة عندما تذكر ملاحظات الإصدار إصلاحات MCP أو OAuth.

​

تحقق من إعدادك

curl -si -X POST https://crm.example.com/mcp | grep -i www-authenticate

​

قائمة التحقق الأساسية

​

ابقَ على اطلاع دائم

• راقب الإصدارات على GitHub: مراقبة → مخصص → الإصدارات.
• عندما يتضمن إصدار إصلاحًا أمنيًا، رقِّ في أقرب وقت تشير إليه استشارته: في اليوم نفسه للمشكلات الحرجة. اتبع دليل الترقية.
• أبلغ عن الثغرات الأمنية إلى security@twenty.com، وليس في المشكلات العامة.