Protección de tu instancia

​

Resumen

​

Privada de forma predeterminada

​

Elige una configuración

escalas

completamente privadas. La configuración más sencilla, ideal para equipos pequeños.

Cloudflare

Sin puertos abiertos, inicia sesión con tu proveedor de identidad, rutas públicas donde sea necesario.

invertir proxy

Caddy o Nginx con listas permitidas de IP. Sin servicio de terceros.

​

Opción 1: Tailscale

services:
  server:
    ports:
      - "127.0.0.1:3000:3000"

sudo tailscale up --hostname=twenty

sudo tailscale serve --bg 3000

SERVER_URL=https://twenty.your-tailnet.ts.net

​

Opción 2: Cloudflare Tunnel y Access

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    command: tunnel --no-autoupdate run
    environment:
      TUNNEL_TOKEN: ${CLOUDFLARE_TUNNEL_TOKEN}
    depends_on:
      - server
    restart: always

SERVER_URL=https://crm.example.com

​

Opción 3: Tu propio proxy inverso

crm.example.com {
  # Keep only the public paths you use
  @public path /webhooks/* /s/* /emailing/*
  handle @public {
    reverse_proxy localhost:3000
  }

  @ai_clients {
    path /mcp /mcp/* /oauth/* /.well-known/*
    remote_ip 160.79.104.0/21 {$CHATGPT_CONNECTOR_IPS}
  }
  handle @ai_clients {
    reverse_proxy localhost:3000
  }

  @team remote_ip 203.0.113.0/24
  handle @team {
    reverse_proxy localhost:3000
  }

  handle {
    respond 403
  }
}

server {
  listen 443 ssl;
  server_name crm.example.com;
  ssl_certificate /etc/ssl/crm.example.com/fullchain.pem;
  ssl_certificate_key /etc/ssl/crm.example.com/privkey.pem;

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_http_version 1.1;
  proxy_set_header Connection "";
  proxy_buffering off;

  # Keep only the public paths you use
  location ^~ /webhooks/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /s/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /emailing/ { proxy_pass http://127.0.0.1:3000; }

  location ~ ^/(mcp|oauth|\.well-known)(/|$) {
    allow 203.0.113.0/24;
    allow 160.79.104.0/21;
    # one allow line per ChatGPT connector range
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }

  location / {
    allow 203.0.113.0/24;
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }
}

​

Rutas públicas

• Los webhooks de flujos de trabajo solo comprueban que existan el espacio de trabajo y el flujo de trabajo. Cualquiera que conozca la URL puede activar el flujo de trabajo, así que trata la URL como un secreto y valida la carga útil en el flujo de trabajo antes de actuar sobre ella.
• Las rutas de aplicaciones y funciones lógicas son públicas, a menos que la ruta requiera autenticación (isAuthRequired). Para las rutas públicas, verifica quién realiza la llamada en tu propio código, por ejemplo, con la firma del servicio remitente.
• Los webhooks de Google, Microsoft, SES y Resend son verificados por Twenty mediante la firma o el token del proveedor.
• Los enlaces de correo electrónico solo pueden registrar una apertura, un clic o una cancelación de suscripción para el destinatario al que se enviaron.

​

Clientes de IA (MCP)

​

Clientes locales: nada que abrir

{
  "mcpServers": {
    "twenty": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://twenty.your-tailnet.ts.net/mcp"
      ]
    }
  }
}

​

Conectores en la nube: abre con cuidado

• Abre solo /mcp, /oauth y /.well-known. Nunca abras /authorize ni el resto de la aplicación.
• Permite solo los proveedores que utilizas:
  • Anthropic: 160.79.104.0/21, de la página de direcciones IP de Anthropic.
  • OpenAI: la lista de chatgpt-connectors.json. OpenAI la describe como de máximo esfuerzo y cambia con el tiempo, así que actualízala de forma programada:
    curl -s https://openai.com/chatgpt-connectors.json | jq -r '.prefixes[].ipv4Prefix | select(.)'
    
• Actualiza rápidamente cuando las notas de la versión mencionen correcciones de MCP u OAuth.

​

Verifica tu configuración

curl -si -X POST https://crm.example.com/mcp | grep -i www-authenticate

​

Lista de verificación básica

​

Mantente al día

• Sigue las versiones en GitHub: Ver → Personalizado → Versiones.
• Cuando una versión incluya una corrección de seguridad, actualiza tan pronto como lo indique su aviso: el mismo día para los problemas críticos. Sigue la guía de actualización.
• Informa de vulnerabilidades a security@twenty.com, no en incidencias públicas.