Protezione della tua istanza

​

Panoramica

​

Privata per impostazione predefinita

​

Scegli una configurazione

Scala

Completamente privato. La configurazione più semplice, ideale per piccoli team.

Cloudflare

Nessuna porta aperta, accedi con il tuo provider di identità, percorsi pubblici dove necessario.

Inverti proxy

Caddy o Nginx con IP allowlists. Nessun servizio di terze parti.

​

Opzione 1: Tailscale

services:
  server:
    ports:
      - "127.0.0.1:3000:3000"

sudo tailscale up --hostname=twenty

sudo tailscale serve --bg 3000

SERVER_URL=https://twenty.your-tailnet.ts.net

​

Opzione 2: Cloudflare Tunnel e Access

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    command: tunnel --no-autoupdate run
    environment:
      TUNNEL_TOKEN: ${CLOUDFLARE_TUNNEL_TOKEN}
    depends_on:
      - server
    restart: always

SERVER_URL=https://crm.example.com

​

Opzione 3: Il tuo proxy inverso

crm.example.com {
  # Keep only the public paths you use
  @public path /webhooks/* /s/* /emailing/*
  handle @public {
    reverse_proxy localhost:3000
  }

  @ai_clients {
    path /mcp /mcp/* /oauth/* /.well-known/*
    remote_ip 160.79.104.0/21 {$CHATGPT_CONNECTOR_IPS}
  }
  handle @ai_clients {
    reverse_proxy localhost:3000
  }

  @team remote_ip 203.0.113.0/24
  handle @team {
    reverse_proxy localhost:3000
  }

  handle {
    respond 403
  }
}

server {
  listen 443 ssl;
  server_name crm.example.com;
  ssl_certificate /etc/ssl/crm.example.com/fullchain.pem;
  ssl_certificate_key /etc/ssl/crm.example.com/privkey.pem;

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_http_version 1.1;
  proxy_set_header Connection "";
  proxy_buffering off;

  # Keep only the public paths you use
  location ^~ /webhooks/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /s/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /emailing/ { proxy_pass http://127.0.0.1:3000; }

  location ~ ^/(mcp|oauth|\.well-known)(/|$) {
    allow 203.0.113.0/24;
    allow 160.79.104.0/21;
    # one allow line per ChatGPT connector range
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }

  location / {
    allow 203.0.113.0/24;
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }
}

​

Percorsi pubblici

• I webhook dei workflow verificano solo che lo spazio di lavoro e il workflow esistano. Chiunque conosca l’URL può attivare il workflow, quindi tratta l’URL come un segreto e convalida il payload nel workflow prima di intervenire su di esso.
• Le route di app e funzioni logiche sono pubbliche, a meno che la route non richieda l’autenticazione (isAuthRequired). Per le route pubbliche, verifica il chiamante nel tuo codice, ad esempio con la firma del servizio mittente.
• I webhook di Google, Microsoft, SES e Resend vengono verificati da Twenty, usando la firma o il token del provider.
• I link email possono registrare solo un’apertura, un clic o un annullamento dell’iscrizione per il destinatario a cui sono stati inviati.

​

Client AI (MCP)

​

Client locali: nulla da aprire

{
  "mcpServers": {
    "twenty": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://twenty.your-tailnet.ts.net/mcp"
      ]
    }
  }
}

​

Connettori cloud: apri con cautela

• Apri solo /mcp, /oauth e /.well-known. Non aprire mai /authorize né il resto dell’app.
• Consenti solo i fornitori che usi:
  • Anthropic: 160.79.104.0/21, dalla pagina degli indirizzi IP di Anthropic.
  • OpenAI: l’elenco in chatgpt-connectors.json. OpenAI lo descrive come non garantito e cambia nel tempo, quindi aggiornalo a intervalli programmati:
    curl -s https://openai.com/chatgpt-connectors.json | jq -r '.prefixes[].ipv4Prefix | select(.)'
    
• Aggiorna rapidamente quando le note di rilascio menzionano correzioni MCP o OAuth.

​

Verifica la configurazione

curl -si -X POST https://crm.example.com/mcp | grep -i www-authenticate

​

Checklist di base

​

Resta aggiornato

• Segui le release su GitHub: Segui → Personalizzato → Release.
• Quando una release include una correzione di sicurezza, aggiorna non appena indicato dal relativo avviso: lo stesso giorno per i problemi critici. Segui la guida all’aggiornamento.
• Segnala le vulnerabilità a security@twenty.com, non nelle issue pubbliche.