Securizarea instanței dvs.

​

Prezentare generală

​

Privat în mod implicit

​

Alegeți o configurare

Eșecuri

Complet privat. Cea mai simplă configurare, ideală pentru echipe mici.

Cloudflare

Fără porturi deschise, autentifică-te cu furnizorul tău de identitate, căi publice unde este necesar.

Reverse proxy

Caddy sau Nginx cu permise IP. Fără servicii terțe.

​

Opțiunea 1: Tailscale

services:
  server:
    ports:
      - "127.0.0.1:3000:3000"

sudo tailscale up --hostname=twenty

sudo tailscale serve --bg 3000

SERVER_URL=https://twenty.your-tailnet.ts.net

​

Opțiunea 2: Cloudflare Tunnel și Access

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    command: tunnel --no-autoupdate run
    environment:
      TUNNEL_TOKEN: ${CLOUDFLARE_TUNNEL_TOKEN}
    depends_on:
      - server
    restart: always

SERVER_URL=https://crm.example.com

​

Opțiunea 3: propriul proxy invers

crm.example.com {
  # Keep only the public paths you use
  @public path /webhooks/* /s/* /emailing/*
  handle @public {
    reverse_proxy localhost:3000
  }

  @ai_clients {
    path /mcp /mcp/* /oauth/* /.well-known/*
    remote_ip 160.79.104.0/21 {$CHATGPT_CONNECTOR_IPS}
  }
  handle @ai_clients {
    reverse_proxy localhost:3000
  }

  @team remote_ip 203.0.113.0/24
  handle @team {
    reverse_proxy localhost:3000
  }

  handle {
    respond 403
  }
}

server {
  listen 443 ssl;
  server_name crm.example.com;
  ssl_certificate /etc/ssl/crm.example.com/fullchain.pem;
  ssl_certificate_key /etc/ssl/crm.example.com/privkey.pem;

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_http_version 1.1;
  proxy_set_header Connection "";
  proxy_buffering off;

  # Keep only the public paths you use
  location ^~ /webhooks/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /s/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /emailing/ { proxy_pass http://127.0.0.1:3000; }

  location ~ ^/(mcp|oauth|\.well-known)(/|$) {
    allow 203.0.113.0/24;
    allow 160.79.104.0/21;
    # one allow line per ChatGPT connector range
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }

  location / {
    allow 203.0.113.0/24;
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }
}

​

Căi publice

• Webhook-urile fluxurilor de lucru verifică numai că spațiul de lucru și fluxul de lucru există. Oricine cunoaște URL-ul poate declanșa fluxul de lucru, așa că tratează URL-ul ca pe un secret și validează sarcina utilă în fluxul de lucru înainte de a acționa asupra ei.
• Rutele aplicațiilor și funcțiilor logice sunt publice, cu excepția cazului în care ruta necesită autentificare (isAuthRequired). Pentru rutele publice, verifică apelantul în propriul cod, de exemplu cu semnătura serviciului expeditor.
• Webhook-urile Google, Microsoft, SES și Resend sunt verificate de Twenty, folosind semnătura sau tokenul furnizorului.
• Linkurile de e-mail pot înregistra numai o deschidere, un clic sau o dezabonare pentru destinatarul căruia i-au fost trimise.

​

Clienți AI (MCP)

​

Clienți locali: nimic de deschis

{
  "mcpServers": {
    "twenty": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://twenty.your-tailnet.ts.net/mcp"
      ]
    }
  }
}

​

Conectori cloud: deschide cu grijă

• Deschide numai /mcp, /oauth și /.well-known. Nu deschide niciodată /authorize sau restul aplicației.
• Permite numai furnizorii pe care îi folosești:
  • Anthropic: 160.79.104.0/21, din pagina cu adresele IP Anthropic.
  • OpenAI: lista din chatgpt-connectors.json. OpenAI o descrie ca fiind depusă cu bună-credință și se modifică în timp, așa că actualizeaz-o periodic:
    curl -s https://openai.com/chatgpt-connectors.json | jq -r '.prefixes[].ipv4Prefix | select(.)'
    
• Actualizează rapid când notele de lansare menționează remedieri MCP sau OAuth.

​

Verifică configurarea

curl -si -X POST https://crm.example.com/mcp | grep -i www-authenticate

​

Listă de verificare de bază

​

Rămâi la zi

• Urmărește lansările pe GitHub: Urmărește → Personalizat → Lansări.
• Când o lansare include o remediere de securitate, actualizează imediat ce recomandarea aferentă indică acest lucru: în aceeași zi pentru problemele critice. Urmează ghidul de actualizare.
• Raportează vulnerabilitățile la security@twenty.com, nu în probleme publice.