Защита вашего экземпляра

​

Обзор

​

Приватность по умолчанию

​

Выберите настройку

Tailscale

Полностью приватно. Самая простая настройка, лучше всего подходит для небольших команд.

Cloudflare

Нет открытых портов, логин и пароль вашего поставщика, по мере необходимости.

Обратный прокси

Caddy или Nginx с разрешенными IP списками. Без сторонних сервисов.

​

Вариант 1: Tailscale

services:
  server:
    ports:
      - "127.0.0.1:3000:3000"

sudo tailscale up --hostname=twenty

sudo tailscale serve --bg 3000

SERVER_URL=https://twenty.your-tailnet.ts.net

​

Вариант 2: Cloudflare Tunnel и Access

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    command: tunnel --no-autoupdate run
    environment:
      TUNNEL_TOKEN: ${CLOUDFLARE_TUNNEL_TOKEN}
    depends_on:
      - server
    restart: always

SERVER_URL=https://crm.example.com

​

Вариант 3: Собственный обратный прокси

crm.example.com {
  # Keep only the public paths you use
  @public path /webhooks/* /s/* /emailing/*
  handle @public {
    reverse_proxy localhost:3000
  }

  @ai_clients {
    path /mcp /mcp/* /oauth/* /.well-known/*
    remote_ip 160.79.104.0/21 {$CHATGPT_CONNECTOR_IPS}
  }
  handle @ai_clients {
    reverse_proxy localhost:3000
  }

  @team remote_ip 203.0.113.0/24
  handle @team {
    reverse_proxy localhost:3000
  }

  handle {
    respond 403
  }
}

server {
  listen 443 ssl;
  server_name crm.example.com;
  ssl_certificate /etc/ssl/crm.example.com/fullchain.pem;
  ssl_certificate_key /etc/ssl/crm.example.com/privkey.pem;

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-Proto $scheme;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_http_version 1.1;
  proxy_set_header Connection "";
  proxy_buffering off;

  # Keep only the public paths you use
  location ^~ /webhooks/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /s/ { proxy_pass http://127.0.0.1:3000; }
  location ^~ /emailing/ { proxy_pass http://127.0.0.1:3000; }

  location ~ ^/(mcp|oauth|\.well-known)(/|$) {
    allow 203.0.113.0/24;
    allow 160.79.104.0/21;
    # one allow line per ChatGPT connector range
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }

  location / {
    allow 203.0.113.0/24;
    deny all;
    proxy_pass http://127.0.0.1:3000;
  }
}

​

Общедоступные пути

• Вебхуки рабочих процессов проверяют только существование рабочего пространства и рабочего процесса. Любой, кто знает URL, может запустить рабочий процесс, поэтому считайте URL секретом и проверяйте полезную нагрузку в рабочем процессе перед её обработкой.
• Маршруты приложений и функций логики общедоступны, если только маршрут не требует аутентификации (isAuthRequired). Для общедоступных маршрутов проверяйте вызывающую сторону в собственном коде, например с помощью подписи отправляющей службы.
• Вебхуки Google, Microsoft, SES и Resend проверяются Twenty с помощью подписи или токена поставщика.
• Ссылки в электронных письмах могут зарегистрировать открытие, клик или отписку только для получателя, которому они были отправлены.

​

AI-клиенты (MCP)

​

Локальные клиенты: ничего открывать не нужно

{
  "mcpServers": {
    "twenty": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://twenty.your-tailnet.ts.net/mcp"
      ]
    }
  }
}

​

Облачные коннекторы: открывайте с осторожностью

• Откройте только /mcp, /oauth и /.well-known. Никогда не открывайте /authorize или остальную часть приложения.
• Разрешайте только тех поставщиков, которых используете:
  • Anthropic: 160.79.104.0/21, со страницы IP-адресов Anthropic.
  • OpenAI: список в chatgpt-connectors.json. OpenAI описывает его как best effort, и он со временем меняется, поэтому обновляйте его по расписанию:
    curl -s https://openai.com/chatgpt-connectors.json | jq -r '.prefixes[].ipv4Prefix | select(.)'
    
• Быстро обновляйтесь, когда в примечаниях к выпуску упоминаются исправления MCP или OAuth.

​

Проверьте свою конфигурацию

curl -si -X POST https://crm.example.com/mcp | grep -i www-authenticate

​

Базовый контрольный список

​

Оставайтесь в курсе обновлений

• Отслеживайте выпуски на GitHub: Watch → Custom → Releases.
• Если выпуск содержит исправление безопасности, обновитесь, как только это рекомендовано в бюллетене: в тот же день для критических проблем. Следуйте руководству по обновлению.
• Сообщайте об уязвимостях на security@twenty.com, а не в публичных issues.