قواعد توجيه Claude Code

لماذا لا يكفي claude.ai وحده

تسرد وثيقة Claude Code الرسمية لإعداد شبكات الشركات عناوين URL التي يحتاجها أثناء التشغيل. وأهمها أربعة:

api.anthropic.com — طلبات API، وفحص أمان النطاقات في WebFetch، ومفاتيح الميزات، وأحداث القياس عن بعد
claude.ai — مصادقة حساب claude.ai
claude.com — صفحة تسجيل الدخول (تعيد التوجيه إلى claude.ai)، واستعلامات الوثائق عبر WebFetch
platform.claude.com — تبادل رموز OAuth / تحديثها / إلغاؤها — مطلوب لكلا نوعي الحساب

ملاحظة: لا تزال عدة قوائم توجيه منتشرة على نطاق واسع تتضمن statsig.anthropic.com و sentry.io و cdn.anthropic.com. لم يعد أي منها ضمن المتطلبات الرسمية (انتقل القياس عن بعد إلى Datadog)، واثنان منها لم يعد لهما أي سجل في DNS أصلًا. روجع كل بند أدناه مقابل الوثيقة الرسمية، مع ذكر تاريخ التحقق.

البند الذي يغفله الجميع: platform.claude.com

تنص الوثيقة الرسمية على أن هذا المضيف يتولى تبادل رموز OAuth وتحديثها وإلغاءها — ليس لحسابات Console فحسب، بل لتسجيلات الدخول إلى claude.ai أيضًا. ومع ذلك، تغفله جميع قوائم التوجيه المتداولة تقريبًا.

إغفاله لا يعني مجرد فقدان ميزة: إذ يخرج تحديث الرمز حينها عبر اتصالك المباشر، فلا يعود IP الخروج لطلب التحديث مطابقًا لحركة مرور API لديك — وهذا تحديدًا نوع عدم الاتساق الذي تبحث عنه أنظمة إدارة المخاطر. والأعراض خفية: ببساطة يتم تسجيل خروجك بشكل عشوائي.

قائمة التوجيه الكاملة (مجمعة كما في الوثيقة الرسمية)

المتطلبات الأساسية

غياب أي منها يعطل تسجيل الدخول أو المحادثة

api.anthropic.com: طلبات API، وفحص أمان النطاقات في WebFetch، ومفاتيح الميزات، وأحداث القياس عن بعد
claude.ai: مصادقة حساب claude.ai
claude.com: صفحة تسجيل الدخول (تعيد التوجيه إلى claude.ai)، واستعلامات الوثائق عبر WebFetch
platform.claude.com: تبادل رموز OAuth / تحديثها / إلغاؤها — مطلوب لكلا نوعي الحساب

حسب الميزات

مطلوبة فقط إذا كنت تستخدم الميزة المقابلة

mcp-proxy.anthropic.com: حركة مرور موصلات MCP القادمة من claude.ai
downloads.claude.ai: تنزيل الملفات التنفيذية للإضافات، والمثبت الأصلي، والتحديث التلقائي
bridge.claudeusercontent.com: جسر WebSocket لإضافة Claude in Chrome
*.frame.claudeusercontent.com: قراءة محتوى Artifact
registry.npmjs.org: تثبيت الإضافات، وخوادم MCP التي تشغل عبر npx، وتثبيت Claude Code نفسه عبر npm/bun
storage.googleapis.com: البيانات الوصفية للإضافات وأعداد تثبيتها، ورفع Artifact
code.claude.com: استعلامات الوثائق المدمجة (وكيل claude-code-guide وWebFetch المعتمد مسبقًا)
raw.githubusercontent.com: موجز سجل التغييرات للأمر /release-notes
formulae.brew.sh: التحقق من التحديثات عند التثبيت عبر Homebrew؛ لا تتصل به طرق التثبيت الأخرى إطلاقًا

نقاط القياس عن بعد (اختيارية)

ترسل فقط عند استخدام Anthropic API مباشرة؛ ولا ترسل أبدًا عبر مزودين خارجيين

http-intake.logs.us5.datadoghq.com: أحداث القياس عن بعد التشغيلية
browser-intake-us5-datadoghq.com: تقارير الأخطاء التشغيلية (يتحكم فيها مفتاح طرح تدريجي من جهة الخادم)

متغيرات البيئة لتعطيل حركة المرور غير الضرورية

أبسط من السماح بمضيفي القياس عن بعد إذا كنت تفضل إيقافها من المصدر

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1: يعطل نقطتي نهاية Datadog معًا
DISABLE_TELEMETRY=1: يعطل القياس عن بعد
DO_NOT_TRACK=1: معيار عدم التتبع العام؛ التأثير نفسه
DISABLE_ERROR_REPORTING=1: يعطل الإبلاغ عن الأخطاء

قواعد IP / ASN الاحتياطية

قواعد CIDR / ASN مجرد احتياط أخير، وتحتاج إلى مراجعة دورية لمواكبة تغيرات BGP/ASN. لا تعامل الأمثلة أدناه على أنها قائمة كاملة دائمة:

IP-CIDR, 160.79.104.0/21

IP-CIDR6, 2607:6bc0::/32

IP-ASN, AS399358

تفصيل إضافي: يعلن AS399358 حاليًا عن 160.79.104.0/23 ونطاقي IPv6 بطول /48 (2607:6bc0::/48 و 2607:6bc0:11::/48) — وهي أضيق من الكتل المسجلة. إعداد الكتل المسجلة أوسع تغطية وأكثر أمانًا. لاحظ أيضًا أن مضيفي القياس عن بعد والتثبيت (Datadog و npm و GitHub و Google Cloud) تقع خارج نطاقات Anthropic نفسها، لذا لا يمكن لقواعد IP الاحتياطية تغطيتها؛ وحدها قواعد النطاقات تستطيع ذلك.

مزامنة وقت النظام

لا تتضمن متطلبات Claude Code الرسمية للشبكة بروتوكول NTP. ومع ذلك، قد يتسبب الانحراف الكبير في ساعة النظام في فشل TLS وتسجيل الدخول عبر OAuth وعمليات توقيع الطلبات. يوصى بالحفاظ على دقة وقت النظام؛ أما تمرير حركة NTP عبر البروكسي فيعتمد على بيئة شبكتك وقدرات العميل.

ادعاء شائع يستحق التصحيح: تقول بعض الأدلة إن Claude Code يحدد منطقتك الزمنية عبر NTP، ولذلك يجب تمرير NTP عبر البروكسي. هذا مستحيل على مستوى البروتوكول — إذ لا يحمل NTP سوى طوابع زمنية بتوقيت UTC، ولا يحتوي على أي حقل للمنطقة الزمنية؛ فالمنطقة الزمنية تأتي من إعدادات نظام التشغيل. كما أن NTP لا يظهر في أي موضع من متطلبات الشبكة الرسمية. ما يؤدي فعلًا إلى تسريب منطقتك الزمنية هو واجهات Intl / getTimezoneOffset في المتصفح والنظام، ولا يغير تمرير NTP عبر البروكسي شيئًا في ذلك.

مثال على صيغة الإعداد (قائمة النطاقات)

# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名)
DOMAIN-SUFFIX,anthropic.com,Claude
DOMAIN-SUFFIX,claude.ai,Claude
DOMAIN-SUFFIX,claude.com,Claude
DOMAIN-SUFFIX,clau.de,Claude
DOMAIN-SUFFIX,claudeusercontent.com,Claude

# 安装 / 插件 / 文档
DOMAIN-SUFFIX,registry.npmjs.org,Claude
DOMAIN,storage.googleapis.com,Claude
DOMAIN,raw.githubusercontent.com,Claude
DOMAIN,formulae.brew.sh,Claude

# 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到)
DOMAIN,http-intake.logs.us5.datadoghq.com,Claude
DOMAIN,browser-intake-us5-datadoghq.com,Claude

# IP / ASN 兜底
IP-CIDR,160.79.104.0/21,Claude,no-resolve
IP-CIDR6,2607:6bc0::/32,Claude,no-resolve
IP-ASN,399358,Claude,no-resolve

ملاحظة: DOMAIN-SUFFIX يغطي بالفعل جميع النطاقات الفرعية، فلا داعي لتكرارها. ومضيفا الاستقبال (intake) لدى Datadog نطاقان مستقلان قابلان للتسجيل ويتطلبان مطابقة تامة. أضف no-resolve إلى قواعد CIDR/ASN لتخطي الاستعلامات العكسية وتقليل عبء المطابقة.

التحقق

بعد الإعداد، استخدم هذه الأدوات للتحقق من عدم تسرب أي حركة مرور: