Warum claude.ai allein nicht reicht
Die offizielle Dokumentation zur Netzwerkkonfiguration von Claude Code im Unternehmen listet die URLs auf, die zur Laufzeit benötigt werden. Die vier zentralen sind:
api.anthropic.com— API-Anfragen, WebFetch-Sicherheitsprüfung von Domains, Feature-Flags, Telemetrie-Ereignisseclaude.ai— Authentifizierung des claude.ai-Kontosclaude.com— Anmeldeseite (leitet zu claude.ai weiter), WebFetch-Abfragen der Dokumentationplatform.claude.com— Austausch / Aktualisierung / Widerruf von OAuth-Tokens – für beide Kontotypen erforderlich
Der Eintrag, den alle vergessen: platform.claude.com
Laut offizieller Dokumentation übernimmt dieser Host Austausch, Aktualisierung und Widerruf von OAuth-Tokens – nicht nur für Console-Konten, sondern auch für Anmeldungen über claude.ai. Dennoch fehlt er in fast jeder kursierenden Routing-Liste.
Fehlt er, geht nicht bloß eine Funktion verloren: Die Token-Aktualisierung läuft dann über Ihre Direktverbindung, sodass die Ausgangs-IP der Aktualisierungsanfrage nicht mehr zu Ihrem API-Verkehr passt – genau die Art von Inkonsistenz, nach der Risikosysteme suchen. Das Symptom ist unauffällig: Sie werden einfach zufällig abgemeldet.
Vollständige Routing-Liste (gruppiert wie in der offiziellen Dokumentation)
Kernanforderungen
Fehlt auch nur einer dieser Einträge, scheitern Anmeldung oder Chat
api.anthropic.com- API-Anfragen, WebFetch-Sicherheitsprüfung von Domains, Feature-Flags, Telemetrie-Ereignisse
claude.ai- Authentifizierung des claude.ai-Kontos
claude.com- Anmeldeseite (leitet zu claude.ai weiter), WebFetch-Abfragen der Dokumentation
platform.claude.com- Austausch / Aktualisierung / Widerruf von OAuth-Tokens – für beide Kontotypen erforderlich
Je nach Funktion
Nur nötig, wenn Sie die entsprechende Funktion nutzen
mcp-proxy.anthropic.com- Datenverkehr der MCP-Connectors von claude.ai
downloads.claude.ai- Downloads ausführbarer Plugin-Dateien, nativer Installer und Auto-Updater
bridge.claudeusercontent.com- WebSocket-Bridge der Erweiterung Claude in Chrome
*.frame.claudeusercontent.com- Abruf von Artifact-Inhalten
registry.npmjs.org- Plugin-Installationen, per npx gestartete MCP-Server, Installation von Claude Code selbst per npm/bun
storage.googleapis.com- Plugin-Metadaten und Installationszahlen, Artifact-Uploads
code.claude.com- Abfragen der integrierten Dokumentation (Agent claude-code-guide und vorab freigegebenes WebFetch)
raw.githubusercontent.com- Changelog-Feed für /release-notes
formulae.brew.sh- Update-Prüfung bei Homebrew-Installationen; andere Installationsarten kontaktieren diesen Host nie
Telemetrie-Endpunkte (optional)
Wird nur bei direkter Nutzung der Anthropic-API gesendet, nie über Drittanbieter
http-intake.logs.us5.datadoghq.com- Betriebliche Telemetrie-Ereignisse
browser-intake-us5-datadoghq.com- Betriebliche Fehlerberichte (über ein serverseitiges Rollout-Flag gesteuert)
Umgebungsvariablen zum Abschalten nicht notwendigen Datenverkehrs
Einfacher, als die Telemetrie-Hosts freizugeben, wenn Sie sie lieber direkt an der Quelle abschalten
CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1- Deaktiviert beide Datadog-Endpunkte auf einmal
DISABLE_TELEMETRY=1- Deaktiviert die Telemetrie
DO_NOT_TRACK=1- Der allgemeine Do-Not-Track-Standard; gleiche Wirkung
DISABLE_ERROR_REPORTING=1- Deaktiviert Fehlerberichte
IP-/ASN-Fallback-Regeln
CIDR-/ASN-Regeln sind nur ein letzter Ausweg und müssen regelmäßig anhand von BGP-/ASN-Änderungen überprüft werden. Betrachten Sie die folgenden Beispiele nicht als dauerhaft vollständige Liste:
Ergänzend: AS399358 kündigt derzeit 160.79.104.0/23 sowie zwei IPv6-/48-Präfixe (2607:6bc0::/48, 2607:6bc0:11::/48) an – enger als die registrierten Blöcke. Wer die registrierten Blöcke einträgt, deckt mehr ab und ist auf der sicheren Seite. Beachten Sie außerdem, dass die Telemetrie- und Installations-Hosts (Datadog, npm, GitHub, Google Cloud) außerhalb der Bereiche von Anthropic liegen. Ein IP-Fallback kann sie also nicht abdecken – das schaffen nur Domain-Regeln.
Systemzeit synchronisieren
Die offiziellen Netzwerkanforderungen von Claude Code selbst umfassen kein NTP. Eine deutlich abweichende Systemuhr kann jedoch TLS, die OAuth-Anmeldung und das Signieren von Anfragen scheitern lassen. Halten Sie die Systemzeit genau; ob NTP-Verkehr über den Proxy laufen sollte, hängt von Ihrer Netzwerkumgebung und den Fähigkeiten Ihres Clients ab.
Eine weit verbreitete Behauptung muss korrigiert werden: Manche Anleitungen sagen, Claude Code ermittle Ihre Zeitzone über NTP, weshalb man NTP über den Proxy leiten müsse. Das ist schon auf Protokollebene unmöglich – NTP überträgt nur UTC-Zeitstempel und hat kein Zeitzonenfeld; die Zeitzone stammt aus den Einstellungen Ihres Betriebssystems. Auch in den offiziellen Netzwerkanforderungen taucht NTP nirgends auf. Was Ihre Zeitzone tatsächlich preisgibt, sind die Intl- bzw. getTimezoneOffset-APIs von Browser und System – daran ändert ein Proxy für NTP nichts.
Beispiel für das Konfigurationsformat (Domain-Liste)
# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名) DOMAIN-SUFFIX,anthropic.com,Claude DOMAIN-SUFFIX,claude.ai,Claude DOMAIN-SUFFIX,claude.com,Claude DOMAIN-SUFFIX,clau.de,Claude DOMAIN-SUFFIX,claudeusercontent.com,Claude # 安装 / 插件 / 文档 DOMAIN-SUFFIX,registry.npmjs.org,Claude DOMAIN,storage.googleapis.com,Claude DOMAIN,raw.githubusercontent.com,Claude DOMAIN,formulae.brew.sh,Claude # 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到) DOMAIN,http-intake.logs.us5.datadoghq.com,Claude DOMAIN,browser-intake-us5-datadoghq.com,Claude # IP / ASN 兜底 IP-CIDR,160.79.104.0/21,Claude,no-resolve IP-CIDR6,2607:6bc0::/32,Claude,no-resolve IP-ASN,399358,Claude,no-resolve
Hinweis: DOMAIN-SUFFIX deckt bereits alle Subdomains ab, sie müssen also nicht einzeln aufgeführt werden. Die beiden Datadog-Intake-Hosts sind eigenständige registrierbare Domains und erfordern exakte Treffer. Ergänzen Sie CIDR-/ASN-Regeln um no-resolve, um Reverse-Abfragen zu überspringen und den Abgleichaufwand zu senken.
Überprüfung
Prüfen Sie nach der Konfiguration mit diesen Tools, dass kein Datenverkehr an den Regeln vorbeiläuft: