Reglas de enrutamiento de Claude Code

Por qué no basta con claude.ai

La documentación oficial de configuración de red para empresas de Claude Code enumera las URL que necesita en tiempo de ejecución. Las cuatro principales son:

api.anthropic.com — Solicitudes a la API, comprobación de seguridad de dominios de WebFetch, indicadores de funciones, eventos de telemetría
claude.ai — Autenticación de cuentas de claude.ai
claude.com — Página de inicio de sesión (redirige a claude.ai), consultas de documentación de WebFetch
platform.claude.com — Intercambio / renovación / revocación de tokens OAuth: necesario para ambos tipos de cuenta

Atención: varias listas de enrutamiento muy difundidas aún incluyen statsig.anthropic.com, sentry.io y cdn.anthropic.com. Ninguno de ellos figura ya en los requisitos oficiales (la telemetría pasó a Datadog), y dos ya ni siquiera se resuelven en DNS. Cada entrada de abajo se ha contrastado con la documentación oficial y lleva indicada la fecha de verificación.

El que todos olvidan: platform.claude.com

La documentación oficial indica que este host gestiona el intercambio, la renovación y la revocación de tokens OAuth, no solo para las cuentas de Console, sino también para los inicios de sesión con claude.ai. Aun así, casi ninguna de las listas de enrutamiento que circulan lo incluye.

Olvidarlo no es solo perder una función: la renovación del token sale entonces por tu conexión directa, de modo que la IP de salida de la solicitud de renovación ya no coincide con la de tu tráfico de API, justo el tipo de incoherencia que buscan los sistemas de control de riesgos. El síntoma es sutil: simplemente se te cierra la sesión al azar.

Lista completa de enrutamiento (agrupada como en la documentación oficial)

Requisitos principales

Si falta cualquiera de ellos, fallan el inicio de sesión o las conversaciones

api.anthropic.com: Solicitudes a la API, comprobación de seguridad de dominios de WebFetch, indicadores de funciones, eventos de telemetría
claude.ai: Autenticación de cuentas de claude.ai
claude.com: Página de inicio de sesión (redirige a claude.ai), consultas de documentación de WebFetch
platform.claude.com: Intercambio / renovación / revocación de tokens OAuth: necesario para ambos tipos de cuenta

Según la función

Solo son necesarios si usas la función correspondiente

mcp-proxy.anthropic.com: Tráfico de conectores MCP desde claude.ai
downloads.claude.ai: Descargas de ejecutables de plugins, instalador nativo y actualizador automático
bridge.claudeusercontent.com: Puente WebSocket de la extensión Claude in Chrome
*.frame.claudeusercontent.com: Lectura del contenido de Artifacts
registry.npmjs.org: Instalación de plugins, servidores MCP iniciados con npx e instalación del propio Claude Code con npm/bun
storage.googleapis.com: Metadatos de plugins y recuentos de instalaciones, subidas de Artifacts
code.claude.com: Consultas a la documentación integrada (agente claude-code-guide y WebFetch preaprobado)
raw.githubusercontent.com: Feed del registro de cambios para /release-notes
formulae.brew.sh: Comprobación de actualizaciones en instalaciones con Homebrew; los demás métodos de instalación nunca se conectan a él

Endpoints de telemetría (opcionales)

Solo se envía al usar directamente la API de Anthropic; nunca con proveedores externos

http-intake.logs.us5.datadoghq.com: Eventos de telemetría operativa
browser-intake-us5-datadoghq.com: Informes de errores operativos (sujetos a un indicador de despliegue gradual en el servidor)

Variables de entorno para desactivar el tráfico no esencial

Más sencillo que añadir los hosts de telemetría a la lista de permitidos si prefieres desactivarlos en el origen

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1: Desactiva a la vez los dos endpoints de Datadog
DISABLE_TELEMETRY=1: Desactiva la telemetría
DO_NOT_TRACK=1: El estándar genérico de no seguimiento (do-not-track); mismo efecto
DISABLE_ERROR_REPORTING=1: Desactiva el envío de informes de errores

Reglas de respaldo por IP / ASN

Las reglas CIDR / ASN son solo un último recurso y hay que revisarlas periódicamente frente a los cambios de BGP/ASN. No tomes los ejemplos siguientes como una lista completa y permanente:

IP-CIDR, 160.79.104.0/21

IP-CIDR6, 2607:6bc0::/32

IP-ASN, AS399358

Detalle adicional: AS399358 anuncia actualmente 160.79.104.0/23 y dos /48 de IPv6 (2607:6bc0::/48, 2607:6bc0:11::/48), más estrechos que los bloques registrados. Configurar los bloques registrados es más amplio y más seguro. Ten en cuenta también que los hosts de telemetría e instalación (Datadog, npm, GitHub, Google Cloud) quedan fuera de los rangos propios de Anthropic, así que el respaldo por IP no puede cubrirlos; solo las reglas de dominio pueden hacerlo.

Sincronización horaria

Los requisitos oficiales de red de Claude Code no incluyen NTP. Sin embargo, un desfase importante del reloj del sistema puede hacer fallar TLS, el inicio de sesión OAuth y los flujos de firma de solicitudes. Se recomienda mantener la hora del sistema exacta; pasar o no el tráfico NTP por el proxy depende de tu entorno de red y de las capacidades del cliente.

Conviene corregir una afirmación muy extendida: algunas guías dicen que Claude Code determina tu zona horaria mediante NTP y que, por tanto, debes pasar NTP por el proxy. Esto es imposible a nivel de protocolo: NTP solo transporta marcas de tiempo UTC y no tiene ningún campo de zona horaria; la zona horaria procede de la configuración del sistema operativo. NTP tampoco aparece en ningún punto de los requisitos oficiales de red. La verdadera fuga de tu zona horaria está en las API Intl / getTimezoneOffset del navegador y del sistema, algo que pasar NTP por el proxy no resuelve en absoluto.

Ejemplo de formato de configuración (lista de dominios)

# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名)
DOMAIN-SUFFIX,anthropic.com,Claude
DOMAIN-SUFFIX,claude.ai,Claude
DOMAIN-SUFFIX,claude.com,Claude
DOMAIN-SUFFIX,clau.de,Claude
DOMAIN-SUFFIX,claudeusercontent.com,Claude

# 安装 / 插件 / 文档
DOMAIN-SUFFIX,registry.npmjs.org,Claude
DOMAIN,storage.googleapis.com,Claude
DOMAIN,raw.githubusercontent.com,Claude
DOMAIN,formulae.brew.sh,Claude

# 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到)
DOMAIN,http-intake.logs.us5.datadoghq.com,Claude
DOMAIN,browser-intake-us5-datadoghq.com,Claude

# IP / ASN 兜底
IP-CIDR,160.79.104.0/21,Claude,no-resolve
IP-CIDR6,2607:6bc0::/32,Claude,no-resolve
IP-ASN,399358,Claude,no-resolve

Nota: DOMAIN-SUFFIX ya cubre todos los subdominios, así que no hace falta repetirlos. Los dos hosts de ingesta de Datadog son dominios registrables independientes y requieren coincidencia exacta. Añade no-resolve a las reglas CIDR/ASN para omitir las consultas inversas y reducir el coste de la coincidencia.

Verificación

Después de configurarlo, usa estas herramientas para verificar que no se escapa tráfico: