Règles de routage pour Claude Code

Pourquoi claude.ai seul ne suffit pas

La documentation officielle de Claude Code sur la configuration réseau en entreprise liste les URL nécessaires à l'exécution. Les quatre principales sont :

api.anthropic.com — Requêtes API, contrôle de sécurité des domaines par WebFetch, indicateurs de fonctionnalités, événements de télémétrie
claude.ai — Authentification des comptes claude.ai
claude.com — Page de connexion (redirige vers claude.ai), recherches de documentation par WebFetch
platform.claude.com — Échange / rafraîchissement / révocation des tokens OAuth — requis pour les deux types de compte

Attention : plusieurs listes de routage très répandues incluent encore statsig.anthropic.com, sentry.io et cdn.anthropic.com. Aucune de ces entrées ne figure plus dans les exigences officielles (la télémétrie est passée à Datadog), et deux d'entre elles ne se résolvent même plus dans le DNS. Chaque entrée ci-dessous a été vérifiée par rapport à la documentation officielle, avec la date de vérification indiquée.

Celui que tout le monde oublie : platform.claude.com

La documentation officielle précise que cet hôte gère l'échange, le rafraîchissement et la révocation des jetons OAuth, non seulement pour les comptes Console, mais aussi pour les connexions via claude.ai. Pourtant, presque toutes les listes de routage en circulation l'omettent.

L'oublier ne vous prive pas seulement d'une fonctionnalité : le rafraîchissement du token passe alors par votre connexion directe, si bien que l'IP de sortie de la requête de renouvellement ne correspond plus à celle de votre trafic API — exactement le type d'incohérence que traquent les systèmes de contrôle des risques. Le symptôme est discret : vous êtes simplement déconnecté au hasard.

Liste de routage complète (regroupée comme dans la documentation officielle)

Indispensables

Il suffit qu'un seul manque pour que la connexion ou les conversations échouent

api.anthropic.com: Requêtes API, contrôle de sécurité des domaines par WebFetch, indicateurs de fonctionnalités, événements de télémétrie
claude.ai: Authentification des comptes claude.ai
claude.com: Page de connexion (redirige vers claude.ai), recherches de documentation par WebFetch
platform.claude.com: Échange / rafraîchissement / révocation des tokens OAuth — requis pour les deux types de compte

Selon les fonctionnalités

Nécessaires uniquement si vous utilisez la fonctionnalité correspondante

mcp-proxy.anthropic.com: Trafic des connecteurs MCP depuis claude.ai
downloads.claude.ai: Téléchargement des exécutables de plugins, installateur natif et mise à jour automatique
bridge.claudeusercontent.com: Pont WebSocket de l'extension Claude in Chrome
*.frame.claudeusercontent.com: Lecture du contenu des Artifacts
registry.npmjs.org: Installation de plugins, serveurs MCP lancés via npx, installation de Claude Code lui-même via npm/bun
storage.googleapis.com: Métadonnées et nombre d'installations des plugins, envoi d'Artifacts
code.claude.com: Recherches dans la documentation intégrée (agent claude-code-guide et WebFetch pré-autorisé)
raw.githubusercontent.com: Flux du journal des modifications pour /release-notes
formulae.brew.sh: Recherche de mises à jour pour les installations Homebrew ; les autres méthodes d'installation ne le contactent jamais

Points de terminaison de télémétrie (facultatifs)

Envoyée uniquement en cas d'utilisation directe de l'API Anthropic ; jamais via des fournisseurs tiers

http-intake.logs.us5.datadoghq.com: Événements de télémétrie opérationnelle
browser-intake-us5-datadoghq.com: Rapports d'erreurs opérationnels (soumis à un indicateur de déploiement progressif côté serveur)

Variables d'environnement pour désactiver le trafic non essentiel

Plus simple que d'autoriser les hôtes de télémétrie si vous préférez les couper à la source

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1: Désactive d'un coup les deux points de terminaison Datadog
DISABLE_TELEMETRY=1: Désactive la télémétrie
DO_NOT_TRACK=1: Norme générique « do not track » ; même effet
DISABLE_ERROR_REPORTING=1: Désactive les rapports d'erreurs

Règles de repli IP / ASN

Les règles CIDR / ASN ne sont qu'un ultime recours et doivent être revérifiées régulièrement en fonction des changements BGP/ASN. Ne considérez pas les exemples ci-dessous comme une liste complète et définitive :

IP-CIDR, 160.79.104.0/21

IP-CIDR6, 2607:6bc0::/32

IP-ASN, AS399358

Précision : AS399358 annonce actuellement 160.79.104.0/23 et deux /48 IPv6 (2607:6bc0::/48, 2607:6bc0:11::/48), soit moins que les blocs enregistrés. Configurer les blocs enregistrés offre une couverture plus large et plus sûre. Notez aussi que les hôtes de télémétrie et d'installation (Datadog, npm, GitHub, Google Cloud) se trouvent hors des plages propres d'Anthropic : le repli par IP ne peut pas les couvrir, seules des règles de domaine le peuvent.

Synchronisation de l'heure système

Les exigences réseau officielles de Claude Code n'incluent pas NTP. Cependant, une dérive importante de l'horloge système peut faire échouer TLS, la connexion OAuth et les processus de signature des requêtes. Il est recommandé de garder l'heure système exacte ; faire passer ou non le trafic NTP par le proxy dépend de votre environnement réseau et des capacités de votre client.

Une affirmation très répandue mérite d'être corrigée : certains guides prétendent que Claude Code détermine votre fuseau horaire via NTP et qu'il faut donc faire passer NTP par le proxy. C'est impossible au niveau du protocole : NTP ne transporte que des horodatages UTC et ne comporte aucun champ de fuseau horaire ; le fuseau horaire provient des réglages de votre système d'exploitation. NTP n'apparaît d'ailleurs nulle part dans les exigences réseau officielles. Ce qui provoque réellement la fuite de votre fuseau horaire, ce sont les API Intl / getTimezoneOffset du navigateur et du système, et faire passer NTP par le proxy n'y change rien.

Exemple de format de configuration (liste de domaines)

# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名)
DOMAIN-SUFFIX,anthropic.com,Claude
DOMAIN-SUFFIX,claude.ai,Claude
DOMAIN-SUFFIX,claude.com,Claude
DOMAIN-SUFFIX,clau.de,Claude
DOMAIN-SUFFIX,claudeusercontent.com,Claude

# 安装 / 插件 / 文档
DOMAIN-SUFFIX,registry.npmjs.org,Claude
DOMAIN,storage.googleapis.com,Claude
DOMAIN,raw.githubusercontent.com,Claude
DOMAIN,formulae.brew.sh,Claude

# 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到)
DOMAIN,http-intake.logs.us5.datadoghq.com,Claude
DOMAIN,browser-intake-us5-datadoghq.com,Claude

# IP / ASN 兜底
IP-CIDR,160.79.104.0/21,Claude,no-resolve
IP-CIDR6,2607:6bc0::/32,Claude,no-resolve
IP-ASN,399358,Claude,no-resolve

Remarque : DOMAIN-SUFFIX couvre déjà tous les sous-domaines, inutile de les répéter. Les deux hôtes d'ingestion Datadog sont des domaines enregistrables distincts et nécessitent une correspondance exacte. Ajoutez no-resolve aux règles CIDR/ASN pour éviter les recherches inverses et réduire le coût de correspondance.

Vérification

Une fois la configuration terminée, utilisez ces outils pour vérifier qu'aucun trafic ne s'échappe :