Perché claude.ai da solo non basta
La documentazione ufficiale di Claude Code sulla configurazione di rete aziendale elenca gli URL necessari durante l'esecuzione. I quattro principali sono:
api.anthropic.com— Richieste API, controllo di sicurezza dei domini per WebFetch, feature flag, eventi di telemetriaclaude.ai— Autenticazione degli account claude.aiclaude.com— Pagina di accesso (reindirizza a claude.ai), ricerche nella documentazione tramite WebFetchplatform.claude.com— Scambio / refresh / revoca dei token OAuth: necessario per entrambi i tipi di account
Quello che dimenticano tutti: platform.claude.com
La documentazione ufficiale indica che questo host gestisce scambio, refresh e revoca dei token OAuth, non solo per gli account Console ma anche per gli accessi con claude.ai. Eppure quasi tutti gli elenchi di instradamento in circolazione lo omettono.
Ometterlo non significa solo perdere una funzione: il refresh del token esce dalla tua connessione diretta, quindi l'IP di uscita della richiesta di refresh non corrisponde più a quello del traffico API, esattamente il tipo di incoerenza che i sistemi antifrode cercano. Il sintomo è subdolo: vieni semplicemente disconnesso a caso.
Elenco completo per l'instradamento (raggruppato come nella documentazione ufficiale)
Requisiti essenziali
Se ne manca anche uno solo, l'accesso o la conversazione non funzionano
api.anthropic.com- Richieste API, controllo di sicurezza dei domini per WebFetch, feature flag, eventi di telemetria
claude.ai- Autenticazione degli account claude.ai
claude.com- Pagina di accesso (reindirizza a claude.ai), ricerche nella documentazione tramite WebFetch
platform.claude.com- Scambio / refresh / revoca dei token OAuth: necessario per entrambi i tipi di account
In base alla funzione
Necessari solo se usi la funzione corrispondente
mcp-proxy.anthropic.com- Traffico dei connettori MCP da claude.ai
downloads.claude.ai- Download degli eseguibili dei plugin, installer nativo e aggiornamento automatico
bridge.claudeusercontent.com- Bridge WebSocket dell'estensione Claude in Chrome
*.frame.claudeusercontent.com- Lettura dei contenuti degli artifact
registry.npmjs.org- Installazione dei plugin, server MCP avviati con npx, installazione di Claude Code stesso via npm/bun
storage.googleapis.com- Metadati e numero di installazioni dei plugin, caricamento degli artifact
code.claude.com- Ricerche nella documentazione integrata (agente claude-code-guide e WebFetch preapprovato)
raw.githubusercontent.com- Feed del changelog per /release-notes
formulae.brew.sh- Controllo degli aggiornamenti per le installazioni Homebrew; gli altri metodi di installazione non lo contattano mai
Endpoint di telemetria (facoltativi)
Inviata solo quando si usa direttamente l'API di Anthropic; mai con provider di terze parti
http-intake.logs.us5.datadoghq.com- Eventi di telemetria operativa
browser-intake-us5-datadoghq.com- Report degli errori operativi (controllati da un flag di rollout lato server)
Variabili d'ambiente per disattivare il traffico non essenziale
Più semplice che consentire gli host di telemetria, se preferisci disattivarli alla fonte
CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1- Disattiva entrambi gli endpoint Datadog in una volta
DISABLE_TELEMETRY=1- Disattiva la telemetria
DO_NOT_TRACK=1- Lo standard generico do-not-track; stesso effetto
DISABLE_ERROR_REPORTING=1- Disattiva la segnalazione degli errori
Regole di riserva IP / ASN
Le regole CIDR / ASN sono solo un'ultima risorsa e vanno ricontrollate periodicamente in base ai cambiamenti BGP/ASN. Non considerare gli esempi seguenti un elenco completo e definitivo:
Dettaglio aggiuntivo: AS399358 annuncia attualmente 160.79.104.0/23 e due /48 IPv6 (2607:6bc0::/48, 2607:6bc0:11::/48), più ristretti dei blocchi registrati. Configurare i blocchi registrati offre una copertura più ampia e sicura. Nota inoltre che gli host di telemetria e installazione (Datadog, npm, GitHub, Google Cloud) sono fuori dagli intervalli di Anthropic, quindi le regole di riserva IP non possono coprirli: servono le regole per dominio.
Sincronizzazione dell'ora
I requisiti di rete ufficiali di Claude Code non includono NTP. Tuttavia, una deriva significativa dell'orologio di sistema può far fallire TLS, l'accesso OAuth e i flussi di firma delle richieste. Si consiglia di mantenere l'ora di sistema precisa; far passare o meno il traffico NTP dal proxy dipende dal tuo ambiente di rete e dalle capacità del client.
Un'affermazione diffusa da correggere: alcune guide sostengono che Claude Code determini il tuo fuso orario tramite NTP e che quindi devi far passare NTP dal proxy. A livello di protocollo è impossibile: NTP trasporta solo timestamp UTC e non ha un campo per il fuso orario; il fuso orario viene dalle impostazioni del sistema operativo. NTP non compare da nessuna parte nemmeno nei requisiti di rete ufficiali. Ciò che espone davvero il tuo fuso orario sono le API Intl / getTimezoneOffset del browser e del sistema, su cui il proxy per NTP non ha alcun effetto.
Esempio di formato di configurazione (elenco di domini)
# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名) DOMAIN-SUFFIX,anthropic.com,Claude DOMAIN-SUFFIX,claude.ai,Claude DOMAIN-SUFFIX,claude.com,Claude DOMAIN-SUFFIX,clau.de,Claude DOMAIN-SUFFIX,claudeusercontent.com,Claude # 安装 / 插件 / 文档 DOMAIN-SUFFIX,registry.npmjs.org,Claude DOMAIN,storage.googleapis.com,Claude DOMAIN,raw.githubusercontent.com,Claude DOMAIN,formulae.brew.sh,Claude # 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到) DOMAIN,http-intake.logs.us5.datadoghq.com,Claude DOMAIN,browser-intake-us5-datadoghq.com,Claude # IP / ASN 兜底 IP-CIDR,160.79.104.0/21,Claude,no-resolve IP-CIDR6,2607:6bc0::/32,Claude,no-resolve IP-ASN,399358,Claude,no-resolve
Nota: DOMAIN-SUFFIX copre già tutti i sottodomini, quindi non serve ripeterli. I due host di intake di Datadog sono domini registrabili separati e richiedono una corrispondenza esatta. Aggiungi no-resolve alle regole CIDR/ASN per evitare le ricerche inverse e ridurre il costo della corrispondenza.
Verifica
Dopo la configurazione, usa questi strumenti per verificare che nessun traffico sfugga: