Waarom claude.ai alleen niet genoeg is
De officiële documentatie van Claude Code over de configuratie van bedrijfsnetwerken noemt de URL's die het tijdens gebruik nodig heeft. De vier belangrijkste zijn:
api.anthropic.com— API-verzoeken, veiligheidscontrole van domeinen voor WebFetch, feature flags, telemetrie-eventsclaude.ai— Authenticatie van claude.ai-accountsclaude.com— Aanmeldpagina (stuurt door naar claude.ai), opzoekingen in documentatie via WebFetchplatform.claude.com— Uitwisselen / vernieuwen / intrekken van OAuth-tokens — vereist voor beide accounttypen
Die iedereen vergeet: platform.claude.com
Volgens de officiële documentatie verzorgt deze host het uitwisselen, vernieuwen en intrekken van OAuth-tokens — niet alleen voor Console-accounts, maar ook voor aanmeldingen via claude.ai. Toch ontbreekt hij in bijna elke routeringslijst die de ronde doet.
Als hij ontbreekt, verlies je niet alleen een functie: het vernieuwen van tokens gaat dan via je directe verbinding naar buiten, waardoor het exit-IP van het vernieuwingsverzoek niet meer overeenkomt met je API-verkeer — precies het soort inconsistentie waar fraudedetectie op let. Het symptoom is subtiel: je wordt gewoon willekeurig uitgelogd.
Volledige routeringslijst (gegroepeerd zoals in de officiële documentatie)
Kernvereisten
Ontbreekt er één, dan werken inloggen of gesprekken niet
api.anthropic.com- API-verzoeken, veiligheidscontrole van domeinen voor WebFetch, feature flags, telemetrie-events
claude.ai- Authenticatie van claude.ai-accounts
claude.com- Aanmeldpagina (stuurt door naar claude.ai), opzoekingen in documentatie via WebFetch
platform.claude.com- Uitwisselen / vernieuwen / intrekken van OAuth-tokens — vereist voor beide accounttypen
Afhankelijk van functie
Alleen nodig als je de betreffende functie gebruikt
mcp-proxy.anthropic.com- MCP-connectorverkeer vanaf claude.ai
downloads.claude.ai- Downloads van uitvoerbare plug-inbestanden, native installer en automatische updater
bridge.claudeusercontent.com- WebSocket-brug van de extensie Claude in Chrome
*.frame.claudeusercontent.com- Lezen van artifact-inhoud
registry.npmjs.org- Installaties van plug-ins, via npx gestarte MCP-servers, installaties van Claude Code zelf via npm/bun
storage.googleapis.com- Metadata en installatieaantallen van plug-ins, uploads van artifacts
code.claude.com- Ingebouwde opzoekingen in documentatie (agent claude-code-guide en vooraf goedgekeurde WebFetch)
raw.githubusercontent.com- Feed van het wijzigingslogboek voor /release-notes
formulae.brew.sh- Updatecontroles bij installaties via Homebrew; andere installatiemethoden maken er nooit contact mee
Telemetrie-endpoints (optioneel)
Alleen verzonden bij direct gebruik van de Anthropic API; nooit bij externe providers
http-intake.logs.us5.datadoghq.com- Operationele telemetrie-events
browser-intake-us5-datadoghq.com- Operationele foutrapporten (afhankelijk van een rollout-vlag aan serverzijde)
Omgevingsvariabelen om niet-essentieel verkeer uit te schakelen
Eenvoudiger dan de telemetriehosts op de whitelist zetten als je ze liever bij de bron uitschakelt
CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1- Schakelt beide Datadog-endpoints tegelijk uit
DISABLE_TELEMETRY=1- Schakelt telemetrie uit
DO_NOT_TRACK=1- De algemene do-not-track-standaard; zelfde effect
DISABLE_ERROR_REPORTING=1- Schakelt foutrapportage uit
Terugvalregels voor IP / ASN
CIDR-/ASN-regels zijn alleen een laatste redmiddel en moeten periodiek opnieuw worden gecontroleerd op BGP-/ASN-wijzigingen. Beschouw de voorbeelden hieronder niet als een blijvend volledige lijst:
Aanvullend detail: AS399358 kondigt momenteel 160.79.104.0/23 en twee IPv6-/48's aan (2607:6bc0::/48, 2607:6bc0:11::/48) — smaller dan de geregistreerde blokken. De geregistreerde blokken configureren is breder en veiliger. Let er ook op dat de hosts voor telemetrie en installatie (Datadog, npm, GitHub, Google Cloud) buiten de eigen bereiken van Anthropic vallen, dus een IP-terugval kan ze niet dekken; dat kan alleen met domeinregels.
Tijdsynchronisatie
De officiële netwerkeisen van Claude Code zelf omvatten geen NTP. Een flinke afwijking van de systeemklok kan echter TLS, OAuth-login en processen met ondertekende verzoeken laten mislukken. Houd de systeemtijd nauwkeurig; of je NTP-verkeer via de proxy leidt, hangt af van je netwerkomgeving en de mogelijkheden van je client.
Een wijdverbreide bewering die rechtgezet moet worden: sommige handleidingen stellen dat Claude Code je tijdzone via NTP bepaalt en dat je NTP daarom via de proxy moet leiden. Dat is op protocolniveau onmogelijk — NTP bevat alleen UTC-tijdstempels en heeft geen tijdzoneveld; de tijdzone komt uit je besturingssysteem. NTP komt ook nergens voor in de officiële netwerkeisen. Wat je tijdzone werkelijk lekt, zijn de Intl- / getTimezoneOffset-API's van browser en systeem, en NTP via een proxy leiden verandert daar niets aan.
Voorbeeld van configuratieformaat (domeinlijst)
# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名) DOMAIN-SUFFIX,anthropic.com,Claude DOMAIN-SUFFIX,claude.ai,Claude DOMAIN-SUFFIX,claude.com,Claude DOMAIN-SUFFIX,clau.de,Claude DOMAIN-SUFFIX,claudeusercontent.com,Claude # 安装 / 插件 / 文档 DOMAIN-SUFFIX,registry.npmjs.org,Claude DOMAIN,storage.googleapis.com,Claude DOMAIN,raw.githubusercontent.com,Claude DOMAIN,formulae.brew.sh,Claude # 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到) DOMAIN,http-intake.logs.us5.datadoghq.com,Claude DOMAIN,browser-intake-us5-datadoghq.com,Claude # IP / ASN 兜底 IP-CIDR,160.79.104.0/21,Claude,no-resolve IP-CIDR6,2607:6bc0::/32,Claude,no-resolve IP-ASN,399358,Claude,no-resolve
Let op: DOMAIN-SUFFIX dekt al elk subdomein, dus herhalen is niet nodig. De twee intake-hosts van Datadog zijn aparte registreerbare domeinen en vereisen een exacte match. Voeg no-resolve toe aan CIDR-/ASN-regels om omgekeerde opzoekingen over te slaan en de matchingkosten te verlagen.
Verificatie
Gebruik na het configureren deze tools om te controleren dat er geen verkeer weglekt: