Por que só o claude.ai não basta
A documentação oficial de configuração de rede corporativa do Claude Code lista as URLs de que ele precisa em tempo de execução. As quatro principais são:
api.anthropic.com— Requisições de API, verificação de segurança de domínio do WebFetch, feature flags, eventos de telemetriaclaude.ai— Autenticação de conta do claude.aiclaude.com— Página de login (redireciona para claude.ai), consultas de documentação do WebFetchplatform.claude.com— Troca / renovação / revogação de tokens OAuth — necessário para os dois tipos de conta
O que todo mundo esquece: platform.claude.com
A documentação oficial informa que este host cuida da troca, da renovação e da revogação de tokens OAuth — não só para contas do Console, mas também para logins no claude.ai. Mesmo assim, quase todas as listas de roteamento em circulação o omitem.
Deixá-lo de fora não significa apenas perder um recurso: a renovação do token passa a sair pela sua conexão direta, e o IP de saída da requisição de renovação deixa de coincidir com o do seu tráfego de API — exatamente o tipo de inconsistência que os sistemas de risco procuram. O sintoma é sutil: você simplesmente é desconectado de forma aleatória.
Lista completa de roteamento (agrupada como na documentação oficial)
Requisitos principais
A falta de qualquer um deles quebra o login ou a conversa
api.anthropic.com- Requisições de API, verificação de segurança de domínio do WebFetch, feature flags, eventos de telemetria
claude.ai- Autenticação de conta do claude.ai
claude.com- Página de login (redireciona para claude.ai), consultas de documentação do WebFetch
platform.claude.com- Troca / renovação / revogação de tokens OAuth — necessário para os dois tipos de conta
Dependentes de recursos
Necessários somente se você usar o recurso correspondente
mcp-proxy.anthropic.com- Tráfego de conectores MCP a partir do claude.ai
downloads.claude.ai- Downloads de executáveis de plugins, instalador nativo e atualizador automático
bridge.claudeusercontent.com- Ponte WebSocket da extensão Claude in Chrome
*.frame.claudeusercontent.com- Leituras de conteúdo de artefatos
registry.npmjs.org- Instalação de plugins, servidores MCP iniciados via npx, instalações do próprio Claude Code via npm/bun
storage.googleapis.com- Metadados e contagem de instalações de plugins, uploads de artefatos
code.claude.com- Consultas à documentação integrada (agente claude-code-guide e WebFetch pré-aprovado)
raw.githubusercontent.com- Feed de changelog para /release-notes
formulae.brew.sh- Verificações de atualização em instalações via Homebrew; outros métodos de instalação nunca o contatam
Endpoints de telemetria (opcionais)
Enviada somente ao usar a API da Anthropic diretamente; nunca em provedores de terceiros
http-intake.logs.us5.datadoghq.com- Eventos de telemetria operacional
browser-intake-us5-datadoghq.com- Relatórios de erros operacionais (controlados por uma flag de liberação no servidor)
Variáveis de ambiente para desativar o tráfego não essencial
Mais simples do que liberar os hosts de telemetria, se você preferir desligá-los na origem
CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1- Desativa os dois endpoints do Datadog de uma só vez
DISABLE_TELEMETRY=1- Desativa a telemetria
DO_NOT_TRACK=1- O padrão genérico de não rastreamento (do-not-track); mesmo efeito
DISABLE_ERROR_REPORTING=1- Desativa o relatório de erros
Regras de fallback por IP / ASN
Regras de CIDR / ASN servem apenas como último recurso e precisam ser reverificadas periodicamente contra mudanças de BGP/ASN. Não trate os exemplos abaixo como uma lista completa permanente:
Detalhe adicional: o AS399358 atualmente anuncia 160.79.104.0/23 e dois /48 de IPv6 (2607:6bc0::/48, 2607:6bc0:11::/48) — mais estreitos do que os blocos registrados. Configurar os blocos registrados é mais amplo e mais seguro. Note também que os hosts de telemetria e de instalação (Datadog, npm, GitHub, Google Cloud) ficam fora das faixas da própria Anthropic, então o fallback por IP não consegue cobri-los; só as regras de domínio conseguem.
Sincronização de horário do sistema
Os requisitos oficiais de rede do próprio Claude Code não incluem o NTP. No entanto, um desvio significativo do relógio do sistema pode fazer falhar os fluxos de TLS, de login OAuth e de assinatura de requisições. Recomenda-se manter o horário do sistema preciso; passar ou não o tráfego NTP pelo proxy depende do seu ambiente de rede e dos recursos do cliente.
Uma afirmação muito difundida que vale corrigir: alguns guias dizem que o Claude Code determina o seu fuso horário via NTP e que, por isso, é preciso passar o NTP pelo proxy. Isso é impossível no nível do protocolo — o NTP só transporta timestamps em UTC e não tem campo de fuso horário; o fuso horário vem das configurações do seu sistema operacional. O NTP também não aparece em lugar nenhum dos requisitos oficiais de rede. O que de fato vaza o seu fuso horário são as APIs Intl / getTimezoneOffset do navegador e do sistema, sobre as quais passar o NTP pelo proxy não faz nada.
Exemplo de formato de configuração (lista de domínios)
# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名) DOMAIN-SUFFIX,anthropic.com,Claude DOMAIN-SUFFIX,claude.ai,Claude DOMAIN-SUFFIX,claude.com,Claude DOMAIN-SUFFIX,clau.de,Claude DOMAIN-SUFFIX,claudeusercontent.com,Claude # 安装 / 插件 / 文档 DOMAIN-SUFFIX,registry.npmjs.org,Claude DOMAIN,storage.googleapis.com,Claude DOMAIN,raw.githubusercontent.com,Claude DOMAIN,formulae.brew.sh,Claude # 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到) DOMAIN,http-intake.logs.us5.datadoghq.com,Claude DOMAIN,browser-intake-us5-datadoghq.com,Claude # IP / ASN 兜底 IP-CIDR,160.79.104.0/21,Claude,no-resolve IP-CIDR6,2607:6bc0::/32,Claude,no-resolve IP-ASN,399358,Claude,no-resolve
Nota: DOMAIN-SUFFIX já cobre todos os subdomínios, então não é preciso repeti-los. Os dois hosts de ingestão do Datadog são domínios registráveis separados e exigem correspondência exata. Adicione no-resolve às regras de CIDR/ASN para pular as consultas reversas e reduzir a sobrecarga de correspondência.
Verificação
Depois de configurar, use estas ferramentas para verificar se nenhum tráfego está vazando: