Правила маршрутизации Claude Code

Почему одного claude.ai недостаточно

В официальной документации Claude Code по настройке корпоративной сети перечислены URL, необходимые во время работы. Четыре основных:

api.anthropic.com — Запросы API, проверка безопасности доменов WebFetch, флаги функций, события телеметрии
claude.ai — Аутентификация аккаунта claude.ai
claude.com — Страница входа (перенаправляет на claude.ai), поиск по документации WebFetch
platform.claude.com — Обмен / обновление / отзыв токенов OAuth — нужно для обоих типов аккаунтов

Внимание: во многих распространённых списках маршрутизации до сих пор есть statsig.anthropic.com, sentry.io и cdn.anthropic.com. Ни одного из них больше нет в официальных требованиях (телеметрия переехала в Datadog), а два из них вообще не разрешаются в DNS. Каждая запись ниже сверена с официальной документацией, дата проверки указана.

Домен, который забывают все: platform.claude.com

В официальной документации указано, что этот хост отвечает за обмен, обновление и отзыв токенов OAuth — не только для аккаунтов Console, но и при входе через claude.ai. Тем не менее почти во всех распространённых списках маршрутизации его нет.

Пропуск этого домена — не просто потеря функции: обновление токена уходит через ваше прямое подключение, и выходной IP запроса на обновление перестаёт совпадать с IP вашего трафика API — именно такое несоответствие ищут системы оценки рисков. Симптом незаметный: вас просто время от времени выкидывает из аккаунта.

Полный список маршрутизации (группы как в официальной документации)

Обязательные

Без любого из них ломается вход или диалог

api.anthropic.com: Запросы API, проверка безопасности доменов WebFetch, флаги функций, события телеметрии
claude.ai: Аутентификация аккаунта claude.ai
claude.com: Страница входа (перенаправляет на claude.ai), поиск по документации WebFetch
platform.claude.com: Обмен / обновление / отзыв токенов OAuth — нужно для обоих типов аккаунтов

По функциям

Нужны, только если вы используете соответствующую функцию

mcp-proxy.anthropic.com: Трафик коннекторов MCP из claude.ai
downloads.claude.ai: Загрузка исполняемых файлов плагинов, нативный установщик и автообновление
bridge.claudeusercontent.com: WebSocket-мост расширения Claude in Chrome
*.frame.claudeusercontent.com: Чтение содержимого Artifact
registry.npmjs.org: Установка плагинов, MCP-серверы через npx, установка самого Claude Code через npm/bun
storage.googleapis.com: Метаданные плагинов и число установок, загрузка Artifact
code.claude.com: Встроенный поиск по документации (агент claude-code-guide и предварительно разрешённый WebFetch)
raw.githubusercontent.com: Лента изменений для /release-notes
formulae.brew.sh: Проверка обновлений при установке через Homebrew; другие способы установки к нему не обращаются

Эндпоинты телеметрии (отключаемые)

Отправляется только при прямом подключении к Anthropic API; у сторонних провайдеров — никогда

http-intake.logs.us5.datadoghq.com: События эксплуатационной телеметрии
browser-intake-us5-datadoghq.com: Отчёты об эксплуатационных ошибках (включаются флагом поэтапного развёртывания на сервере)

Переменные окружения для отключения необязательного трафика

Проще, чем разрешать хосты телеметрии, если вы предпочитаете отключить их в источнике

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1: Отключает сразу оба эндпоинта Datadog
DISABLE_TELEMETRY=1: Отключает телеметрию
DO_NOT_TRACK=1: Общий стандарт do-not-track; тот же эффект
DISABLE_ERROR_REPORTING=1: Отключает отчёты об ошибках

Резервные правила по IP / ASN

Правила CIDR / ASN — только крайняя резервная мера, их нужно периодически сверять с изменениями BGP/ASN. Не считайте примеры ниже постоянным и полным списком:

IP-CIDR, 160.79.104.0/21

IP-CIDR6, 2607:6bc0::/32

IP-ASN, AS399358

Дополнительно: AS399358 сейчас анонсирует 160.79.104.0/23 и два блока IPv6 /48 (2607:6bc0::/48, 2607:6bc0:11::/48) — это уже, чем зарегистрированные блоки. Настройка по зарегистрированным блокам шире и надёжнее. Учтите также, что хосты телеметрии и установки (Datadog, npm, GitHub, Google Cloud) не входят в диапазоны Anthropic, поэтому резервные правила по IP их не покрывают — только правила по доменам.

Синхронизация времени

Официальные сетевые требования Claude Code не включают NTP. Однако сильное расхождение системных часов может сломать TLS, вход через OAuth и процессы с подписью запросов. Рекомендуется поддерживать точное системное время; пускать ли NTP через прокси, зависит от вашей сетевой среды и возможностей клиента.

Стоит развеять один распространённый миф: в некоторых руководствах утверждается, что Claude Code определяет ваш часовой пояс через NTP и поэтому NTP обязательно нужно пускать через прокси. На уровне протокола это невозможно — NTP передаёт только метки времени UTC и не содержит поля часового пояса; часовой пояс берётся из настроек ОС. В официальных сетевых требованиях NTP тоже нигде не упоминается. На самом деле к утечке часового пояса приводят API браузера и системы Intl / getTimezoneOffset, и прокси для NTP на это никак не влияет.

Пример формата конфигурации (список доменов)

# 核心 (DOMAIN-SUFFIX 已覆盖各自全部子域名)
DOMAIN-SUFFIX,anthropic.com,Claude
DOMAIN-SUFFIX,claude.ai,Claude
DOMAIN-SUFFIX,claude.com,Claude
DOMAIN-SUFFIX,clau.de,Claude
DOMAIN-SUFFIX,claudeusercontent.com,Claude

# 安装 / 插件 / 文档
DOMAIN-SUFFIX,registry.npmjs.org,Claude
DOMAIN,storage.googleapis.com,Claude
DOMAIN,raw.githubusercontent.com,Claude
DOMAIN,formulae.brew.sh,Claude

# 遥测 (可用环境变量关闭; 注意是独立域名, 后缀匹配抓不到)
DOMAIN,http-intake.logs.us5.datadoghq.com,Claude
DOMAIN,browser-intake-us5-datadoghq.com,Claude

# IP / ASN 兜底
IP-CIDR,160.79.104.0/21,Claude,no-resolve
IP-CIDR6,2607:6bc0::/32,Claude,no-resolve
IP-ASN,399358,Claude,no-resolve

Примечание: DOMAIN-SUFFIX уже охватывает все поддомены, перечислять их повторно не нужно. Два хоста приёма Datadog — отдельные регистрируемые домены, для них нужно точное совпадение. Добавьте no-resolve к правилам CIDR/ASN, чтобы пропустить обратный поиск и снизить затраты на сопоставление.

Проверка

После настройки проверьте этими инструментами, что трафик не уходит мимо: