📘 תיעוד 106

הגדרת רשת ארגונית

הגדרת Claude Code לסביבות ארגוניות עם שרתי פרוקסי, רשויות אישורים (CA) מותאמות אישית, ואימות Transport Layer Security הדדי (mTLS).

Claude Code תומך בתצורות רשת ואבטחה ארגוניות שונות באמצעות משתני סביבה. זה כולל ניתוב תעבורה דרך שרתי פרוקסי ארגוניים, אמון ברשויות אישורים (CA) מותאמות אישית, ואימות עם אישורי Transport Layer Security הדדי (mTLS) לאבטחה מחוזקת.

הגדירו את משתני הסביבה האלה לפני שמפעילים את Claude Code. משתנים שמיוצאים במעטפת נקראים פעם אחת בהפעלה, ולכן סשן שרץ לא קולט שינויים מאוחרים יותר בסביבת המעטפת.

[!NOTE]

את כל משתני הסביבה שמופיעים בדף הזה אפשר להגדיר גם ב-settings.json.

#הגדרת פרוקסי

#משתני סביבה

Claude Code מכבד משתני סביבה סטנדרטיים של פרוקסי. בסשנים של Claude Desktop שבהם האפליקציה מנהלת את חיבור הספק, Claude Code קורא אותם רק מהגדרות מנוהלות ומ-~/.claude/settings.json. ראו אימות mTLS לכללי ההיקף.

# HTTPS proxy (recommended)
export HTTPS_PROXY=https://proxy.example.com:8080

# HTTP proxy (if HTTPS not available)
export HTTP_PROXY=http://proxy.example.com:8080

# Bypass proxy for specific requests - space-separated format
export NO_PROXY="localhost 192.168.1.1 example.com .example.com"
# Bypass proxy for specific requests - comma-separated format
export NO_PROXY="localhost,192.168.1.1,example.com,.example.com"
# Bypass proxy for all requests
export NO_PROXY="*"

גם וריאנטים באותיות קטנות עובדים, ו-Claude Code משתמש בראשון שמוגדר לפי הסדר https_proxy, HTTPS_PROXY, http_proxy, HTTP_PROXY.

Claude Code אף פעם לא שולח את חיבורי ה-WebSocket שלו אל localhost, ::1 או 127.0.0.0/8 דרך הפרוקסי, ולכן אין צורך ברשומת loopback ב-NO_PROXY עבורם.

[!NOTE]

Claude Code לא תומך בפרוקסי SOCKS.

#אימות בסיסי

אם הפרוקסי דורש אימות בסיסי, כללו פרטי גישה בכתובת הפרוקסי:

export HTTPS_PROXY=http://username:[email protected]:8080

[!WARNING]

הימנעו מהטמעת סיסמאות בקוד בסקריפטים. השתמשו במשתני סביבה או באחסון אישורים מאובטח.

[!TIP]

לפרוקסי שדורש אימות מתקדם (NTLM, Kerberos וכדומה), שקלו להשתמש בשירות LLM Gateway שתומך בשיטת האימות שלכם.

#מאגר אישורי CA

כברירת מחדל, Claude Code נותן אמון גם באישורי Mozilla CA הארוזים איתו וגם במאגר האישורים של מערכת ההפעלה. קריאה ממחסן מערכת ההפעלה דורשת סביבת ריצה עם tls.getCACertificates: המתקין המקורי תמיד כולל זאת, והתקנות npm צריכות את Node 22.15 או גרסה מאוחרת יותר. בגרסאות Node ישנות יותר חלים רק הסט הארוז ו-NODE_EXTRA_CA_CERTS. פרוקסי ארגוניים לבדיקת TLS עובדים בלי הגדרה נוספת כשאישור השורש שלהם מותקן במאגר האמון של מערכת ההפעלה וסביבת הריצה יכולה לקרוא אותו. אם פרוקסי כזה מטפל בצורה שגויה בגופי בקשות דחוסים ב-gzip, הגדירו את CLAUDE_CODE_GZIP_REQUEST_BODIES=0 כדי לכבות דחיסה לבקשות Claude API, טלמטריה ופרסום ארטיפקטים.

CLAUDE_CODE_CERT_STORE מקבל רשימה מופרדת בפסיקים של מקורות. הערכים המוכרים הם bundled לסט Mozilla CA שנשלח עם Claude Code, ו-system למאגר האמון של מערכת ההפעלה. ברירת המחדל היא bundled,system.

כדי לתת אמון רק בסט Mozilla CA הארוז:

export CLAUDE_CODE_CERT_STORE=bundled

כדי לתת אמון רק במאגר האישורים של מערכת ההפעלה:

export CLAUDE_CODE_CERT_STORE=system

[!NOTE]

ל-CLAUDE_CODE_CERT_STORE אין מפתח סכמה ייעודי ב-settings.json. הגדירו אותו דרך בלוק env ב-~/.claude/settings.json או ישירות בסביבת התהליך.

#אישורי CA מותאמים אישית

אם הסביבה הארגונית משתמשת ב-CA מותאם אישית, הגדירו את Claude Code לתת בו אמון ישירות:

export NODE_EXTRA_CA_CERTS=/path/to/ca-cert.pem

#אימות mTLS

לסביבות ארגוניות שדורשות אימות באישור לקוח:

# Client certificate for authentication
export CLAUDE_CODE_CLIENT_CERT=/path/to/client-cert.pem

# Client private key
export CLAUDE_CODE_CLIENT_KEY=/path/to/client-key.pem

# Optional: Passphrase for encrypted private key
export CLAUDE_CODE_CLIENT_KEY_PASSPHRASE="your-passphrase"

Claude Code קורא את קובצי האישור והמפתח בהפעלה, וקורא אותם מחדש בכל פעם שהוא מחיל הגדרות, למשל כשהארגון משנה את בלוק env ב-הגדרות מנוהלות באמצע הסשן.

כדי לסובב את האישור ואת המפתח, החליפו את הקבצים באותם נתיבים. Claude Code קולט את ההחלפה בסשן שרץ בלי הפעלה מחדש. כשבקשת API נכשלת עם שגיאה ברמת החיבור, כמו איפוס חיבור או שגיאת לחיצת יד של TLS, הוא קורא מחדש את שני הקבצים ומנסה שוב את הבקשה עם הזוג החדש. לפני v2.1.232, Claude Code לא קרא מחדש בשגיאות חיבור, ולכן שמר את הזוג שכבר נטען עד להחלה הבאה של הגדרות או עד להפעלה מחדש.

Claude Code קורא מחדש את הקבצים בתגובה לבקשות שנכשלו, ולא על ידי מעקב אחרי שינויים בהם:

• תזמון: Claude Code לא עושה דבר ברגע שמחליפים את הקבצים. הוא מציג את הזוג החדש בניסיון החוזר אחרי כשל מתאים, או בבקשה הבאה אחרי שהוא מחיל הגדרות, המוקדם מביניהם.
• דחיות של שער: Claude Code קורא מחדש כשהשער מאפס את החיבור או דוחה את לחיצת היד של TLS אחרי שהוא מפסיק לקבל את הזוג הישן. הוא לא קורא מחדש כשהשער משלים את לחיצת היד ועונה בשגיאת HTTP. במקרה הזה, Claude Code טוען את הזוג החדש כשהוא מחיל הגדרות בפעם הבאה או כשמפעילים אותו מחדש.
• רוטציות שנכתבו חלקית: כש-Claude Code קורא מחדש בזמן שהרוטציה באמצע כתיבה, למשל קריאה של אישור ומפתח שלא תואמים זה לזה, הוא שומר את הזוג הקודם וקורא מחדש בכשל הבא.
• מייצאי טלמטריה OTLP: Claude Code שומר את האישור שה-מייצאים טענו בשימוש הראשון, ולכן יש להפעיל מחדש את Claude Code כדי שאישור שסובב יגיע אל אספן הטלמטריה.
• כיבוי הטעינה מחדש: הגדירו את CLAUDE_CODE_DISABLE_MTLS_RELOAD_ON_STALE_CONNECTION=1 כדי לכבות את הקריאה מחדש בשגיאת חיבור. אז Claude Code קולט קבצים שסובבו רק כשהוא מחיל הגדרות בפעם הבאה או בהפעלה הבאה.

כדי לאשר ש-Claude Code קלט רוטציה, הפעילו את הסשן עם יומן דיבוג וחפשו ביומן את Stale connection , reloaded rotated mTLS client material. Claude Code לא רושם את השורה הזו כשהוא קולט את הרוטציה בזמן החלת הגדרות, ולכן היעדר השורה לבדו לא אומר שהרוטציה נכשלה.

החליפו את הקבצים לפני שתוקף הזוג הנוכחי פג, כדי ש-Claude Code לא יטען זוג שכבר פג תוקפו בהפעלה הבאה.

ב-סשנים בענן, סביבת האירוח מנהלת את החיבור אל ה-API, ולכן Claude Code מתעלם מהמשתנים הבאים כשהם מגיעים מבלוק env בקובץ הגדרות:

• CLAUDE_CODE_CLIENT_CERT
• CLAUDE_CODE_CLIENT_KEY
• CLAUDE_CODE_CLIENT_KEY_PASSPHRASE
• NODE_EXTRA_CA_CERTS
• NODE_TLS_REJECT_UNAUTHORIZED
• CLAUDE_CODE_OAUTH_SCOPES

Claude Code מציין כל מפתח שהתעלם ממנו ביומן הדיבוג של הסשן.

בסשנים של Claude Desktop שבהם האפליקציה מנהלת את חיבור הספק, כמו לשונית Code אצל ספק צד שלישי וסשני Cowork, Claude Code קורא את המשתנים האלה חוץ מ-CLAUDE_CODE_OAUTH_SCOPES, ואת משתני הפרוקסי HTTP_PROXY, HTTPS_PROXY ו-NO_PROXY, רק מ-הגדרות מנוהלות ומ-~/.claude/settings.json. הוא מתעלם מהם בקובצי ההגדרות של המאגר עצמו, ולכן מאגר שנמשך לא יכול להפנות את נתיב ה-TLS או הפרוקסי של סשן שהאישורים שלו מגיעים מהאפליקציה. לפני v2.1.217, Claude Code התעלם מהמשתנים האלה בכל קובץ הגדרות כשהאפליקציה ניהלה את החיבור.

בסשן לשונית Code מקומי, SSH או WSL שמחובר דרך claude.ai, אפשר להגדיר את המשתנים האלה ואת משתני הפרוקסי בכל קובץ הגדרות, חוץ מ-CLAUDE_CODE_OAUTH_SCOPES. Desktop מגדיר את CLAUDE_CODE_OAUTH_SCOPES בעצמו בסשני לשונית Code ו-Cowork, ולכן אי אפשר להגדיר אותו.

כשסביבת ההפעלה של הסשן כבר מגדירה משתנה, Claude Code מתעלם מהערך שבקובץ ההגדרות ומציין את המשתנה ב-יומן הדיבוג. כדי להשתמש בערך פרוקסי או אישור משלכם בסשן מקומי, הוסיפו אותו לסביבה מקומית שמורה. סשנים בענן פועלים לפי כללי סשן הענן שלמעלה, מכל מקום שמפעילים אותם.

#אימות התצורה

בדרך כלל מגלים כתובת פרוקסי שגויה או נתיב אישור לא תקין מתוך שגיאת חיבור או אישור בבקשה מאוחרת יותר, כי Claude Code לא מאמת את רוב ההגדרות האלה כשהוא קורא אותן. ההגדרה היחידה שהוא בודק בהפעלה היא כתובת הפרוקסי: כשהוא לא מצליח לפרש את הערך, למשל ערך בלי הסכמה http://, Claude Code עוצר את ההפעלה עם שגיאה שמציינת את המשתנה שצריך לתקן.

כדי לאשר שהתצורה נטענה לפני ששולחים בקשה, הפעילו את Claude Code עם יומן דיבוג:

claude --debug

פלט הדיבוג נכתב אל ~/.claude/debug/<session-id>.txt ולא אל הטרמינל, או אל נתיב שמגדירים עם --debug-file <path>. ביומן, חפשו את השורות שמאשרות שכל קובץ נטען:

CA certs: Appended extra certificates from NODE_EXTRA_CA_CERTS (/etc/ssl/certs/corp-ca.pem)
mTLS: Loaded client certificate from CLAUDE_CODE_CLIENT_CERT
mTLS: Loaded client key from CLAUDE_CODE_CLIENT_KEY

אם Claude Code לא מצליח לקרוא אחד מהקבצים האלה, היומן מציג שורת Failed to read או Failed to load עם הסיבה.

אפשר גם להריץ /status בסשן אינטראקטיבי ולבדוק את השורות האלה:

• Proxy: מציג את כתובת הפרוקסי הפעילה, ומסמן ערך שאי אפשר לפרש כלא תקין ומתעלם ממנו.
• mTLS client cert ו-mTLS client key: מופיעות רק כשהקבצים נטענו, ולכן שורה חסרה אומרת שהטעינה נכשלה ויומן הדיבוג כולל את הסיבה.
• Additional CA cert(s): מציג את הנתיב של NODE_EXTRA_CA_CERTS בלי לבדוק שהקובץ נטען, ולכן אשרו את זה ביומן הדיבוג.

#החלת הגדרות רשת על סוכני רקע

סוכני רקע לא רצים בתוך הטרמינל ששיגר אותם. תהליך מפקח לכל משתמש מופעל לפי דרישה, ממשיך לחיות אחרי המעטפת, ומארח כל סשן claude agents, --bg ו-/background. ראו איך מתארחים סשני רקע. זה משנה את האופן שבו התצורה בדף הזה מגיעה אל הסשנים האלה.

#הגדרת משתני רשת בהגדרות ולא במעטפת

המפקח הוא תהליך אחד שמשותף לכל טרמינל. הוא יורש את הסביבה של המעטפת שמפעילה אותו ראשונה. אם מייצאים פרוקסי, נתיב CA או משתנה mTLS רק במעטפת, זה מגיע אל סוכני הרקע כשאותה מעטפת במקרה הפעילה את המפקח בהפעלה קרה, ובשקט לא מגיע כשמעטפת אחרת עשתה זאת.

שימו את אותם משתנים בבלוק env של ~/.claude/settings.json או ב-הגדרות מנוהלות. כל משתנה בדף הזה אפשר להגדיר שם, וההגדרות הן התצורה היחידה שמגיעה אל כל סשן רקע בכל מכונה.

#הגדרת משגר ארגוני כהגדרה

חלק מהארגונים דורשים שכל תהליך Claude Code יופעל דרך משגר ארגוני שמחיל ארגז חול, בקרות רשת או הזרקת אישורים. המפקח והעובדים שלו מפעילים את Claude Code מנתיב קבוע ולא על ידי חיפוש claude ב-PATH, ולכן כל סוכן רקע עוקף מעטפת שמניחים מוקדם יותר ב-PATH.

הגדירו את ההגדרה processWrapper כדי להוסיף קידומת של המשגר למפקח, לעובדים שלו ולשאר תהליכי הרקע שמופיעים תחת מה המשגר מכסה. משתנה הסביבה המקביל CLAUDE_CODE_PROCESS_WRAPPER גובר כששניהם מוגדרים, והוא כפוף לאותו כלל: העבירו אותו דרך הגדרות מנוהלות או ~/.claude/settings.json, לא דרך ייצוא במעטפת. הרצת Claude Code מאחורי משגר ארגוני מכסה את החוזה שהמשגר חייב לקיים, למה הוא מגיע ולמה הוא לא מגיע, ואיך לפרוס אותו.

[!NOTE]

מפקח שכבר רץ שומר את תצורת ההפעלה שאיתה התחיל. אחרי פריסת הגדרת המשגר, הריצו claude daemon stop --any כדי שהפעלה הבאה של claude agents או --bg תתחיל מפקח שמכבד אותה.

#שומרי סף של חוסר פעילות בזרימה

Claude Code מריץ ארבעה טיימרים עצמאיים שמפסיקים תשובת מודל בזרימה כשהיא משתתקת, כך שחיבור מת נכשל ומנסה שוב במקום להיתקע. בקשה שלא מקבלת כותרות תשובה בכלל מסתיימת באחת משתי דרכים:

• היכן שמועד הבייט הראשון רץ: הניסיון הראשון מסתיים לא יאוחר מהמועד הזה. כדי לשנות אותו, הגדירו את CLAUDE_STREAM_FIRST_BYTE_TIMEOUT_MS. להמתנה של הניסיון החוזר, ראו אין תשובה מה-API.
• בחיבורים האחרים: הבקשה מסתיימת אחרי 5 עד 6 דקות, כשפסק הזמן של חוסר פעילות הגוף מופעל, אלא אם כיביתם את פסק הזמן הזה. כדי לסיים את הבקשה מוקדם יותר, הורידו את API_TIMEOUT_MS. בסשן של שער יישומי Claude, אפשר במקום זאת לסיים את הניסיון הראשון מוקדם יותר על ידי הפעלת מועד הבייט הראשון.

אם מגדירים CLAUDE_ENABLE_BYTE_WATCHDOG_BEDROCK=1, שומר הסף ברמת בתים מחליף את פסק הזמן של חוסר פעילות הגוף על Bedrock במקום לרוץ לצדו. CLAUDE_STREAM_IDLE_TIMEOUT_MS קובע אז גם כמה זמן זרם של Bedrock רשאי להישאר שקט לפני ש-Claude Code מתייחס לחיבור כמת, בתוך המגבלות שמפורטות למטה. בתים שמגיעים עדיין לא מאפסים את שומר הסף ברמת אירוע על Bedrock. כשרישום debug פועל, כל זרם של Bedrock רושם אז הודעת debug שמתחילה ב-wire-heartbeat: _chunkTimes absent.

הגדירו את הטיימרים עם המשתנים האלה, שכל אחד מהם מפורט במדריך משתני הסביבה:

• CLAUDE_ENABLE_STREAM_WATCHDOG ו-CLAUDE_ENABLE_BYTE_WATCHDOG כופים את שומר הסף המתאים לפעול עם 1 או לכבות עם 0, בתוך החיבורים שהטבלה מפרטת. אף אחד מהמשתנים לא מרחיב שומר סף לסוג חיבור שהוא לא מכסה. CLAUDE_ENABLE_BYTE_WATCHDOG שמוגדר ל-0 מכבה גם את מועד הבייט הראשון.
• CLAUDE_STREAM_IDLE_TIMEOUT_MS קובע את פסק הזמן של שני שומרי הסף. Claude Code מעלה ערכים שמתחת ל-5 דקות ל-5 דקות, ומגביל את הערך ל-30 דקות עבור שומר הסף ברמת בתים.
• CLAUDE_BYTE_STREAM_IDLE_TIMEOUT_MS קובע את פסק הזמן של שומר הסף ברמת בתים בלי לשנות את זה של שומר הסף ברמת אירוע, מוגבל לטווח שבין 10 שניות ל-30 דקות, וגובר על CLAUDE_STREAM_IDLE_TIMEOUT_MS עבור שומר הסף הזה.
• CLAUDE_STREAM_FIRST_BYTE_TIMEOUT_MS קובע את מועד הבייט הראשון. בסשן של שער יישומי Claude, הגדירו את המשתנה הזה כדי להפעיל את המועד. אם משאירים את המשתנה לא מוגדר בחיבור אחר שבו המועד רץ, Claude Code משתמש בפסק הזמן של שומר הסף ברמת בתים, כך ש-CLAUDE_STREAM_IDLE_TIMEOUT_MS ו-CLAUDE_BYTE_STREAM_IDLE_TIMEOUT_MS משנים גם את המועד. למגבלות על הערך, ראו אין תשובה מה-API.
• API_TIMEOUT_MS מגביל את ההמתנה לכותרות התשובה, לא את משך הזרימה של תשובה אחריהן. היכן שמועד הבייט הראשון לא רץ, הגדירו את API_TIMEOUT_MS לערך חיובי מתחת ל-300000 כדי לנסות שוב בקשה שלא נענתה בפחות מ-5 דקות. השאירו את API_TIMEOUT_MS מעל ההמתנה הארוכה ביותר לכותרות, ומעל הבקשה שאינה בזרימה הארוכה ביותר, שאתם מצפים לה: בקשה שצריכה זמן ארוך יותר מגיעה שוב לפסק זמן בכל ניסיון חוזר.
• API_FORCE_IDLE_TIMEOUT שמוגדר ל-0 מכבה את פסק הזמן של חוסר פעילות הגוף, ומוגדר ל-1 מפעיל אותו עבור כל ספק. שומרי הסף רצים בנפרד ממנו, כך כדי לאפשר לזרם לעצור זמן ארוך יותר מהסף שלהם, העלו גם אותם או השביתו אותם.

כששומר סף מפסיק זרם שנתקע, Claude Code מתייחס להפסקה ככשל באמצע הזרימה, ומה שרואים תלוי עד לאן התשובה הגיעה. Claude Code מנסה את הבקשה שוב או מסיים את התור עם שגיאה, שומר את הפלט שהושלם ומציג הודעה על תשובה לא שלמה, או מסיים את התור כרגיל. ניסיונות חוזרים אוטומטיים מציין היכן כל תוצאה חלה.

בסשן לא אינטראקטיבי, ולתשובה של סוכן משנה בכל סשן, Claude Code עשוי קודם לבקש מ-Claude להמשיך את התשובה שנקטעה. הרשומה של ההודעה הזו מציינת מתי הוא עושה זאת ומתי עדיין רואים את ההודעה.

כשמועד הבייט הראשון מופעל, שום תשובה לא התחילה, ולכן אין פלט חלקי לשמור. לאופן שבו Claude Code שולח את הבקשה מחדש ומתי התור מסתיים במקום זאת, ראו אין תשובה מה-API.

#דרישות גישה לרשת

Claude Code דורש גישה לכתובות ה-URL הבאות. הוסיפו אותן לרשימת ההיתרים בתצורת ה-proxy וכללי חומת האש, במיוחד בסביבות מכולה או ברשת מוגבלת. בדיקת הקישוריות של ההגדרה בהרצה הראשונה מפנה לכאן כשהיא לא מצליחה להגיע אל api.anthropic.com או אל platform.claude.com. ראו Unable to connect to Anthropic services להודעות הבדיקה ולשלבי השחזור.

אם מתקינים את Claude Code דרך npm או מנהלים הפצה בינארית משלכם, משתמשי הקצה לא צריכים את השימושים של המתקין המקורי והעדכון האוטומטי ב-downloads.claude.ai, אבל התקנות npm ו-bun צריכות את מרשם החבילות שלהן, registry.npmjs.org, אלא אם הארגון משקף אותו. שאר השימושים בטבלה חלים בלי קשר לשיטת ההתקנה.

שני מארחי הקליטה של Datadog נושאים רק telemetry תפעולית אופציונלית, והגדרת CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC משביתה את שניהם. סשנים אצל ספקים של צד שלישי אף פעם לא שולחים למארחים האלה, גם כשפלטפורמה מגדירה CLAUDE_CODE_PROVIDER_MANAGED_BY_HOST ומדדי telemetry מופעלים כברירת מחדל. ראו Telemetry services לכל מה ש-Claude Code שולח ולאופן ההשבתה לפני שמסיימים את רשימת ההיתרים.

#ניתוב ספק ענן ושער LLM

כשמשתמשים ב-Amazon Bedrock, ב-Agent Platform של Google Cloud, ב-Microsoft Foundry, או בסשן מחובר של שער יישומי Claude, תעבורת המודל והאימות הולכים לספק או לשער שלכם במקום אל api.anthropic.com, claude.ai, או platform.claude.com. כלי WebFetch עדיין קורא אל api.anthropic.com עבור בדיקת בטיחות הדומיין שלו, אלא אם מגדירים skipWebFetchPreflight: true ב-הגדרות.

אם המפתחים שלכם משתמשים ב-מצב מהיר מאחורי שער LLM שמוגדר עם ANTHROPIC_BASE_URL, השאירו את api.anthropic.com נגיש דרך ה-proxy שלכם. כש-Claude Code שולח את בדיקת הזמינות של המצב המהיר, היא הולכת למארח הזה דרך כל HTTP proxy מוגדר, ואף פעם לא אל השער. לגבי מתי הבדיקה לא נשלחת, והמשתנה שמחזיר את המצב המהיר בכל מקרה, ראו Use fast mode behind proxies and LLM gateways.

#רשימות היתר IP של הארגון ויציאת proxy

אם לארגון יש התרת IP מופעלת עבור Claude, נתבו את bridge.claudeusercontent.com דרך אותה יציאת proxy כמו claude.ai ו-api.anthropic.com, למשל על ידי מיקום באותו מקטע יישום של Zscaler או במדיניות steering של Netskope. אם אי אפשר לנתב אותו כך, הוסיפו את כתובת היציאה שה-proxy שלכם משתמש בה עבור המארח הזה לרשימת היתר ה-IP של הארגון, אבל רק כשהכתובת הזו ייעודית לארגון שלכם: טווח יציאה משותף של proxy מכניס גם לקוחות אחרים של ספק ה-proxy.

Anthropic בודקת חיבורים אל bridge.claudeusercontent.com מול רשימת היתר ה-IP של הארגון לפי הכתובת שממנה הם מגיעים. אם ה-proxy שולח תעבורה עבור המארח הזה החוצה דרך כתובת שאינה ברשימת ההיתרים הזו, Claude Code לא יכול להתחבר להרחבה Claude in Chrome גם כששאר Claude Code עובד.

#רשימות היתר וחומות אש של GitHub

סשני ענן בסביבות שמתארחות אצל Anthropic ו-Code Review מתחברים למאגרים שלכם מתשתית שמנוהלת על ידי Anthropic. סשנים בסביבה באירוח עצמי מתחברים מתוך הרשת שלכם, אלא אם ה-runner בוחר להצטרף ל-proxy של git של Anthropic, ששולף מצד Anthropic.

אם ארגון GitHub Enterprise Cloud מגביל גישה לפי כתובת IP, הפעילו הורשת רשימת היתר IP עבור GitHub Apps מותקנים וגם הוסיפו רשומת רשימת היתר עבור כתובות ה-IP היוצאות של Anthropic. ההורשה מכסה רק את הבקשות ש-Claude GitHub App מבצע כהתקנה, לא את הבקשות שהוא מבצע בשם המשתמשים שלכם. עבור חומות אש אחרות, ראו את כתובות ה-IP של Anthropic API.

עבור מופעי GitHub Enterprise Server באירוח עצמי מאחורי חומת אש, הוסיפו לרשימת ההיתרים את כתובות ה-IP היוצאות של Anthropic כדי שתשתית Anthropic תוכל להגיע למארח GHES שלכם כדי לשכפל מאגרים ולפרסם הערות סקירה. סשנים בסביבה באירוח עצמי מגיעים למארח GHES שלכם מתוך הרשת שלכם במקום זאת, ולכן החשיפה הזו חלה רק על סשנים שמתארחים אצל Anthropic, על זרימות מתארחות שלפני הסשן כגון בוחר המאגר, ועל runners באירוח עצמי שבוחרים להצטרף ל-proxy של git של Anthropic, ששולף מצד Anthropic. מחבר SCM אינו זמין, ולכן הזרימות המתארחות שלפני הסשן לא יכולות להגיע למארח GHES שניתן לנתב אליו רק מתוך הרשת שלכם.

#Desktop ו-claude.ai

הטבלה שלפני כן מכסה את ה-CLI העצמאי. יישום Claude Desktop ו-claude.ai בדפדפן טוענים את קוד היישום ואת תוכן המשתמש ממארחי CDN נוספים של Anthropic, כולל assets-proxy.anthropic.com ומקורות *.claudeusercontent.com האחרים שמגישים artifacts ביישומים האלה. התרת claude.ai תוך חסימת המארחים האלה מפיקה דף ריק ולא שגיאה. ראו network access requirements בדף Desktop.

Claude Desktop ו-claude.ai גם מציגים חלק מתוצאות הכלים בתוך שיחה כווידג'טים אינטראקטיביים, כגון MCP Apps שחלק מהמחברים מספקים. הווידג'טים האלה נטענים מתת-דומיינים שנוצרים של claudemcpcontent.com, ולכן התרת *.claudemcpcontent.com עם התו הכללי שלם. אם חוסמים אותו, שאר היישום ממשיך לעבוד, אבל הווידג'טים האלה לא נטענים.

#מארחי צד שלישי לגופנים ולספריות של artifact

artifact שטוען גופן מ-Google Fonts מבקש גם את fonts.googleapis.com ואת fonts.gstatic.com. שני המארחים אופציונליים. אם חוסמים אותם, artifacts מוצגים בגופני גיבוי. חסמו עם דחייה מהירה ולא עם השמטה שקטה, כדי שבקשת הגופן תיכשל מיד במקום לעכב את הרינדור הראשון של הדף.

Artifacts יכולים גם לטעון ספריות JavaScript, כגון React או חבילת תרשימים, מ-cdnjs.cloudflare.com, cdn.jsdelivr.net, cdn.tailwindcss.com, code.jquery.com, ו-unpkg.com, ומאף מארח חיצוני אחר. אם חוסמים את המארחים האלה, החלקים של artifact שתלויים בספרייה לא עובדים, ובניגוד לגופן חסום, לספרייה חסומה אין גיבוי. חסמו גם כאן עם דחייה מהירה, כדי שבקשת ספרייה חסומה תיכשל מיד במקום להיתלות עד פסק זמן.

#משאבים נוספים

• Settings files and precedence
• Environment variables reference
• Troubleshooting guide