API do Claude ganha lista de IPs: como proteger chave vazada
Uma chave da API do Claude esquecida num repositório público, num log de CI ou num .env enviado por engano funciona, até ser revogada, de qualquer lugar do mundo. Para reduzir esse risco, a Anthropic liberou em 5 de novembro de 2026, em beta, uma lista de IPs permitidos para a organização no Claude Console: pedidos vindos de endereços fora da lista são recusados.
$ ls ./neste-artigo
Resumo técnico: a lista vale para a organização inteira, aceita até 1.000 entradas IPv4 ou IPv6 (endereço único ou CIDR), só IPs públicos, e cobre Messages, Batches, Files, Models, Skills, Token Counting, Managed Agents e Admin API. Bedrock, Vertex AI e Foundry ficam de fora. Pedido bloqueado recebe HTTP 403 permission_error. Mudanças levam até 15 minutos para valer.
A documentação de IP allowlisting deixa claro o limite da ferramenta: ela restringe de onde a credencial funciona, não por quanto tempo. A recomendação oficial é combiná-la com expiração curta das chaves ou com Workload Identity Federation.
Inventário de saída antes de ligar a lista
A validação que o Console faz ao salvar confere só o seu IP atual. Servidores, colegas e pipelines não são testados, então o levantamento precisa vir antes:
- IPs públicos de saída dos servidores de produção e de staging (NAT gateway, não o IP privado da instância);
- runners de CI que chamam a API em testes ou deploys;
- escritórios e VPN corporativa, em IPv4 e IPv6;
- proxies e gateways de saída;
- workers de self-hosted sandboxes do Managed Agents, se houver;
- jobs agendados que rodam uma vez por dia ou por semana.
IPs residenciais e de rede móvel mudam sem aviso, por isso não servem como base para quem trabalha de casa. O caminho mais estável é forçar o tráfego para a API a sair pela VPN ou por um proxy com IP fixo.
Configuração no Console, do toggle ao Save
- Entre como admin ou owner da organização no Claude Console.
- Abra Identity and access (platform.claude.com/settings/identity).
- Ative o controle IP allowlist.
- Adicione as entradas: endereço único (203.0.113.5) ou faixa CIDR (203.0.113.0/24, 2001:db8::/32). O prefixo mais amplo aceito é /8 em IPv4 e /32 em IPv6.
- Marque Allow admins to access this settings page from any IP address se quiser uma porta de emergência para corrigir a lista de fora da rede.
- Clique em Save. Nada muda antes disso.
- Espere até 15 minutos e teste uma chamada real a partir de cada rede listada.
A opção do passo 5 tem custo: uma sessão de admin roubada também poderia alterar a lista de qualquer lugar. Em organizações com poucos admins e MFA forte, ela costuma compensar o risco de ficar trancado do lado de fora.
Endpoints dentro e fora da proteção
| Superfície | Coberta pela lista? |
|---|---|
| Interface do Claude Console | Sim |
| Messages, Message Batches, Token Counting, Models, Files, Skills | Sim (chave de API ou token WIF) |
| Managed Agents: Agents, Sessions, Environments, Vaults, Memory stores | Sim |
| Admin API e Compliance API (chave só desta organização) | Sim |
| Rede de execução dos agentes do Managed Agents | Não |
| Claude no Amazon Bedrock, Claude Platform on AWS, Vertex AI, Microsoft Foundry | Não |
Quem acessa o Claude por nuvem de terceiros precisa usar os controles de rede daquele provedor. A lista do Console também não substitui a do Claude Enterprise (claude.ai): as duas são configuradas em separado.
Erro 403 no CI: onde a configuração costuma falhar
O bloqueio aparece como HTTP 403, tipo permission_error, com a mensagem “Your IP address isn’t in this organization’s allowed range.” Três situações concentram os casos:
Runner hospedado com IP variável
Runners gerenciados de CI saem por faixas grandes e compartilhadas. Liberar essas faixas inteiras devolve a chave vazada a qualquer outro cliente do mesmo provedor. Prefira runner próprio ou saída por IP fixo. O mesmo dilema aparece quando a lógica é inversa, como na atualização dos IPs de webhooks do GitHub.
IPv6 esquecido
Servidores com pilha dupla podem sair por IPv6 mesmo que o time só tenha listado o IPv4. Verifique o endereço que a máquina realmente usa para chegar a api.anthropic.com.
Job semanal que ninguém lembra
A documentação pede atenção a 403 em tarefas que rodam só uma vez por dia ou por semana. Um relatório de segunda-feira pode quebrar seis dias depois de a lista entrar no ar. Um alerta para respostas 403 no monitoramento do pipeline resolve antes de alguém reclamar, e vale configurá-lo por rota, já que cada chamada bate num endereço diferente (veja como um endpoint de API é estruturado).
Trancado do lado de fora: a ordem de recuperação
- Conecte-se a uma rede listada (ou à VPN) e recarregue a página.
- Peça a outro admin que esteja numa rede liberada para adicionar o seu IP.
- Se a porta de emergência estiver marcada, use Open IP allowlist e clique em Add it para incluir o endereço atual, ou desligue a lista.
- Sem nenhum admin com acesso, só o suporte da Anthropic consegue desativar.
Beta em andamento: o que vigiar nas notas de versão
A Anthropic avisa que configurações e comportamento podem mudar durante o beta. A próxima ação para quem ativou a lista é acompanhar as notas de versão da plataforma Claude a cada atualização, em busca de mudanças em cobertura de endpoints, limites de entradas ou no formato do erro, e revisar os alertas de 403 depois de cada uma. Quem usa a Compliance API pode ainda consultar o Activity Feed, que registra toda alteração na lista.
