Referencia de resultados de Security posture

Este endpoint devuelve una entrada para la mayoría de los controles de seguridad de una organización, evaluados en el momento de la solicitud, con la atestación de Security posture que la respuesta muestra para cada control. Necesitas una Compliance Access Key que cubra la organización, con el alcance read:compliance_org_data o read:org_audit; Disponibilidad de Security posture indica qué organizaciones se pueden leer.

Solicitud

Envía una solicitud GET a /v1/compliance/organizations/{organization_id}/security_posture. Cada llamada lee una organización, y la respuesta no está paginada.

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

Respuesta

El siguiente ejemplo abreviado muestra cuatro de los controles que puede contener una respuesta. Es la respuesta a una clave que tiene read:compliance_org_data y read:compliance_user_data.

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

Todos los campos están siempre presentes, y un campo sin valor es null, nunca se omite. Una marca de tiempo tiene cero o seis dígitos fraccionarios, así que compara las marcas de tiempo como marcas de tiempo, no como cadenas.

Campos de nivel superior

Campos de controls[]

section es uno de los siguientes valores: identity_access, data_privacy, capabilities, connectors_integrations, chats_desktop_mdm, cowork_admin_console, cowork_desktop_mdm, claude_code_admin_console, claude_code_managed_settings y healthy_adoption.

Para comparar valores en código, busca setting_name en la configuración efectiva de la misma organización. Es posible que la búsqueda no encuentre nada, y dos controles pueden compartir un mismo setting_name.

Campos de attestation

Campos de attested_by

Valores de estado

status indica el motivo del resultado de un control, y cada estado tiene un único rating.

Ningún campo indica el tipo de control; para failed, un current_value null indica un control manual. Se pueden agregar más valores, así que cuenta un control con un status desconocido según su rating, y no cuentes un rating desconocido como Superado. El estado review y la situación de la atestación review_due no están relacionados.

Situaciones de la atestación

state indica si la atestación que la respuesta muestra está vigente.

Cuando se aplica más de un motivo, la respuesta da el primero de check_passing, setting_changed y review_due. A partir de las 00:00 UTC de su fecha de finalización, una atestación no está vigente. La respuesta no incluye la fecha de finalización, así que decide state; una fecha de finalización que se haya guardado es el review_date de la actividad de la atestación. Considera que un state desconocido no está vigente.

Cómo aparece una atestación en la respuesta

La respuesta muestra algunas atestaciones y omite otras, así que un attestation null no demuestra que nadie hizo la atestación.

Cada fila, salvo las dos últimas, se aplica mientras la atestación está vigente. En un control automático, una atestación no está vigente mientras el valor que lee la verificación difiera de aquel con el que se guardó la atestación. Toda atestación que la respuesta muestra en un control automático es un riesgo aceptado. El Activity Feed también registra las atestaciones de los tipos que la respuesta omite.

Contar resultados

Comprueba cuatro cosas cuando cuentes controles por rating.

Quién hizo la atestación, y comentarios

attested_by se completa solo para una clave que tiene read:compliance_user_data junto con read:compliance_org_data, o que tiene read:org_audit. Una clave que solo tiene read:compliance_user_data recibe un 403. El user_id de attested_by es el mismo que el user_id del actor en la actividad de atestación. attested_by contiene solo el ID de usuario: Listar usuarios de la organización proporciona el nombre y la dirección de correo electrónico de cada miembro actual. Antes de agregar estos alcances, consulta Quién puede ver quién atestó.

El endpoint no devuelve comentarios, aunque la página Security posture muestre uno: todos los comment son null, y comments_status es not_enabled o not_permitted. Así que not_enabled y un comentario null no significan que la atestación no tenga comentario. comments_status indica cómo interpretar un comentario null, y el esquema define estos valores.

Se pueden agregar más valores; interpreta uno desconocido como unavailable.

Errores

Los errores usan el mismo cuerpo que el resto de la Compliance API; esta tabla enumera los que este endpoint devuelve a su manera.

Causas de un 404:

• organization_id no es un UUID, no corresponde a ninguna organización o corresponde a una organización eliminada.
• organization_id corresponde a la organización principal, a una organización que depende de otra organización principal, o a una organización que una clave de una sola organización no cubre.
• La organización no está en Claude Enterprise, o Security posture no está disponible para ella, como ocurre con una organización de Claude Console.
• Se ha desactivado la página Security posture para la organización (consulta Disponibilidad de Security posture).
• Security posture está disponible para la organización, pero el endpoint no la atiende.
• No se pudo comprobar la disponibilidad; una solicitud posterior puede tener éxito.

Todos los 404 tienen el mismo cuerpo, al igual que una ruta que no existe.

Actualidad y efectos secundarios

El endpoint evalúa todos los controles cuando lo llamas, y evaluated_at es ese momento.

• Es posible que no aparezca un cambio de los últimos minutos.
• Un resultado puede cambiar sin que cambie ninguna configuración, por ejemplo cuando llega una fecha de finalización o Anthropic cambia un valor recomendado.
• Si Anthropic cambia la redacción de un valor actual, un riesgo aceptado sobre ese valor deja de estar vigente.
• Una llamada no almacena ningún resultado ni hace que ninguna atestación deje de estar vigente.
• Cada solicitud sin parámetro de consulta que pasa las comprobaciones de clave, alcance y versión registra una actividad compliance_api_accessed, tanto si tiene éxito como si falla; su url indica la organización leída, y organization_uuid es null para una clave de la organización principal.