Claude Platform Docs
AdministraciónAutenticación

Lista de direcciones IP permitidas

Protege tu organización limitando el acceso a direcciones IP específicas en las que confías.

La “IP allowlisting” (lista de direcciones IP permitidas) protege tu organización al permitir solo que las solicitudes cubiertas provengan de rangos de IP específicos. Esto significa que, si se filtra una clave de API, es mucho más difícil para un atacante usar la clave. Esto puede prevenir filtraciones de datos y reducir la probabilidad de que se te cobre por un uso abusivo.

Una lista de permitidos limita dónde funciona una clave, pero no durante cuánto tiempo. También deberías establecer una expiración de clave corta, o cambiar a Workload Identity Federation para dejar de usar claves estáticas. Esto es más seguro que usar solo la lista de permitidos.

Cómo funciona

Un administrador o propietario de la organización configura una lista de rangos de IP en la configuración. Esta lista de rangos cubre toda tu organización. Para cada solicitud cubierta, Anthropic compara la dirección IP pública de la solicitud con tu lista y la rechaza si no está permitida.

  • Las solicitudes de API a endpoints cubiertos desde una dirección fuera de la lista se rechazan. Por ejemplo, la Messages API devuelve un 403 permission_error con el mensaje Your IP address isn't in this organization's allowed range.
  • Las personas que se conectan desde una dirección no permitida ven una página titulada Your current network can’t access this organization. Los administradores de la organización también quedan bloqueados, pero opcionalmente puedes darles a los administradores una forma de volver a entrar para evitar el bloqueo, en cuyo caso solo pueden acceder a la configuración de la lista de permitidos.

Organizaciones de Claude Platform

Dónde se aplica la lista de permitidos

Consulta también Limitaciones.

Organizaciones de Claude Enterprise

Una organización de Claude Enterprise tiene su propia lista de direcciones IP permitidas, que solo permite el acceso a las aplicaciones que cubre desde rangos de IP específicos. Esto significa que, si se roba el inicio de sesión de un usuario, es mucho más difícil para un atacante usarlo. Esta lista cubre toda tu organización, incluidos los propietarios. Los propietarios y los propietarios principales pueden configurarla. Antes de activar la lista de permitidos, lee Evita bloquear tu propio acceso.

Aplicaciones que cubre la lista de permitidos

Los usuarios fuera de la lista pierden el acceso a tu organización en:

  • Claude en un navegador, las aplicaciones de escritorio y las aplicaciones móviles
  • Claude Code, cuando los usuarios inician sesión con su cuenta de Claude
  • Claude in Chrome, los complementos de Office, Cowork y Remote Tools

Esto incluye los conectores y los artefactos en estas aplicaciones, excepto los artefactos que un usuario compartió fuera de la organización. Para Claude Science, consulta Identity and access en los controles de administración de Claude Science.

La lista de permitidos también cubre la Admin API y la Compliance API, con una clave que cubra solo esta organización.

Consulta también Limitaciones.

Qué pueden esperar los usuarios

En la web y en las aplicaciones de escritorio, los usuarios bloqueados ven una página titulada Your current network can’t access this organization. Los propietarios también quedan bloqueados, pero opcionalmente puedes darles a los propietarios una forma de volver a entrar para evitar el bloqueo, en cuyo caso solo pueden acceder a la configuración de la lista de permitidos. En Claude Code, los usuarios bloqueados ven un error 403 de la API con el mensaje Your IP address isn't in this organization's allowed range.

  • Otras cuentas: Los usuarios bloqueados aún pueden iniciar sesión y usar otras organizaciones o una cuenta personal.
  • Usuarios remotos: Los teléfonos con datos móviles, el Wi-Fi doméstico y las laptops fuera de la VPN quedan bloqueados hasta que se conecten a través de una red incluida en la lista.
  • Proxies: Algunas funciones se conectan a través de bridge.claudeusercontent.com: Claude in Chrome, Cowork, Remote Tools y el trabajo entre aplicaciones en los complementos de Office. Si tu proxy envía el tráfico de ese host a través de una dirección distinta de la de claude.ai y api.anthropic.com, incluye también esa dirección en la lista.

Limitaciones

  • Claude Platform: La lista de permitidos cubre las solicitudes a los endpoints de Claude Managed Agents, no a los agentes en sí. No se aplica a ninguna conexión de red en el entorno de ejecución de Claude Managed Agents. La lista de permitidos no se aplica a Claude en Amazon Bedrock, Claude Platform on AWS, Claude Models on Google Cloud ni Claude en Microsoft Foundry.
  • Claude Enterprise: Claude Design, Claude in Slack y Claude Academy no están cubiertos. Si Claude está trabajando en una tarea en un chat cuando se bloquea a un usuario, la tarea puede continuar hasta por 24 horas. El usuario no puede abrir ni controlar ese chat desde fuera de la lista.

Activa la lista de permitidos

  1. Activa el interruptor

    Ve a la página de configuración de tu organización:

    Activa el interruptor IP allowlist. Nada cambia hasta que guardes.

  2. Agrega tus rangos y guarda

    Haz clic en Add entry (Claude Console) o Add IP range (claude.ai), ingresa una o más direcciones o rangos separados por comas y presiona Enter. Incluye cada red desde la que se conectan tus servidores, tu CI y tus usuarios, incluida aquella desde la que te estás conectando. Anthropic recomienda asegurarte de que la casilla Allow admins to access this settings page from any IP address (Claude Console) o Allow owners to access this settings page from any IP address (claude.ai) esté seleccionada para evitar el bloqueo. Luego haz clic en Save y confirma.

  3. Revisa tu tráfico

    Los cambios pueden tardar hasta 15 minutos en aplicarse. Vigila tus aplicaciones para detectar respuestas 403 permission_error, incluidos los trabajos que se ejecutan solo a diario o semanalmente, y agrega cualquier dirección que hayas omitido. En una organización de Claude Enterprise, pide a los usuarios de cada red que confirmen que aún pueden abrir Claude. Allí, los cambios pueden tardar más en llegar a las conexiones que ya están abiertas, los complementos de Office y Remote Tools.

Formato de las entradas

  • Formato: Puedes incluir en la lista direcciones IPv4 o IPv6. Cada entrada puede ser una sola dirección (203.0.113.5) o un rango CIDR (203.0.113.0/24, 2001:db8::/32) no más amplio que /8 para IPv4 o /32 para IPv6. La lista admite hasta 1,000 entradas.
  • Solo direcciones públicas: Incluye las direcciones desde las que tu tráfico sale de tu red, no rangos privados como 10.0.0.0/8. Si agregas la dirección de un proxy compartido, ten en cuenta que un atacante con una clave filtrada o un inicio de sesión robado podría usarlos a través del proxy.

Evita bloquear tu propio acceso

Cuando guardas, la página de configuración verifica tu dirección actual con la lista para asegurarse de que no estés a punto de bloquear tu propio acceso. Pero no verifica tus servidores, tus compañeros de equipo ni la dirección desde la que podrías conectarte mañana.

  • Asegúrate de incluir primero todas las redes: Incluye centros de datos, sistemas de CI, oficinas, VPN, proxies y los workers de cualquier sandbox autoalojado, con sus direcciones públicas IPv4 e IPv6. Ten en cuenta que las direcciones domésticas y móviles a menudo pueden cambiar sin previo aviso.
  • Mantén una forma de volver a entrar: Anthropic recomienda seleccionar la casilla Allow admins to access this settings page from any IP address (Claude Console) o Allow owners to access this settings page from any IP address (claude.ai). Así, un administrador (un propietario en claude.ai) puede corregir la lista desde cualquier lugar. La desventaja es que un atacante que comprometa la sesión de un administrador o de un propietario podría actualizar la lista de permitidos desde una ubicación remota. Si configuras la Compliance API para tu organización, su Activity Feed registra los cambios en la lista de permitidos, para que puedas auditarlos.

Si quedaste bloqueado

En una organización de Claude Enterprise, los administradores no pueden cambiar la lista, por lo que “administrador o propietario” en estos pasos significa un propietario o un propietario principal.

  1. Vuelve a conectarte desde una red incluida en la lista: Conéctate a la red de tu oficina o a tu VPN y luego haz clic en Try again. Si no hay un botón Try again, recarga la página.
  2. Pídeselo a otro administrador o propietario: Un administrador o propietario en una red incluida en la lista puede agregar tu dirección.
  3. Corrige la lista desde donde estás: Si eres administrador o propietario y la casilla de Mantén una forma de volver a entrar está seleccionada, abre la Claude Console o Claude en un navegador y haz clic en Open IP allowlist, o ve a la página Identity and access (Organization and access en claude.ai). Haz clic en Add it para agregar tu dirección actual, o desactiva la lista de permitidos, y luego haz clic en Save y confirma. El acceso puede tardar hasta 15 minutos en restablecerse.
  4. Contacta a Anthropic: Si ningún administrador ni propietario puede acceder a la página, pide al soporte de Anthropic que desactive la lista de permitidos.

¿Te resultó útil esta página?