Référence des résultats de Security posture

Ce point de terminaison renvoie une entrée pour la plupart des contrôles de sécurité d’une organisation, évalués au moment de la requête, avec l’attestation Security posture que la réponse présente pour chaque contrôle. Vous avez besoin d’une Compliance Access Key qui couvre l’organisation, avec la portée read:compliance_org_data ou read:org_audit ; la section Disponibilité de Security posture précise quelles organisations peuvent être lues.

Requête

Envoyez une requête GET à /v1/compliance/organizations/{organization_id}/security_posture. Chaque appel lit une organisation, et la réponse n’est pas paginée.

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

Réponse

L’exemple abrégé suivant présente quatre des contrôles qu’une réponse peut contenir. Il s’agit de la réponse à une clé qui détient read:compliance_org_data et read:compliance_user_data.

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

Chaque champ est toujours présent, et un champ sans valeur vaut null, il n’est jamais omis. Une heure n’a aucun chiffre fractionnaire ou en a six ; comparez donc les heures en tant qu’heures, et non en tant que chaînes.

Champs de premier niveau

Champs de controls[]

section est l’une des valeurs identity_access, data_privacy, capabilities, connectors_integrations, chats_desktop_mdm, cowork_admin_console, cowork_desktop_mdm, claude_code_admin_console, claude_code_managed_settings et healthy_adoption.

Pour comparer des valeurs dans du code, recherchez setting_name dans les paramètres effectifs de la même organisation. La recherche peut ne rien trouver, et deux contrôles peuvent partager un même setting_name.

Champs de attestation

Champs de attested_by

Valeurs de statut

status donne la raison du résultat d’un contrôle, et chaque statut a un seul rating.

Aucun champ ne nomme le type de contrôle ; pour failed, un current_value à null identifie un contrôle manuel. D’autres valeurs peuvent être ajoutées ; comptez donc un contrôle dont le status est inconnu selon son rating, et partez du principe qu’un rating inconnu n’est pas considéré comme Réussi. Le statut review et l’état de l’attestation review_due ne sont pas liés.

États de l’attestation

state indique si l’attestation que la réponse présente est en vigueur.

Lorsque plus d’une raison s’applique, la réponse donne la première de check_passing, setting_changed et review_due. À partir de 00:00 UTC à sa date de fin, une attestation n’est pas en vigueur. La réponse ne comporte pas de date de fin, c’est donc state qui décide ; une date de fin qui a été enregistrée est le review_date de l’activité d’attestation. Partez du principe qu’un state inconnu n’est pas en vigueur.

Comment une attestation apparaît dans la réponse

La réponse présente certaines attestations et en omet d’autres ; un attestation à null ne prouve donc pas que personne n’a attesté.

Chaque ligne, sauf les deux dernières, s’applique tant que l’attestation est en vigueur. Sur un contrôle automatique, une attestation n’est pas en vigueur tant que la valeur que lit la vérification diffère de celle sur laquelle l’attestation a été enregistrée. Chaque attestation que la réponse présente sur un contrôle automatique est un risque accepté. Le flux d’activité enregistre également les attestations des types que la réponse omet.

Compter les résultats

Vérifiez quatre points lorsque vous comptez les contrôles par rating.

Qui a attesté, et commentaires

attested_by n’est renseigné que pour une clé qui détient read:compliance_user_data conjointement avec read:compliance_org_data, ou qui détient read:org_audit. Une clé ne détenant que read:compliance_user_data reçoit une erreur 403. Le user_id dans attested_by est le même que le user_id de l’actor sur l’activité d’attestation. attested_by ne contient que l’identifiant utilisateur : Lister les utilisateurs d’une organisation fournit le nom et l’adresse e-mail de chaque membre actuel. Avant d’ajouter ces portées, consultez Qui peut voir qui a attesté.

Le point de terminaison ne renvoie aucun commentaire, même lorsque la page Security posture en affiche un : chaque comment vaut null, et comments_status vaut not_enabled ou not_permitted. Ainsi, not_enabled et un commentaire à null ne signifient pas que l’attestation n’a pas de commentaire. comments_status indique comment interpréter un commentaire à null, et le schéma définit ces valeurs.

D’autres valeurs peuvent être ajoutées ; considérez une valeur inconnue comme unavailable.

Erreurs

Les erreurs utilisent le même corps que le reste de la Compliance API ; ce tableau liste celles que ce point de terminaison renvoie à sa manière.

Causes d’une erreur 404 :

• organization_id n’est pas un UUID, ne nomme aucune organisation, ou nomme une organisation supprimée.
• organization_id nomme l’organisation parente, une organisation relevant d’une autre organisation parente, ou une organisation qu’une clé pour une seule organisation ne couvre pas.
• L’organisation n’est pas sur Claude Enterprise, ou Security posture ne lui est pas disponible, comme dans le cas d’une organisation Claude Console.
• La page Security posture a été désactivée pour l’organisation (voir Disponibilité de Security posture).
• Security posture est disponible pour l’organisation, mais le point de terminaison ne la sert pas.
• La disponibilité n’a pas pu être vérifiée ; une requête ultérieure peut aboutir.

Chaque erreur 404 a le même corps, tout comme un chemin qui n’existe pas.

Fraîcheur et effets de bord

Le point de terminaison évalue chaque contrôle lorsque vous l’appelez, et evaluated_at correspond à ce moment.

• Un changement effectué au cours des dernières minutes pourrait ne pas apparaître.
• Un résultat peut changer sans qu’aucun paramètre n’ait changé, par exemple lorsqu’une date de fin arrive ou qu’Anthropic modifie une valeur recommandée.
• Si Anthropic reformule une valeur actuelle, un risque accepté sur celle-ci n’est pas en vigueur.
• Un appel n’enregistre aucun résultat et ne met fin à aucune attestation.
• Chaque requête qui satisfait les vérifications de clé, de portée et de version sans paramètre de requête enregistre une activité compliance_api_accessed, qu’elle aboutisse ou échoue ; son url nomme l’organisation lue, et organization_uuid vaut null pour une clé pour l’organisation parente.