Autenticazione

La Claude API supporta due modi per autenticare le richieste:

Entrambi i metodi concedono lo stesso accesso agli endpoint della Claude API. Scegli le chiavi API per iniziare rapidamente e passa a Workload Identity Federation quando il tuo carico di lavoro ha già un'identità emessa dalla piattaforma che puoi federare.



Chiavi API

Le chiavi API sono segreti statici che generi nella Claude Console e passi a ogni richiesta.

• Crea una chiave: Vai su Settings → API keys nella Claude Console. Scegli una scadenza come parte della creazione. Usa i workspace per delimitare le chiavi per progetto o ambiente.
• Invia la chiave: Imposta l'header x-api-key nelle richieste HTTP dirette, oppure imposta la variabile d'ambiente ANTHROPIC_API_KEY e gli SDK client la rileveranno automaticamente.

POST /v1/messages
x-api-key: YOUR_API_KEY
anthropic-version: 2023-06-01
content-type: application/json

Conserva le chiavi API in un secrets manager, ruotale periodicamente e revoca qualsiasi chiave che sospetti sia trapelata. Puoi anche impostare una scadenza quando crei una chiave per limitare per quanto tempo una credenziale trapelata rimane utilizzabile.

client = Anthropic(api_key="my-anthropic-api-key")
# oppure, con ANTHROPIC_API_KEY impostata nell'ambiente:
client = Anthropic()



Scadenza delle chiavi

Quando crei una chiave API dalla pagina API keys nella Claude Console, scegli una scadenza: un valore predefinito (3 ore, 1 giorno, 7 giorni o 30 giorni), una durata personalizzata, oppure Never per le chiavi che conservi in un secrets manager e ruoti autonomamente. Se la tua organizzazione ha una policy di scadenza massima, la Console limita i valori predefiniti e le durate personalizzate al massimo consentito dalla policy, e Never non è disponibile. Le chiavi esistenti mantengono il loro comportamento attuale; la scadenza viene impostata al momento della creazione e non può essere modificata in seguito. La stessa scelta di scadenza si applica quando crei una chiave Admin API nella Claude Console.

Anthropic invia un'email al creatore della chiave quando la scadenza si avvicina: 7 giorni prima della scadenza per le chiavi create con una durata di almeno 14 giorni, e 1 giorno prima per le chiavi con una durata di almeno 7 giorni. Le chiavi con durate più brevi scadono senza email di avviso.

Dopo che una chiave è scaduta, le richieste effettuate con essa restituiscono un errore 401 authentication_error. Crea una nuova chiave per ripristinare l'accesso; le chiavi scadute non possono essere riattivate.

La tabella delle chiavi API nella Console mostra la scadenza di ogni chiave, e l'Admin API riporta il timestamp expires_at di ogni chiave negli endpoint List API Keys e Retrieve API Key, così puoi verificare e ruotare le chiavi prima che scadano. Il campo è null per le chiavi senza scadenza.

La scadenza limita la durata di una credenziale trapelata, ma non sostituisce una buona igiene dei segreti. Indipendentemente dalla scadenza, conserva le chiavi in un secrets manager e revoca qualsiasi chiave che sospetti sia trapelata.



Workload Identity Federation

Workload Identity Federation (WIF) consente a un carico di lavoro di autenticarsi con un token di identità di breve durata emesso da un "identity provider" (provider di identità), o IdP, di cui ti fidi già, come AWS IAM, Google Cloud o qualsiasi emittente OIDC conforme agli standard (come GitHub Actions, i service account di Kubernetes, SPIFFE, Microsoft Entra ID o Okta). Il carico di lavoro scambia il proprio JWT emesso dall'IdP su POST /v1/oauth/token con un token di accesso alla Claude API di breve durata, e l'SDK aggiorna automaticamente quel token prima che scada. Non c'è alcuna stringa sk-ant-api... da generare, distribuire o ruotare.

La federazione rimuove le chiavi Claude API a lunga durata dal tuo ambiente, il che riduce il raggio d'impatto di una credenziale trapelata e ti consente di gestire l'accesso con gli stessi controlli IdP che già usi per le risorse cloud. Di per sé, non garantisce la sicurezza end-to-end: la catena di fiducia è forte solo quanto la configurazione del tuo identity provider, e un segreto a lunga durata un passo più a monte (ad esempio, una credenziale cloud statica che può generare token IdP) può comunque comprometterla. Abbina la federazione ai controlli del tuo provider, come le allowlist di IP, l'MFA e l'audit logging.

Per configurare la federazione, crei tre risorse nella Claude Console (un service account, un federation issuer e una federation rule) e poi punti il tuo SDK alla regola. Consulta Workload Identity Federation per la guida completa alla configurazione.



Prossimi passi