Claude Platform Docs
AmministrazioneAutenticazione

Allowlist IP

Proteggi la tua organizzazione limitando l’accesso a specifici indirizzi IP di cui ti fidi.

L’“IP allowlisting” (lista di indirizzi IP consentiti) protegge la tua organizzazione consentendo alle richieste coperte di provenire solo da specifici intervalli IP. Ciò significa che, se una chiave API trapela, è molto più difficile per un utente malintenzionato utilizzarla. Questo può prevenire fughe di dati e ridurre la probabilità che ti vengano addebitati costi per un uso illecito.

Una allowlist limita dove una chiave funziona, ma non per quanto tempo. Dovresti anche impostare una breve scadenza della chiave, oppure passare alla Workload Identity Federation per smettere di usare chiavi statiche. Questo è più sicuro della sola allowlist.

Come funziona

Un amministratore o un proprietario dell’organizzazione configura un elenco di intervalli IP nelle impostazioni. Questo elenco di intervalli copre l’intera organizzazione. Per ogni richiesta coperta, Anthropic confronta l’indirizzo IP pubblico della richiesta con il tuo elenco e la rifiuta se non è consentito.

  • Le richieste API agli endpoint coperti da un indirizzo esterno all’elenco vengono rifiutate. Ad esempio, la Messages API restituisce un 403 permission_error con il messaggio Your IP address isn't in this organization's allowed range.
  • Le persone che si connettono da un indirizzo non consentito visualizzano una pagina intitolata Your current network can’t access this organization. Anche gli amministratori dell’organizzazione vengono bloccati, ma puoi facoltativamente dare agli amministratori una via di accesso per evitare il blocco, nel qual caso possono accedere solo alle impostazioni dell’allowlist.

Organizzazioni Claude Platform

Dove si applica l’allowlist

Consulta anche Limitazioni.

Organizzazioni Claude Enterprise

Un’organizzazione Claude Enterprise ha la propria allowlist IP, che consente l’accesso alle app che copre solo da specifici intervalli IP. Ciò significa che, se l’accesso di un utente viene rubato, è molto più difficile per un utente malintenzionato utilizzarlo. Questo elenco copre l’intera organizzazione, proprietari inclusi. I proprietari e i proprietari principali possono configurarlo. Prima di attivare l’allowlist, leggi Evita di bloccare il tuo accesso.

App coperte dall’allowlist

Gli utenti esterni all’elenco perdono l’accesso alla tua organizzazione in:

Ciò include i connettori e gli artifact in queste app, ad eccezione degli artifact che un utente ha condiviso al di fuori dell’organizzazione. Per Claude Science, consulta Identity and access nei controlli di amministrazione di Claude Science.

L’allowlist copre anche l’Admin API e la Compliance API, con una chiave che copre solo questa organizzazione.

Consulta anche Limitazioni.

Cosa possono aspettarsi gli utenti

Sul web e nelle app desktop, gli utenti bloccati visualizzano una pagina intitolata Your current network can’t access this organization. Anche i proprietari vengono bloccati, ma puoi facoltativamente dare ai proprietari una via di accesso per evitare il blocco, nel qual caso possono accedere solo alle impostazioni dell’allowlist. In Claude Code, gli utenti bloccati visualizzano un errore API 403 con il messaggio Your IP address isn't in this organization's allowed range.

  • Altri account: gli utenti bloccati possono comunque accedere e usare altre organizzazioni o un account personale.
  • Utenti remoti: i telefoni su rete dati mobile, il Wi-Fi domestico e i laptop fuori dalla VPN vengono bloccati finché non si connettono tramite una rete elencata.
  • Proxy: alcune funzionalità si connettono tramite bridge.claudeusercontent.com: Claude in Chrome, Cowork, Remote Tools e il lavoro tra app nei componenti aggiuntivi di Office. Se il tuo proxy instrada quell’host tramite un indirizzo diverso da quello di claude.ai e api.anthropic.com, elenca anche quell’indirizzo.

Limitazioni

  • Claude Platform: l’allowlist copre le richieste agli endpoint di Claude Managed Agents, non gli agenti stessi. Non si applica ad alcuna attività di rete nel runtime di Claude Managed Agents. L’allowlist non si applica a Claude in Amazon Bedrock, Claude Platform on AWS, Claude Models on Google Cloud o Claude in Microsoft Foundry.
  • Claude Enterprise: Claude Design, Claude in Slack e Claude Academy non sono coperti. Se Claude sta lavorando a un’attività in una chat quando un utente viene bloccato, l’attività può continuare per un massimo di 24 ore. L’utente non può aprire né controllare quella chat dall’esterno dell’elenco.

Attiva l’allowlist

  1. Attiva l’interruttore

    Vai alla pagina delle impostazioni della tua organizzazione:

    Attiva l’interruttore IP allowlist. Non cambia nulla finché non salvi.

  2. Aggiungi i tuoi intervalli e salva

    Fai clic su Add entry (Claude Console) o Add IP range (claude.ai), inserisci uno o più indirizzi o intervalli, separati da virgole, e premi Invio. Elenca ogni rete da cui si connettono i tuoi server, la CI e i tuoi utenti, inclusa quella da cui ti stai connettendo. Anthropic consiglia di assicurarti che la casella di controllo Allow admins to access this settings page from any IP address (Claude Console) o Allow owners to access this settings page from any IP address (claude.ai) sia selezionata per evitare il blocco. Quindi fai clic su Save e conferma.

  3. Controlla il tuo traffico

    Le modifiche possono richiedere fino a 15 minuti per essere applicate. Monitora le tue applicazioni per individuare risposte 403 permission_error, inclusi i job eseguiti solo giornalmente o settimanalmente, e aggiungi qualsiasi indirizzo che hai dimenticato. In un’organizzazione Claude Enterprise, chiedi agli utenti su ciascuna rete di confermare che possono ancora aprire Claude. In queste organizzazioni, le modifiche possono richiedere più tempo per raggiungere le connessioni già aperte, i componenti aggiuntivi di Office e Remote Tools.

Formato delle voci

  • Formato: puoi inserire nell’allowlist indirizzi IPv4 o IPv6. Ogni voce può essere un singolo indirizzo (203.0.113.5) o un intervallo CIDR (203.0.113.0/24, 2001:db8::/32) non più ampio di /8 per IPv4 o /32 per IPv6. L’elenco contiene fino a 1.000 voci.
  • Solo indirizzi pubblici: elenca gli indirizzi da cui il tuo traffico esce dalla tua rete, non intervalli privati come 10.0.0.0/8. Se aggiungi l’indirizzo di un proxy condiviso, tieni presente che un utente malintenzionato con una chiave trapelata o un accesso rubato potrebbe potenzialmente usarlo tramite il proxy.

Evita di bloccare il tuo accesso

Quando salvi, la pagina delle impostazioni confronta il tuo indirizzo attuale con l’elenco per assicurarsi che tu non stia per bloccare il tuo stesso accesso. Ma non controlla i tuoi server, i tuoi colleghi o l’indirizzo da cui potresti connetterti domani.

  • Assicurati di elencare prima ogni rete: includi data center, sistemi di CI, uffici, VPN, proxy e i worker di eventuali sandbox self-hosted, con i relativi indirizzi pubblici IPv4 e IPv6. Tieni presente che gli indirizzi domestici e mobili possono cambiare spesso senza preavviso.
  • Mantieni una via di accesso: Anthropic consiglia di selezionare la casella di controllo Allow admins to access this settings page from any IP address (Claude Console) o Allow owners to access this settings page from any IP address (claude.ai). In questo modo un amministratore (un proprietario in claude.ai) può correggere l’elenco da qualsiasi luogo. Lo svantaggio è che un utente malintenzionato che compromette la sessione di un amministratore o di un proprietario potrebbe aggiornare l’allowlist da una posizione remota. Se configuri la Compliance API per la tua organizzazione, il relativo Activity Feed registra le modifiche all’allowlist, così puoi sottoporle ad audit.

Se hai bloccato il tuo accesso

In un’organizzazione Claude Enterprise, gli amministratori non possono modificare l’elenco, quindi “amministratore o proprietario” in questi passaggi indica un proprietario o un proprietario principale.

  1. Riconnettiti da una rete elencata: connettiti alla rete del tuo ufficio o alla VPN, quindi fai clic su Try again. Se non è presente alcun pulsante Try again, ricarica la pagina.
  2. Chiedi a un altro amministratore o proprietario: un amministratore o proprietario su una rete elencata può aggiungere il tuo indirizzo.
  3. Correggi l’elenco da dove ti trovi: se sei un amministratore o proprietario e la casella di controllo indicata in Mantieni una via di accesso è selezionata, apri la Claude Console o Claude in un browser e fai clic su Open IP allowlist, oppure vai alla pagina Identity and access (Organization and access in claude.ai). Fai clic su Add it per aggiungere il tuo indirizzo attuale, oppure disattiva l’allowlist, quindi fai clic su Save e conferma. Il ripristino dell’accesso può richiedere fino a 15 minuti.
  4. Contatta Anthropic: se nessun amministratore o proprietario riesce a raggiungere la pagina, chiedi al supporto Anthropic di disattivare l’allowlist.

Questa pagina ti è stata utile?