Referência de resultados de Security posture

Este endpoint retorna uma entrada para a maioria dos controles de segurança de uma organização, avaliados no momento da requisição, com a atestação do Security posture que a resposta exibe para cada controle. Você precisa de uma Compliance Access Key que cubra a organização, com o escopo read:compliance_org_data ou read:org_audit; Disponibilidade do Security posture informa quais organizações podem ser lidas.

Requisição

Envie uma requisição GET para /v1/compliance/organizations/{organization_id}/security_posture. Cada chamada lê uma organização, e a resposta não é paginada.

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

Resposta

O exemplo resumido a seguir mostra quatro dos controles que uma resposta pode conter. É a resposta para uma chave que possui read:compliance_org_data e read:compliance_user_data.

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

Todo campo está sempre presente, e um campo sem valor é null, nunca omitido. Um horário não tem dígitos fracionários ou tem exatamente seis, então compare horários como horários, não como strings.

Campos de nível superior

Campos de controls[]

section é um de identity_access, data_privacy, capabilities, connectors_integrations, chats_desktop_mdm, cowork_admin_console, cowork_desktop_mdm, claude_code_admin_console, claude_code_managed_settings e healthy_adoption.

Para comparar valores em código, procure setting_name nas configurações efetivas da mesma organização. A busca pode não encontrar nada, e dois controles podem compartilhar um mesmo setting_name.

Campos de attestation

Campos de attested_by

Valores de status

status informa o motivo do resultado de um controle, e cada status tem um único rating.

Nenhum campo informa o tipo de controle; para failed, um current_value null indica um controle manual. Mais valores podem ser adicionados, então conte um controle com um status desconhecido pelo seu rating, e trate um rating desconhecido como não Aprovado. O status review e o estado da atestação review_due não estão relacionados.

Estados da atestação

state informa se a atestação que a resposta exibe está em vigor.

Quando mais de um motivo se aplica, a resposta informa o primeiro entre check_passing, setting_changed e review_due. A partir de 00:00 UTC da sua data de término, uma atestação não está em vigor. A resposta não tem data de término, então state decide; uma data de término que foi salva é o review_date da atividade da atestação. Trate um state desconhecido como não em vigor.

Como uma atestação aparece na resposta

A resposta exibe algumas atestações e omite outras, então um attestation null não prova que ninguém atestou.

Cada linha, exceto as duas últimas, vale enquanto a atestação está em vigor. Em um controle automático, uma atestação não está em vigor enquanto o valor que a verificação lê for diferente daquele sobre o qual ela foi salva. Toda atestação que a resposta exibe em um controle automático é um risco aceito. O Activity Feed também registra atestações dos tipos que a resposta omite.

Contar resultados

Verifique quatro pontos ao contar controles por rating.

Quem atestou, e comentários

attested_by é preenchido apenas para uma chave que possui read:compliance_user_data junto com read:compliance_org_data, ou que possui read:org_audit. Uma chave apenas com read:compliance_user_data recebe um 403. O user_id em attested_by é o mesmo que o user_id do actor na atividade da atestação. attested_by contém apenas o ID de usuário: Listar usuários da organização fornece o nome e o endereço de e-mail de cada membro atual. Antes de adicionar esses escopos, consulte Quem pode ver quem atestou.

O endpoint não retorna comentários, mesmo quando a página Security posture mostra um: todo comment é null, e comments_status é not_enabled ou not_permitted. Portanto, not_enabled e um comentário null não significam que a atestação não tenha comentário. comments_status informa como interpretar um comentário null, e o esquema define estes valores.

Mais valores podem ser adicionados; trate um valor desconhecido como unavailable.

Erros

Os erros usam o mesmo corpo que o restante da Compliance API; esta tabela lista os que este endpoint retorna de forma própria.

Causas de um 404:

• organization_id não é um UUID, não corresponde a nenhuma organização, ou corresponde a uma organização excluída.
• organization_id corresponde à organização pai, a uma organização sob outra organização pai, ou a uma que uma chave de organização única não cobre.
• A organização não está no Claude Enterprise, ou o Security posture não está disponível para ela, como no caso de uma organização do Claude Console.
• A página Security posture foi desativada para a organização (veja Disponibilidade do Security posture).
• O Security posture está disponível para a organização, mas o endpoint não a atende.
• A disponibilidade não pôde ser verificada; uma requisição posterior pode ter sucesso.

Todo 404 tem o mesmo corpo, assim como um caminho que não existe.

Atualidade e efeitos colaterais

O endpoint avalia todos os controles quando você o chama, e evaluated_at é esse momento.

• Uma alteração feita nos últimos minutos pode não aparecer.
• Um resultado pode mudar sem que nenhuma configuração tenha mudado, por exemplo quando uma data de término chega ou a Anthropic altera um valor recomendado.
• Se a Anthropic alterar a redação de um valor atual, um risco aceito sobre ele deixa de estar em vigor.
• Uma chamada não armazena nenhum resultado e não encerra nenhuma atestação.
• Cada requisição que passa nas verificações de chave, escopo e versão sem um parâmetro de consulta registra uma atividade compliance_api_accessed, seja ela bem-sucedida ou não; seu url indica a organização lida, e organization_uuid é null para uma chave da organização pai.