Liste blanche IP Claude : la clé API ne marche que depuis votre réseau

Le 5 novembre 2026, Anthropic a lancé en bêta la liste blanche IP de Claude (IP allowlist), c’est-à-dire une liste d’adresses IP autorisées pour une organisation Claude. D’après les Claude Release Notes, les requêtes venant d’adresses hors de la liste sont rejetées : une clé API qui a fuité devient beaucoup moins exploitable.

Comment fonctionne la liste blanche IP de Claude ?

Un admin ou un owner de l’organisation saisit dans les paramètres les plages d’adresses autorisées à se connecter à Claude. Pour chaque requête concernée, Anthropic compare l’adresse IP publique de l’expéditeur à la liste et rejette celles qui n’y figurent pas (selon la documentation).

Concrètement :

1. L’API renvoie une erreur 403 permission_error avec le message « Your IP address isn’t in this organization’s allowed range. »
2. Une personne qui se connecte depuis un réseau non autorisé voit la page « Your current network can’t access this organization ». Les admins sont bloqués aussi, sauf si l’on coche l’option qui leur laisse accès aux seuls paramètres de la liste depuis n’importe quelle adresse.
3. La liste accepte jusqu’à 1000 entrées : des adresses IPv4 et IPv6 isolées ou des plages CIDR, pas plus larges que /8 en IPv4 et /32 en IPv6. Uniquement des adresses publiques, pas de plages privées comme 10.0.0.0/8.
4. Les modifications prennent effet en 15 minutes maximum après l’enregistrement.

Que couvre exactement la liste ?

Dans les organisations Claude Platform (donc l’API), le blocage s’applique à la Claude Console et aux endpoints Messages, Message Batches, Token Counting, Models, Files et Skills, ainsi qu’aux endpoints de Claude Managed Agents et aux API Admin et Compliance.

Fait intéressant, les organisations Claude Enterprise ont leur propre liste. Elle y protège non seulement contre une clé qui a fuité, mais aussi contre un identifiant volé : elle couvre Claude dans le navigateur, les applications de bureau et mobiles, Claude Code (avec connexion par compte Claude), Claude in Chrome, les compléments Office, Cowork et Remote Tools. L’owner et le primary owner peuvent la configurer.

À quoi faut-il faire attention ?

D’abord, à ce que la liste ne couvre pas. Dans Claude Platform, elle ne s’applique pas à Amazon Bedrock, Claude Platform on AWS, Claude Models on Google Cloud ni Microsoft Foundry, et dans Managed Agents elle protège uniquement les endpoints, pas le trafic réseau des agents. Dans Enterprise, Claude Design, Claude in Slack et Claude Academy restent hors de la liste. Une tâche sur laquelle Claude travaille déjà dans un chat peut en outre continuer jusqu’à 24 heures après le blocage de l’utilisateur.

Ensuite, au risque de nous enfermer dehors. À l’enregistrement, les paramètres vérifient seulement notre adresse actuelle, pas les serveurs, la CI ni les collègues. Un téléphone en données mobiles ou un portable sans VPN seront coupés (avant d’activer la liste, recensons tous les réseaux, y compris ceux d’où partent des jobs une fois par semaine).

Enfin, au fait que la liste limite le lieu, pas la durée. Anthropic recommande aussi de donner aux clés une courte durée de validité, ou de passer à Workload Identity Federation et d’abandonner les clés statiques.

Quoi d’autre le 5 novembre ?

Les mêmes Release Notes ajoutent en bêta la déconnexion d’un membre d’une organisation Claude Enterprise sur tous ses appareils via l’Admin API (POST /v1/organizations/users/{user_id}/sign_out avec l’en-tête admin-user-sign-out-2026-10-08). D’après la documentation, elle met fin aux sessions, aux appareils de confiance et aux jetons OAuth émis pour l’organisation, mais les clés API continuent de fonctionner, tout comme les sessions cloud de Claude Code et les routines de cette personne.

Est-ce une nouveauté dans le monde de l’IA ?

Les fuites de clés API ne sont pas, on le sait, de la théorie : j’en ai parlé avec la fuite chez OpenCode, et de la surveillance des agents dans le guide de la sécurité des agents IA. Une liste d’IP ne supprime pas le problème, mais une clé trouvée dans un dépôt public cesse de fonctionner sur le serveur de quelqu’un d’autre. Et si l’on suit ses dépenses d’API, la répartition du coût de l’API Claude par clé sera utile aussi.

FAQ

La liste blanche IP de Claude est-elle payante ?

La documentation ne mentionne aucun frais supplémentaire. La fonction est en bêta selon les conditions de votre contrat avec Anthropic (par ex. les Commercial Terms of Service), et ses paramètres comme son fonctionnement peuvent évoluer pendant la bêta.

Où activer la liste des IP autorisées dans Claude ?

Dans Claude Platform, sur la page Identity and access de la Claude Console ; dans Claude Enterprise, sur claude.ai, dans Organization settings > Organization and access. On active l’interrupteur IP allowlist, on ajoute les plages et on enregistre.

Que faire si l’on s’est bloqué soi-même ?

Se connecter depuis un réseau de la liste, demander à un autre admin ou owner d’ajouter l’adresse ou, si l’on a coché l’option d’accès aux paramètres depuis n’importe quelle IP, ajouter soi-même l’adresse actuelle. En dernier recours, le support d’Anthropic peut désactiver la liste.