Claude IP 白名单：API 密钥只能从你的网络使用
Claude IP 白名单开启 Beta：泄露的 API 密钥或被盗的登录，在组织 IP 白名单之外都无法使用。本文介绍它覆盖哪些产品。
本文的其他语言版本：العربيةDeutschEnglishEspañolFrançaisItaliano日本語Polski
2026 年 11 月 5 日，Anthropic 以 Beta 形式推出了 Claude IP 白名单（IP allowlist），也就是为 Claude 组织设置的允许访问的 IP 地址列表。据 Claude Release Notes，来自列表之外地址的请求会被拒绝，泄露的 API 密钥能被滥用的范围因此大大缩小。
Claude IP 白名单如何工作？
组织的 admin 或 owner 在设置中填写允许连接 Claude 的地址范围。对每个受覆盖的请求，Anthropic 会把发送方的公网 IP 与列表比对，不在列表中的一律拒绝（据官方文档）。
实际表现如下：
- API 返回 403
permission_error错误，提示信息为 “Your IP address isn’t in this organization’s allowed range.” - 从不允许的网络连接的用户会看到 “Your current network can’t access this organization” 页面。admin 同样会被拦截，除非勾选一个选项，让他们可以从任意地址访问白名单设置页。
- 列表最多容纳 1000 条：单个 IPv4、IPv6 地址或 CIDR 范围，IPv4 不宽于
/8，IPv6 不宽于/32。只能填公网地址，不能填10.0.0.0/8这类私有网段。 - 修改在保存后 15 分钟内 生效。
白名单具体覆盖哪些内容？
在 Claude Platform（即 API）组织中，拦截作用于 Claude Console，以及 Messages、Message Batches、Token Counting、Models、Files 和 Skills 等端点，还有 Claude Managed Agents 的端点和 Admin、Compliance API。
有意思的是，Claude Enterprise 组织有一份单独的列表。它不仅防范密钥泄露，也防范登录被盗：覆盖浏览器版 Claude、桌面和移动应用、Claude Code（使用 Claude 账号登录时）、Claude in Chrome、Office 插件、Cowork 和 Remote Tools。owner 和 primary owner 可以设置。
需要注意什么？
第一，列表不覆盖的部分。在 Claude Platform 中，它不适用于 Amazon Bedrock、Claude Platform on AWS、Claude Models on Google Cloud 和 Microsoft Foundry；在 Managed Agents 中只保护端点，不管智能体的网络流量。在 Enterprise 中，Claude Design、Claude in Slack 和 Claude Academy 不在列表范围内。此外，Claude 已在聊天中执行的任务，在用户被拦截后仍可能继续运行 最长 24 小时。
第二，把自己锁在门外的风险。保存时，设置只检查我们当前的地址，不检查服务器、CI 或团队同事。使用移动数据的手机或没开 VPN 的笔记本都会被切断 (启用前，把所有网络都列出来，包括每周只跑一次任务的那些)。
第三，列表限制的是地点，而不是时间。Anthropic 还建议给密钥设置较短的有效期，或者改用 Workload Identity Federation，彻底放弃静态密钥。
11 月 5 日还有什么更新？
同一份 Release Notes 还以 Beta 形式加入了通过 Admin API 让 Claude Enterprise 组织成员在所有设备上退出登录的功能（POST /v1/organizations/users/{user_id}/sign_out，请求头 admin-user-sign-out-2026-10-08）。据文档，它会终止会话、受信任设备以及为该组织签发的 OAuth 令牌，但 API 密钥仍然有效，此人的 Claude Code 云端会话和 routines 也照常运行。
这在 AI 领域算新鲜事吗？
我们都知道，API 密钥泄露不是纸上谈兵：我在 OpenCode 泄露事件中写过，也在 AI 智能体安全指南里谈过如何看管智能体。IP 列表并不能消除问题，但能让在公开仓库里被发现的密钥在别人的服务器上失效。如果我们在追踪 API 开销，按密钥拆分 Claude API 成本也会派上用场。
常见问题
Claude IP 白名单收费吗？
文档中没有提到额外费用。该功能处于 Beta 阶段，适用你与 Anthropic 的协议条款（例如 Commercial Terms of Service），Beta 期间设置和行为可能会变化。
在哪里开启 Claude 的 IP 白名单？
Claude Platform 在 Claude Console 的 Identity and access 页面；Claude Enterprise 在 claude.ai 的 Organization settings > Organization and access。打开 IP allowlist 开关，添加地址范围并保存。
把自己锁在外面怎么办？
从列表中的网络连接，请另一位 admin 或 owner 添加地址；如果勾选了允许从任意 IP 访问设置的选项，也可以自己添加当前地址。实在不行，Anthropic 支持团队可以关闭该列表。