Clauden istuntoavain: riskit ja pääsyn mitätöinti

Jos laajennus tai tilausmyyjä pyytää sinulta merkkijonoa, joka alkaa sk-ant-sid, älä luovuta sitä. Tätä merkkijonoa kutsutaan istuntoavaimeksi. Se ei ole salasana, vaan jo valmiiksi avoin ovi tilillesi: sen avulla joku voi lukea kaikki keskustelusi ja tiedostosi, häneltä ei kysytä toista tunnistustekijää, ja voit mitätöidä kyseisen istunnon Active sessions -näkymässä. Jos et tunnista vuotanutta istuntoa, käytä koko tilin ”Log Out” -toimintoa, joka kirjaa myös sinut ulos.

Annoitko sen jo? Siirry suoraan osioon, jossa kerrotaan, miten pääsyn voi sulkea. Kaksi ensimmäistä vaihetta vievät minuutin.

Seuraavaksi kerrotaan, mikä tämä merkkijono on, mitä toisessa päässä oleva henkilö voi nähdä ja miksi Anthropic pitää sen luovuttamista sääntöjensä vastaisena. Tässä artikkelissa ei neuvota, miten avain kaivetaan esiin: sen sijaan, että annettaisiin ohjeita kuten ”paina F12 ja kopioi”, siinä tarkastellaan toiselle annettavan pääsyn seurauksia.

Käytännön tietoa Ailootin käytöstä on dokumentaatiossa.

Mikä on Clauden istuntoavain?#

Kun syötät sähköpostiosoitteesi ja viestissä olevan koodin, palvelu varmistaa henkilöllisyytesi kerran. Tarkistuksen tulos täytyy tallentaa johonkin, muuten joutuisit vahvistamaan henkilöllisyytesi jokaisella napsautuksella. Selaimesi säilyttää tuloksen pienessä tiedostossa, joka lähetetään automaattisesti palvelimelle jokaisen sivustolla tekemäsi toiminnon yhteydessä.

Claude käyttää sessionKey-nimistä tiedostoa. Anthropic mainitsee sen julkisessa evästetaulukossaan:

Samassa taulukossa luetellaan useita muita palveluevästeitä, joiden käyttöikä on lyhyt, mutta juuri tätä avainta ihmiset pyytävät. Anthropic kuvaa luokkaa näin:

Evästettä ei voi poistaa käytöstä, koska ilman tätä tiedostoa ei voi kirjautua sisään. Sen arvo näyttää yhdeltä pitkältä merkkijonolta, joka alkaa sk-ant-sid. Jos joku pyytää sinulta ”merkkijonoa, joka alkaa sk-ant-sid”, hän tarkoittaa juuri tätä.

Ajoituksesta vielä yksi huomio, jotta siitä ei synny myöhemmin epäselvyyttä. Taulukossa itse tiedoston käyttöiäksi ilmoitetaan yksi kuukausi, mutta istunto kestää 28 päivää, ja aina kun teet jotain claude.ai-sivustolla, kello alkaa alusta. Käytännön johtopäätös on yksinkertainen: tänään luovuttamasi avain toimii viikkoja, ja oma toimintasi vain siirtää sen vanhenemista yhä kauemmas.

Tässä artikkelissa ”istuntoavain” ja ”istuntotunniste” tarkoittavat samaa asiaa.

Miten istuntoavain eroaa salasanasta ja API-avaimesta?#

Nämä ovat kolme eri asiaa, jotka ihmiset usein niputtavat yhteen ”tilin käyttöoikeuksiksi”:

Ensimmäisen ja toisen sarakkeen ero on kuin passin ja all inclusive -rannekkeen ero. Näytät passisi vastaanotossa, ja sen tarkistamisen jälkeen sinulle annetaan ranneke. Anna ranneke toiselle, niin hän voi syödä, juoda ja mennä huoneeseesi ilman, että kukaan pyytää häneltä passia. Kadonneen passin vaihtaminen ei saa toisen henkilön ranteessa olevaa ranneketta katoamaan.

Istuntoavain toimii samalla tavalla. Evästettä ei tarvitse korvata käsin: päätä kyseinen istunto Active sessions -näkymässä. Jos et tunnista vuotanutta istuntoa luotettavasti, sulje kaikki istunnot koko tilin uloskirjautumisella, omasi mukaan lukien.

Miksi laajennukset ja palvelut pyytävät tätä avainta?#

Tässä on kaksi todellista esimerkkiä. Emme linkitä niihin, jotta emme ohjaa niille liikennettä.

Tilausmyyjät. Se näyttää palvelulta: maksat vähemmän kuin virallisen hinnan, lähetät avaimesi, ja myyjät ”aktivoivat” Pron tai Maxin omalle tilillesi. Eräs tällainen ilmoitus oli myynnissä suurella digitaalisten tuotteiden markkinapaikalla 19. elokuuta 2026. Sen ehdoissa sanotaan, että tarvitaan vain istuntoavain, ja erillisellä rivillä vakuutetaan, ettei salasanaasi tai sähköpostitiliisi pääsyä tarvita. Tuotetta oli myyty yli sata kertaa ja palautuksia oli tehty 38 kertaa. Myyjä myös vapauttaa itsensä erillisellä rivillä etukäteen vastuusta mahdollisesta tilin estosta.

Toisen vastaavan palvelun venäjänkieliset ohjeet päättyvät kahteen pyyntöön, jotka tarkoittavat samaa: älä kirjaudu ulos Claude-tililtäsi ennen tilauksen valmistumista ja pysy kirjautuneena, kunnes aktivointi on valmis. Uloskirjautuminen päättää istunnon ja tekee luovuttamastasi avaimesta hyödyttömän. Palvelu tietää tämän ja pyytää sinua olemaan tekemättä niin. Ohjeissa ei sanota mitään siitä, mitä avaimelle tapahtuu ”aktivoinnin valmistuttua”.

Kolmannen osapuolen ohjelmat, jotka käyttävät Claudea verkossa. claude.ai-sivustolla on sisäisiä päätepisteitä, joita sivu itse kutsuu, kun työskentelet sen parissa. Jos joku liittää toisen henkilön evästeen tällaiseen pyyntöön, hän voi ohjata toimintaa tilauksen kautta maksamatta API-käytöstä. Tähän tarkoitettuja kirjastoja on julkisesti saatavilla; suosituimmilla on lähes tuhat tähteä GitHubissa, ja niiden ohjeissa on tasan yksi avainta käsittelevä vaihe. Eräässä projektissa säilytetään kokonainen joukko muiden ihmisten evästeitä ja vaihdellaan niiden välillä; joukon avaimilla on tila ”blocked”. Projektin tekijät tietävät jo etukäteen, että osa heille annetuista tileistä poistetaan käytöstä, ja ovat ottaneet sen huomioon ohjelmassa.

Käyttömäärän laskurit, keskustelujen viennit ja integraatiot. Tämä ryhmä ei yleensä pyydä sinua liittämään mitään, koska laajennus toimii selaimessasi ja poimii sinne jo tallennetun evästeen. Ainoa ero kahteen ensimmäiseen ryhmään on, että valtuuttamasi ohjelma painaa kopiointipainiketta puolestasi.

Neljäs ryhmä varastaa avaimen. Vääriä asennussivuja, ohjelmia, jotka pyyhkivät kaiken selaimeesi tallennetun, ja omistajanvaihdoksen jälkeen muuttuvia laajennuksia käsitellään erikseen jäljempänä.

Mitä joku voi nähdä avaimellasi?#

Istuntoavain on sidottu sinuun kokonaisuutena, eikä se koske mitään tiettyä keskustelua. Siksi se avaa koko tilin:

• Keskustelut. Kaikki keskustelut, myös aiemmat vastausversiot, jotka on piilotettu käyttöliittymän nuolten taakse.
• Tiedostot. Sopimukset, tietokantaviennit, talousmallit, kuvakaappaukset – kaikki, mitä olet joskus raahannut keskusteluun tai lisännyt Project-projektiin.
• Muisti ja mukautetut ohjeet. Se, mitä olet kertonut Claudelle itsestäsi ja työstäsi, jotta sinun ei tarvitse toistaa sitä joka kerta.
• Tilin sähköpostiosoite ja tilaus. Näet ne asetussivulla, aivan kuten itsekin voit.
• Jäljellä olevat käyttörajat ja se, kuinka paljon voit vielä käyttää. Nämä ovat yleensä ne luvut, joita laskurit asennetaan näyttämään.
• Oikeus toimia. Henkilö voi lähettää pyyntöjä, poistaa keskusteluja ja muuttaa asetuksia.

Clauden käyttöliittymä ei näytä kortin kaikkia tietoja, joten korttiasi ei varasteta. Tilauksesi on kuitenkin samalla tilillä, jolle joku toinen on jo kirjautunut, ja sen voi peruuttaa tavallisella asetusten painikkeella.

Poistetut keskustelut katoavat historiasta heti ja Anthropicin tallennustilasta kolmenkymmenen päivän kuluessa. Se, kuinka kauan joku toinen voi lukea keskustelujasi, riippuu istuntoavaimen käyttöiästä; keskustelujen tyhjentäminen ei vaikuta siihen lainkaan.

Yrityksen tietämys kannattaa säilyttää projektin tiedostoissa: voit nähdä ja muokata niitä, eivätkä ne katoa istunnon kadotessa.

Miksi tämä on vaarallisempaa kuin varastettu salasana?#

Väite ”laajennus ohittaa kaksivaiheisen suojauksen” kuulostaa dramaattiselta ja on myös epätarkka. Laajennus tulee mukaan sen jälkeen, kun salasana on tarkistettu, sähköpostissa oleva koodi annettu ja palvelin on myöntänyt vahvistuksen. Juuri tämä vahvistus viedään.

Toinen ominaisuus on kesto. Niin kauan kuin istunto on voimassa, avain toimii, ja voit jatkaa tilisi käyttöä tavalliseen tapaan samalla, kun pidennät toisen henkilön pääsyä jokaisella käynnillä.

Kolmas kohta koskee HttpOnly-lippua. Sitä pidetään istunnon tärkeimpänä suojauksena, ja se estää sivun omia skriptejä käyttämästä evästettä. Laajennukset voivat kuitenkin lukea sen omalla erillisellä mekanismillaan. Chromiumin mekanismia kuvaavassa projektitekstissä sanotaan:

Chromen nykyinen dokumentaatio vahvistaa tämän epäsuorasti: laajennus saa evästeobjektin, jossa on httpOnly-ominaisuus, eli se voi nähdä myös nämä evästeet.

Kaikki muutkaan laajennukset eivät tietenkään varasta evästeitä. ”Saatavilla kaupassa ja hyvin arvosteltu” ei vain enää takaa mitään, joten kiinnitä huomiota käyttöoikeusluetteloon.

Mitä Clauden säännöt sanovat tästä?#

Anthropicin kuluttajaehtojen kohta 2, sanatarkasti:

Istuntoavaimen luovuttaminen kuuluu selvästi tämän määräyksen piiriin. Samassa kohdassa todetaan, että tilinomistaja vastaa kaikesta tilillä tapahtuvasta toiminnasta ja hänen on ilmoitettava tukipalveluun välittömästi luvattomasta käytöstä. Kohta 3 kieltää erikseen palvelun käyttämisen ”automatisoiduin tai ei-inhimillisin keinoin, joko botin, skriptin tai muun vastaavan kautta”, ellei käytössä ole API-avain. Kohta 13 antaa Anthropicille oikeuden keskeyttää tai lopettaa pääsy milloin tahansa ilman ilmoitusta, jos yritys katsoo ehtoja rikotun olennaisesti. Yhden avaimen luovuttaminen koskettaa kaikkia kolmea määräystä samalla kertaa.

Claude Code -dokumentaatiossa sanotaan kolmannen osapuolen ohjelmista näin:

Tarkennus siitä, mitä tässä väitetään: Anthropicin julkista lausuntoa ”estämme ihmisiä sessionKey-avaimen jakamisesta” ei löytynyt, joten artikkelissa ei väitetä yrityksen käyttäneen tätä sanamuotoa. Asiakirjoista käy ilmi, että säännöt nimenomaisesti kieltävät sen, tilinomistaja on vastuussa ja pääsy voidaan poistaa ilman ilmoitusta. Tästä on myös epäsuoria merkkejä: kolmannen osapuolen ohjelmissa ”blocked” on tavallinen avaimen tila.

Kiellettyä on myös toinen asia. Käyttösäännöt kieltävät eston kiertämisen toisen tilin kautta ja pääsyn antamisen henkilölle, jonka käyttöoikeus on jo poistettu. Jos joku osti avaimesi tätä tarkoitusta varten, rikkomus kirjataan sinun tilillesi. Muut syyt, joiden vuoksi Anthropic sulkee pääsyn, on koottu artikkeliin miksi Claude-tilejä estetään.

Miten laajennuksen voi tarkistaa ennen asennusta ja sen jälkeen?#

Mitä voit nähdä ennen asennusta. Kauppailmoituksessa on tietosuojaosio, jossa kerrotaan, mitä tietoja laajennus kerää ja jakaa. Toinen vihje on se, miten löysit laajennuksen. Jos sitä ei löydy kaupan haulla ja sen voi asentaa vain jonkun toisen viestissä olevasta suorasta linkistä, pidä sitä varoitusmerkkinä.

Mitä jo asennetuista laajennuksista kannattaa tarkistaa. Käy tänään läpi nämä viisi vaihetta koko luettelon osalta.

1. Avaa laajennusluettelo ja tarkista käyttöoikeudet

   Osoite on chrome://extensions; napsauta tarkistettavan laajennuksen kohdalla ”Details”. Edgessä osoite on edge://extensions. Arc ja muut samaan selainmoottoriin perustuvat selaimet käyttävät samaa chrome://extensions-osoitetta.

2. Etsi rivi, jossa mainitaan claude.ai

   Chrome ei näytä erillistä evästeiden käyttöä koskevaa varoitusta, joten katso sivustoluetteloa. Rivi kuten ”Lue ja muuta tietojasi sivustolla claude.ai” tarkoittaa, että laajennus toimii Claude-istuntosi sisällä. Käyttömäärän laskurille se on normaalia. Se ei ole normaalia, jos rivi näkyy laajennukselle, jolla ei ole mitään tekemistä Clauden kanssa.

3. Tarkista, onko pääsy kaikille sivustoille sallittu

   ”Site access” -osiossa voi lukea ”On all sites”. Silloin laajennus pääsee myös pankkiisi, sähköpostiisi ja verkkosivustosi hallintapaneeliin. Claude-käyttömäärän laskuri ei missään olosuhteissa tarvitse tätä.

4. Rajaa pääsy minimiin

   Muuta samasta paikasta ”On all sites” asetukseksi ”On specific sites” tai ”On click”. Laajennus toimii edelleen siellä, missä sen tarvitsee toimia, eikä enää lue kaikkea muuta.

5. Tarkista, onko omistaja vaihtunut

   Laajennuksia myydään eteenpäin, ja uusi omistaja voi julkaista päivityksen, joka asentuu huomaamatta. Merkkinä voi olla vaihtunut julkaisija tai tukiosoite, päivitys pitkän hiljaisen jakson jälkeen ilman selkeää kuvausta muutoksista, aiemmasta versiosta puuttuneita uusia käyttöoikeuksia tai äkillinen tulva arvosteluja, joissa ilmoitetaan muuttuneista hakutuloksista ja mainoksista.

Niille, jotka haluavat tutkia asiaa tarkemmin, on vielä kuudes tarkistus: ota ”Developer mode” käyttöön samalla sivulla, napsauta laajennuksen alla olevaa sinistä linkkiä ja katso ”Network”-välilehdeltä, mihin pyynnöt menevät. Niiden pitäisi mennä vain claude.ai-sivustolle ja laajennuksen tekijän sivustolle. Jos näkyviin tulee kolmas osoite, jota ei mainita kuvauksessa, laajennus lähettää tietosi muualle. Tämä tarkistus on työläs; viisi ensimmäistä vaihetta riittävät ilman sitä.

Kysy vielä itseltäsi: miksi tämä tehtävä tarvitsee avaimen koko tiliisi? Voit näyttää jäljellä olevat käyttörajat ilman sitä ja myös viedä keskustelut.

Mitä tehdä, jos olet jo luovuttanut avaimen?#

1. Poista laajennus tai mitätöi sen käyttöoikeus

   Niin kauan kuin se on asennettuna, jokainen uusi avain vuotaa samalla tavalla. Siirry osoitteeseen chrome://extensions ja napsauta ”Remove”.

2. Katso, kuka on parhaillaan kirjautuneena tilillesi

   Avaa claude.ai-sivustolla ”Settings”, ”Account”-osio ja ”Active sessions” -lohko. Kustakin istunnosta näet laitteen ja selaimen, yhteysosoitteeseen perustuvan likimääräisen sijainnin sekä viimeisimmän käyttöajan; nykyinen istuntosi merkitään ”Current session” -kuvakkeella. Tuntematon kaupunki tai jonkun toisen selain luettelossa ei jätä arvailun varaa. Voit sulkea yksittäisen istunnon kolmen pisteen valikosta valitsemalla ”Terminate” ja vahvistamalla toiminnon.

3. Kirjaudu ulos kaikista istunnoista kerralla

   Samassa paikassa, ”Settings” → ”Account”, on ”Log Out” -painike. Se kirjaa sinut ulos kaikilla laitteilla: selaimissa, mobiilisovelluksissa ja työpöytäohjelmissa. Tämä sulkee kaikki aktiiviset istunnot. Myös kyseisen istunnon yksittäinen päättäminen mitätöi sen. Käytä koko tilin uloskirjautumista, kun et tunnista istuntoa luotettavasti. Anthropic huomauttaa, ettei Clauden iOS- ja Android-mobiilisovelluksissa ole tätä painiketta; kirjaudu ulos selaimessa.

4. Vaihda salasanasi, jos kirjaudut sisään salasanalla

   Ohita tämä vaihe, jos kirjaudut sisään valitsemalla ”Continue with Google” tai työkäyttäjätilin kautta. Järjestyksellä on väliä: salasanan vaihtaminen estää tulevat kirjautumiset, mutta ei katkaise jo avoimia istuntoja, joten tee se vaiheen 3 jälkeen.

5. Ilmoita asiasta Anthropicille

   Kuluttajaehdot edellyttävät, että ilmoitat luvattomasta käytöstä välittömästi lähettämällä sähköpostia osoitteeseen support@anthropic.com. Älä lähetä viestiä vain saadaksesi kohdan kuitattua: jos joku on jo tehnyt tililläsi jotakin, ilmoituksesta jää merkintä siitä, että sinä itse ilmoitit asiasta.

6. Tarkista avaimesi ja historiasi

   Jos sinulla on kehittäjäkonsolitili, tarkista ”API Keys” -osio ja poista kaikki, joista et ole varma. Anthropic suosittelee mitätöimään avaimen heti, kun epäilet sen vuotaneen, ja asettamaan samalla käyttörajat. Tyhjennä sitten Projects-projekteista arkaluonteiset keskustelut ja tiedostot: ne katoavat historiasta heti ja tallennustilasta kolmenkymmenen päivän kuluessa. Jos haluat ladata täydellisen kopion keskusteluistasi tarkastelua varten, siirry kohtaan ”Settings” → ”Privacy” → ”Export data”; arkistolinkki on käytettävissä yhden päivän ajan. Tarkista myös, onko jotakin vuotanut aiemmin toista kautta: katso julkisia keskustelulinkkejä käsittelevä artikkeli Claude-keskusteluista, jotka näkyvät Googlen haussa.

Yksi erillinen kysymys saa ihmiset epäröimään kolmannen vaiheen kohdalla: mitä tapahtuu tilaukselle, josta he ovat jo maksaneet myyjälle? ”Log Out” -painike sulkee istunnot eikä koske tilaukseen: tilaus on liitetty tiliin, ja sen voi peruuttaa erikseen ”Billing”-osion painikkeella. Voit siis kirjautua ulos kaikista istunnoista ja pitää maksullisen tilauksen. Myyjän omissa ehdoissa kuitenkin sanoudutaan irti vastuusta tilien estämisestä, joten sinulla ei ole tässä suojaa; päätös ”odotan, koska en halua menettää rahaa” ei suojaa sinua yhtään miltään.

Yhtä asiaa et voi perua: luettu on luettu. Jos keskusteluissa oli asiakastietoja, puhu organisaatiosi tietosuojasta vastaavan henkilön kanssa.

Miten voit tehdä saman ilman avainta?#

Voit mitätöidä API-avaimet yksi kerrallaan sulkematta selainistuntojasi. Myös selainistunnot tukevat yksittäistä päättämistä, mutta hallintakeinot ja rajaukset ovat erillisiä: poista vaarantunut API-avain konsolista tai päätä kyseinen verkkoistunto Active sessions -näkymässä. Anthropic suosittelee eri avainten käyttämistä eri ympäristöissä – kehityksessä, testauksessa ja tuotannossa – ja niiden vaihtamista aikataulun mukaan, esimerkiksi 90 päivän välein. Katso tilauksen uusimisohjeet.

Vielä erillinen huomio virallisesta laajennuksesta, koska sekin voi käyttää keskusteluja. Erona on se, että se käyttää Claude-kirjautumistasi omalla tietokoneellasi eikä lähetä mitään ulkopuolelle: avain ei lähde mihinkään. Anthropic on silti ohjeissaan varovainen: se suosittelee käyttämään laajennusta erillisessä selainprofiilissa, jolla ei ole pääsyä pankki-, terveys- tai viranomaistileihin. Jos alustan luoja on näin varovainen oman tuotteensa suhteen, sinun kannattaa olla vielä varovaisempi kolmannen osapuolen laajennuksen kanssa, jolla on pääsy claude.ai-sivustolle.

Mitä muuta istuntoavaimista kysytään?#

Mitä seuraavaksi?#

Laajennusten tarkistamiseen menee noin kymmenen minuuttia, ja tulos on yleensä epämiellyttävä yllätys. Avaa chrome://extensions ja laske, kuinka monella laajennuksella on ”On all sites” -käyttöoikeus. Vaihda asetus ”On click” -tilaan kaikilta, jotka toimivat ilman laajempaa oikeutta. Tarkista muiden kohdalla, onko claude.ai luettelossa laajennukselle, jolla ei ole mitään tekemistä Clauden kanssa.

Tässä on myös tilanteen ulkopuolellakin pätevä sääntö. Jos työkalu pyytää pääsyä koko tiliisi, vaikka se voisi käyttää erillistä avainta, se säästää omaa työtään sinun kustannuksellasi. Artikkelissa Onko turvallista antaa Claude Codelle pääsy tietoihisi? kerrotaan, mille tekoälytyökaluille kannattaa antaa pääsyä tietoihin ja mille ei. Katso vibe-koodauksen tietoturva, jos haluat tietää vibe codingilla tehtyjen asioiden haavoittuvuuksista.

Avaa Ailoot.