Claude-munkamenetkulcs: kockázatok és a hozzáférés visszavonása

Ha egy bővítmény vagy előfizetés-értékesítő olyan karakterláncot kér, amely sk-ant-sid kezdetű, ne add oda. Ezt a karakterláncot munkamenetkulcsnak hívják. Nem jelszó; már nyitott ajtó a fiókodhoz: a birtokában valaki elolvashatja az összes beszélgetésedet és fájlodat, nem kérnek tőle második hitelesítési tényezőt, és az érintett munkamenetet az Active sessions alatt visszavonhatod. Ha nem tudod azonosítani a kiszivárgott munkamenetet, használd a fiókszintű „Log Out” műveletet, amely téged is kijelentkeztet.

Már odaadtad? Ugorj közvetlenül a hozzáférés lezárásáról szóló részhez. Az első két lépés egy percet vesz igénybe.

Következzen, hogy mi ez a karakterlánc, mit láthat a másik fél, és miért tekinti az Anthropic szabályzata szabálysértésnek az átadását. Ez a cikk nem magyarázza el, hogyan lehet kinyerni a kulcsot: ahelyett, hogy olyan útmutatást adna, mint „nyomd meg az F12-t és másold ki”, azzal foglalkozik, milyen következményekkel jár, ha hozzáférést adsz valakinek.

Az Ailoot használatával kapcsolatos gyakorlati információkat a dokumentációban találod.

Mi az a Claude-munkamenetkulcs?#

Amikor megadod az e-mail-címedet és az üzenetben kapott kódot, a szolgáltatás egyszer ellenőrzi a személyazonosságodat. Ezt az ellenőrzés eredményét valahol tárolni kell, különben minden kattintásnál újra igazolnod kellene, hogy te vagy az. A böngésződ egy kis fájlban tárolja, amelyet minden webhelyen végzett művelettel együtt automatikusan elküld a szervernek.

A Claude egy sessionKey nevű fájlt használ. Az Anthropic a nyilvános cookie-táblázatában sorolja fel:

Ugyanez a táblázat több más, rövid élettartamú szolgáltatási cookie-t is felsorol, de ezt az egyet kérik el az emberek. Az Anthropic így írja le ezt a kategóriát:

Nem tilthatod le, mert e fájl nélkül nincs bejelentkezés. Az értéke egyetlen hosszú karakterláncnak látszik, amely sk-ant-sid kezdetű. Ha valaki „sk-ant-sid kezdetű karakterláncot” kér tőled, pontosan erre gondol.

Egy megjegyzés az időtartamról, hogy később ne legyen félreértés. A táblázat magára a fájlra egy hónapot ad meg, a munkamenet viszont 28 napig tart, és minden olyan óra után, amikor csinálsz valamit a claude.ai oldalon, újraindul az időszámítás. A gyakorlati tanulság egyszerű: a ma átadott kulcs hetekig működik, a saját tevékenységed pedig csak tovább tolja a lejáratát.

Ez a cikk a „munkamenetkulcs” és a „munkamenettoken” kifejezést azonos értelemben használja.

Miben különbözik a munkamenetkulcs a jelszótól és az API-kulcstól?#

Ez három különböző dolog, amelyet az emberek gyakran összemosnak „fiókhozzáférésként”:

Az első és a második oszlop közti különbség olyan, mint az útlevél és a korlátlan ellátást biztosító karkötő közti különbség. A recepción felmutatod az útleveledet, és annak ellenőrzése után kapsz egy karkötőt. Add oda a karkötőt valaki másnak, és az illető ehet, ihat, valamint bemehet a szobádba anélkül, hogy bárki elkérné az útlevelét. Az elveszett útlevél pótlása nem tünteti el a másvalaki karján lévő karkötőt.

A munkamenetkulcs ugyanígy működik. A cookie-t nem kell kézzel cserélned: az érintett munkamenetet szüntesd meg az Active sessions alatt. Ha a kiszivárgott munkamenetet nem azonosítod megbízhatóan, a fiókszintű kijelentkezéssel mindet zárd le, a sajátjaidat is.

Miért kérik el ezt a kulcsot a bővítmények és a szolgáltatások?#

Íme két valós példa. Nem linkeljük őket, hogy ne irányítsunk rájuk forgalmat.

Előfizetés-értékesítők. Szolgáltatásnak tűnik: a hivatalos árnál kevesebbet fizetsz, elküldöd a kulcsodat, ők pedig „aktiválják” a Pro vagy Max csomagot a saját fiókodban. Egy ilyen ajánlat 2026. augusztus 19-én egy nagy digitálisáru-piacon volt eladó. A feltételek szerint csak munkamenetkulcs szükséges, egy külön sor pedig megnyugtatja az olvasókat, hogy sem a jelszavukra, sem az e-mailjükhöz való hozzáférésre nincs szükség. Több mint százszor adták el, 38 visszatérítés történt, az eladó pedig egy külön sorban előre kizárja a felelősségét az esetleges fiókletiltásért.

Egy másik ilyen szolgáltatás orosz nyelvű útmutatója két, lényegében ugyanazt jelentő kéréssel zárul: ne jelentkezz ki a Claude-fiókodból, amíg a megrendelés nem teljesült, és maradj bejelentkezve az aktiválás végéig. A kijelentkezés megszünteti a munkamenetet, így a nekik átadott kulcs használhatatlanná válik. A szolgáltatás ezt tudja, és arra kér, hogy ne tedd meg. Az útmutató nem szól arról, mi történik a kulccsal az „aktiválás befejezése” után.

Harmadik féltől származó programok, amelyek a weben használják a Claude-ot. A claude.ai belső végpontokat használ, amelyeket maga az oldal hív meg, miközben dolgozol rajta. Ha valaki egy másik személy cookie-ját csatolja egy ilyen kéréshez, az API-hozzáférés kifizetése helyett az előfizetésen keresztül továbbíthatja a tevékenységet. Az ehhez szükséges könyvtárak nyilvánosan elérhetők; a legnépszerűbbek közel ezer csillagot kaptak a GitHubon, az útmutatójukban pedig pontosan egy lépés szól a kulcsról. Az egyik projekt mások cookie-jainak egész készletét tárolja, és felváltva használja őket; a készletben szereplő kulcsok állapota lehet „letiltva”. A készítők előre tudják, hogy a nekik átadott fiókok közül néhányat le fognak tiltani, és ezt a programba is beépítették.

Használatszámlálók, beszélgetések exportálása, integrációk. Ez a kategória általában nem kéri, hogy illessz be bármit, mert a bővítmény a böngésződben fut, és megszerzi az ott már tárolt cookie-t. Az első két kategóriától csak annyiban különbözik, hogy az általad engedélyezett program nyomja meg helyetted a másolás gombot.

A negyedik kategória ellopja a kulcsot. A hamis telepítőoldalakról, a böngészőben elmentett összes adatot törlő programokról, valamint a tulajdonosváltás után megváltozó bővítményekről külön olvashatsz alább.

Mit láthat az, akinek megvan a kulcsod?#

A munkamenetkulcs hozzád mint egészhez kapcsolódik; nem egy adott csevegéshez. Ezért az egész fiókot megnyitja:

• Beszélgetések. Minden beszélgetés, beleértve a felületen nyilak mögé rejtett korábbi válaszváltozatokat is.
• Fájlok. Szerződések, adatbázis-exportok, pénzügyi modellek, képernyőképek — minden, amit valaha csevegésbe húztál vagy egy Projectbe tettél.
• Memória és egyéni utasítások. Amit elmondtál a Claude-nak magadról és a munkádról, hogy ne kelljen minden alkalommal megismételned.
• Fiók e-mail-címe és előfizetése. Ezeket ugyanúgy láthatja a beállítások oldalán, mint te.
• Fennmaradó használati keret és az, hogy mennyit költhetsz még. Általában ezeket az értékeket jelenítik meg a számlálók.
• Műveleti jogosultság. Kéréseket küldhet, beszélgetéseket törölhet és beállításokat módosíthat.

A Claude felülete nem mutatja a kártyaadatokat teljes egészükben, így a kártyádat nem lopják el. Az előfizetésed azonban ugyanabban a fiókban van, amelybe valaki más már belépett, és a szokásos beállítási gombbal lemondható.

A törölt beszélgetések azonnal eltűnnek az előzményekből, az Anthropic tárhelyéről pedig harminc napon belül. Az, hogy valaki más meddig olvashatja a beszélgetéseidet, a munkamenetkulcs élettartamától függ; a csevegések törlése egyáltalán nem befolyásolja ezt.

Jobb, ha a munkával kapcsolatos ismereteket egy projekt fájljaiban tartod: megtekintheted és szerkesztheted őket, és a munkamenet elvesztésével sem tűnnek el.

Miért veszélyesebb ez, mint egy ellopott jelszó?#

Az az állítás, hogy „a bővítmény megkerüli a kétlépcsős védelmet”, drámaian hangzik, de pontatlan. A bővítmény csak azután lép működésbe, hogy ellenőrizték a jelszót, megadták az e-mailben küldött kódot, és a szerver kiadta a megerősítést. Ezt a megerősítést szerzik meg.

A második tulajdonság az időtartam. Amíg a munkamenet él, a kulcs működik, te pedig a szokásos módon használhatod a fiókodat, miközben minden látogatásoddal meghosszabbítod valaki más hozzáférését.

A harmadik pont a HttpOnly jelzővel kapcsolatos. Ezt tekintik a munkamenetek fő védelmének, és valóban megakadályozza, hogy az oldal saját szkriptjei hozzáférjenek a cookie-hoz. A bővítmények azonban saját, külön mechanizmusukkal elolvashatják. A Chromium projektleírása a következőket mondja erről a mechanizmusról:

A Chrome jelenlegi dokumentációja közvetve ezt is megerősíti: a bővítmény egy httpOnly tulajdonsággal rendelkező cookie-objektumot kap, ami azt jelenti, hogy ezeket a cookie-kat is láthatja.

Természetesen nem minden másik bővítmény lop cookie-kat. Csakhogy a „megtalálható az áruházban és magas az értékelése” már nem jelent garanciát semmire, ezért figyelj az engedélyek listájára.

Mit mond erről a Claude szabályzata?#

Az Anthropic Fogyasztói feltételeinek 2. szakasza, szó szerint:

A munkamenetkulcs átadása egyértelműen e rendelkezés hatálya alá esik. Ugyanez a szakasz kimondja, hogy a fiók tulajdonosa felel a fiók alatt végzett összes tevékenységért, és azonnal értesítenie kell az ügyfélszolgálatot minden jogosulatlan hozzáférésről. A 3. szakasz külön tiltja a szolgáltatás „automatizált vagy nem emberi módon, akár bottal, szkripttel vagy másként” történő elérését, ha az nem API-kulcson keresztül történik. A 13. szakasz jogot ad az Anthropicnak a hozzáférés bármikori, előzetes értesítés nélküli felfüggesztésére vagy megszüntetésére, ha a vállalat úgy ítéli meg, hogy a feltételeket lényegesen megsértették. Egyetlen kulcs átadása egyszerre mindhárom rendelkezést érinti.

A Claude Code dokumentációja ezt írja a harmadik féltől származó programokról:

Pontosítás arról, hogy mi az állítás: nem találtunk az Anthropictól olyan nyilvános közleményt, amely szerint „kitiltjuk azokat, akik megosztják a sessionKey-t”, ezért a cikk nem tulajdonítja ezt a megfogalmazást a vállalatnak. A dokumentumok azt mutatják, hogy a szabályok kifejezetten tiltják ezt, a fiók tulajdonosa felel érte, a hozzáférés pedig előzetes értesítés nélkül letiltható. Közvetett jelek is vannak: a harmadik féltől származó programok a „letiltott” állapotot a kulcsok szokásos állapotaként kezelik.

Egy másik tilalom is érvényben van. A használati szabályok tiltják a korlátozás megkerülését egy másik fiókkal, illetve a hozzáférés biztosítását olyan személynek, akit már letiltottak. Ha valaki erre a célra vásárolta meg a kulcsodat, a szabálysértést a te fiókodhoz rögzítik. Az Anthropic hozzáférés-megszüntetési okait a miért tiltják le a Claude-fiókokat című cikk gyűjti össze.

Hogyan ellenőrizhetsz egy bővítményt telepítés előtt és után?#

Amit telepítés előtt láthatsz. Az áruházi adatlapon van egy adatvédelmi rész, amely leírja, milyen adatokat gyűjt és oszt meg a bővítmény. A második támpont az, hogyan találtad meg. Ha a bővítmény nem található meg az áruház keresőjével, és csak valaki más üzenetében kapott közvetlen hivatkozásból telepíthető, tekintsd ezt figyelmeztető jelnek.

Mit ellenőrizz a már telepített bővítmények között. Még ma nézd végig az egész listát az alábbi öt lépéssel.

1. Nyisd meg a bővítmények listáját, és ellenőrizd az engedélyeket

   A cím chrome://extensions; annál a bővítménynél, amelyet ellenőrizni akarsz, kattints a „Részletek” gombra. Edge-ben a cím edge://extensions. Az Arc és az ugyanerre a motorra épülő más böngészők ugyanazt a chrome://extensions címet használják.

2. Keresd meg a claude.ai-ra vonatkozó sort

   A Chrome nem jelenít meg külön figyelmeztetést a cookie-hozzáférésről, ezért inkább a webhelyek listáját nézd meg. Az olyan sor, mint például „Adatok olvasása és módosítása a claude.ai oldalon”, azt jelenti, hogy a bővítmény a Claude-munkameneteden belül működik. Ez normális egy használatszámlálónál. Egy Claude-hoz nem kapcsolódó bővítménynél viszont nem normális.

3. Ellenőrizd, engedélyezett-e az összes webhely elérése

   A „Webhely-hozzáférés” résznél megjelenhet a „Minden webhelyen” beállítás. Így a bővítmény hozzáférhet a bankodhoz, az e-mailjeidhez és a webhelyed adminisztrációs felületéhez is. Egy Claude-használatszámlálónak semmilyen körülmények között nincs szüksége erre.

4. Csökkentsd a hozzáférést a szükséges minimumra

   Ugyanott állítsd át a „Minden webhelyen” beállítást „Adott webhelyeken” vagy „Kattintáskor” értékre. A bővítmény továbbra is működik ott, ahol szükség van rá, a többihez viszont már nem fér hozzá.

5. Ellenőrizd, változott-e a tulajdonos

   A bővítményeket továbbértékesíthetik, az új tulajdonos pedig olyan frissítést adhat ki, amely csendben települ. Erre utalhat a megváltozott kiadó vagy támogatási cím, a hosszú nyugalmi időszak után érkező, világos változásleírás nélküli frissítés, a korábbi verzióban nem szereplő új engedély, illetve a lecserélt keresési találatokról és hirdetésekről szóló értékelések hirtelen megszaporodása.

Van egy hatodik ellenőrzés is azoknak, akik alaposabban utánajárnának: kapcsold be a „Fejlesztői módot” ugyanazon az oldalon, kattints a bővítmény alatti kék hivatkozásra, majd a „Network” lapon nézd meg, hová mennek a kérések. Csak magához a claude.ai-hoz és a bővítmény készítőjének webhelyéhez szabad menniük. Ha megjelenik egy harmadik cím, amelyet nem említenek a leírásban, a bővítmény máshová küldi az adataidat. Ez az ellenőrzés időigényes; az első öt lépés enélkül is elegendő.

És tegyél fel magadnak még egy utolsó kérdést: miért van szüksége ennek a feladatnak a teljes fiókod kulcsára? A fennmaradó használati keret enélkül is megjeleníthető, a beszélgetések pedig exportálhatók.

Mit tegyél, ha már odaadtad a kulcsot?#

1. Távolítsd el a bővítményt vagy vond vissza a hozzáférését

   Amíg telepítve van, minden új kulcs ugyanoda kerül. Nyisd meg a chrome://extensions oldalt, és kattints az „Eltávolítás” gombra.

2. Nézd meg, ki van éppen a fiókodban

   A claude.ai oldalon nyisd meg a „Beállítások”, azon belül a „Fiók” részt, majd az „Aktív munkamenetek” blokkot. Minden munkamenetnél láthatod az eszközt és a böngészőt, a kapcsolati cím alapján becsült helyet, valamint az utolsó használat idejét; a jelenlegi munkamenetet a „Jelenlegi munkamenet” ikon jelzi. Ha ismeretlen várost vagy valaki más böngészőjét látod a listában, nincs mit találgatni. Az adott munkamenetet a hárompontos menüben a „Lezárás” elemre kattintva, majd a művelet megerősítésével zárhatod le.

3. Jelentkezz ki egyszerre az összes munkamenetből

   Ugyanott, a „Beállítások” → „Fiók” résznél található a „Kijelentkezés” gomb. Ez minden eszközön kijelentkeztet: böngészőben, mobilalkalmazásban és asztali programban is. Ez minden aktív munkamenetet lezár. Az érintett munkamenet egyéni megszüntetése is visszavonja azt; ha nem azonosítható megbízhatóan, használd a fiókszintű kijelentkezést. Az Anthropic megjegyzi, hogy az iOS- és Android-rendszerű Claude-mobilalkalmazásban nincs ilyen gomb; böngészőből jelentkezz ki.

4. Változtasd meg a jelszavadat, ha azzal jelentkezel be

   Hagyd ki ezt a lépést, ha a „Folytatás Google-lel” lehetőséggel vagy munkahelyi fiókkal lépsz be. A sorrend számít: a jelszó megváltoztatása megakadályozza a későbbi bejelentkezéseket, de nem bontja a már megnyitott munkameneteket, ezért ezt csak a 3. lépés után tedd meg.

5. Értesítsd az Anthropicot

   A Fogyasztói feltételek előírják, hogy az illetéktelen hozzáférést haladéktalanul jelentsd a support@anthropic.com címen. Ne csak azért küldd el az e-mailt, hogy kipipáld ezt a feladatot: ha valaki már végzett valamit a fiókodban, azzal rögzíted, hogy te magad jelentetted az esetet.

6. Tekintsd át a kulcsaidat és az előzményeidet

   Ha van fejlesztői konzolfiókod, ellenőrizd az „API-kulcsok” részt, és törölj mindent, amiben nem vagy biztos. Az Anthropic azt javasolja, hogy szivárgás gyanúja esetén azonnal vond vissza a kulcsot, és ezzel egy időben állíts be használati korlátokat. Ezután töröld az érzékeny beszélgetéseket és a Projects fájljait: ezek azonnal eltűnnek az előzményekből, a tárhelyről pedig harminc napon belül. Ha felülvizsgálathoz le szeretnéd tölteni a beszélgetéseid teljes másolatát, nyisd meg a „Beállítások” → „Adatvédelem” → „Adatok exportálása” részt; az archívum hivatkozása egy napig érhető el. Azt is ellenőrizd, hogy korábban más módon kiszivárgott-e valami: a nyilvános beszélgetési hivatkozásokról lásd a Google-keresésben megjelenő Claude-csevegésekről szóló cikket.

Egy külön kérdés miatt sokan haboznak a harmadik lépéssel: mi történik azzal az előfizetéssel, amelyet már kifizettek az eladónak? A „Kijelentkezés” gomb lezárja a munkameneteket, az előfizetéshez viszont nem nyúl: a csomag a fiókhoz kötődik, és külön lemondható a „Számlázás” rész gombjával. Tehát kijelentkezhetsz az összes munkamenetből, és megtarthatod a fizetős csomagot. Az eladó saját feltételei azonban kizárják a felelősségvállalást a letiltásokért, így nincs védelmed; a „várok, mert nem akarom elveszíteni a pénzt” döntés éppen semmitől nem véd meg.

Egyvalamit nem lehet visszacsinálni: amit már elolvastak, azt már elolvasták. Ha pedig az előzmények ügyféladatokat tartalmaztak, beszélj a szervezetedben a személyes adatokért felelős személlyel.

Hogyan érheted el ugyanezt kulcs nélkül?#

Az API-kulcsokat egyenként visszavonhatod a böngészős munkamenetek lezárása nélkül. A böngészős munkameneteket is meg lehet egyenként szüntetni, de a vezérlés és hatókör különálló: a kompromittált API-kulcsot a konzolon töröld, az érintett webes munkamenetet pedig az Active sessions alatt zárd le. Az Anthropic azt javasolja, hogy különböző környezetekhez — fejlesztéshez, teszteléshez és éles működéshez — különböző kulcsokat használj, és ütemezetten, például 90 naponta cseréld őket. Lásd az előfizetés megújításáról szóló útmutatót.

Külön megjegyzés a hivatalos bővítményről, mert ez is hozzáfér a beszélgetésekhez. A különbség az, hogy a saját gépeden a te Claude-bejelentkezésedet használja, és nem küld semmit kifelé: a kulcs nem kerül máshová. Az Anthropic még így is óvatosságra int az útmutatójában: azt javasolja, hogy a bővítményt külön böngészőprofilban futtasd, amely nem fér hozzá banki, egészségügyi vagy kormányzati fiókokhoz. Ha a platform készítője ennyire óvatos a saját termékével, legyél még óvatosabb egy olyan harmadik féltől származó bővítménnyel, amely hozzáfér a claude.ai oldalhoz.

Mit kérdeznek még az emberek a munkamenetkulcsokról?#

Mi legyen a következő lépés?#

A bővítmények áttekintése körülbelül tíz percet vesz igénybe, és általában kellemetlen meglepetést tartogat. Nyisd meg a chrome://extensions oldalt, és számold meg, hány bővítménynek van „Minden webhelyen” hozzáférése. Amit ez nélkül is lehet használni, állítsd „Kattintáskor” értékre. A többinél ellenőrizd, szerepel-e a claude.ai egy Claude-hoz nem kapcsolódó bővítmény webhelyei között.

És itt egy olyan szabály, amely ezen a helyzeten túl is érvényes. Ha egy eszköz a teljes fiókodhoz kér hozzáférést, pedig használhatna külön kulcsot, akkor a saját munkáját spórolja meg a te károdra. A Biztonságos hozzáférést adni a Claude Code-nak az adataidhoz? című cikk elmagyarázza, mit érdemes és mit nem érdemes megosztani az AI-eszközökkel. A vibe-coding biztonságáról szóló cikk a vibe codinggal készült dolgok sérülékenységeit mutatja be.

Ailoot megnyitása.