Kunci sesi Claude: risiko dan pencabutan akses

Jika sebuah ekstensi atau penjual langganan meminta string yang diawali sk-ant-sid, jangan berikan. String ini disebut kunci sesi. Ini bukan kata sandi; ini sudah merupakan pintu terbuka ke akun Anda: dengan kunci ini, seseorang dapat membaca semua percakapan dan file Anda, mereka tidak akan diminta faktor kedua, dan Anda dapat mencabut sesi terdampak pada Active sessions. Jika tidak dapat mengidentifikasi sesi yang bocor, gunakan tindakan “Log Out” seluruh akun, yang juga mengeluarkan Anda.

Sudah terlanjur memberikannya? Langsung buka bagian tentang cara menutup akses. Dua langkah pertama hanya perlu semenit.

Berikutnya: apa sebenarnya string ini, apa yang dapat dilihat orang di ujung sana, dan mengapa aturan Anthropic menganggap memberikannya sebagai pelanggaran. Artikel ini tidak menjelaskan cara mengambil kunci: alih-alih memberi petunjuk seperti “tekan F12 lalu salin”, artikel ini membahas akibat dari memberikan akses kepada orang lain.

Informasi praktis tentang penggunaan Ailoot tersedia di dokumentasi.

Apa itu kunci sesi Claude?#

Saat Anda memasukkan email dan kode dari pesan, layanan memverifikasi Anda satu kali. Hasil pemeriksaan itu harus disimpan di suatu tempat, atau Anda harus mengonfirmasi identitas setiap kali mengeklik sesuatu. Browser Anda menyimpannya dalam file kecil yang otomatis dikirim ke server bersama setiap tindakan yang Anda lakukan di situs.

Claude menggunakan file bernama sessionKey. Anthropic mencantumkannya dalam tabel cookie publiknya:

Tabel yang sama mencantumkan beberapa cookie layanan lain dengan masa berlaku singkat, tetapi inilah cookie yang diminta orang. Anthropic menjelaskan kategori ini sebagai berikut:

Anda tidak dapat menonaktifkannya karena tanpa file ini Anda tidak bisa masuk. Nilainya tampak seperti satu string panjang yang diawali sk-ant-sid. Jika seseorang meminta “string yang diawali sk-ant-sid”, inilah yang mereka maksud.

Catatan tentang waktunya agar tidak membingungkan nanti. Tabel mencantumkan masa satu bulan untuk file itu sendiri, sedangkan sesi berlangsung selama 28 hari, dan setiap jam Anda melakukan sesuatu di claude.ai, hitungannya dimulai kembali. Kesimpulan praktisnya sederhana: kunci yang Anda berikan hari ini akan berfungsi selama berminggu-minggu, dan aktivitas Anda sendiri hanya memperpanjang masa berlakunya.

Artikel ini menggunakan “kunci sesi” dan “token sesi” untuk menyebut hal yang sama.

Apa perbedaan kunci sesi dengan kata sandi dan kunci API?#

Ketiganya adalah hal yang berbeda, tetapi orang sering menyatukannya sebagai “akses akun”:

Perbedaan antara kolom pertama dan kedua seperti perbedaan antara paspor dan gelang akses all-inclusive. Anda menunjukkan paspor di resepsionis; setelah memeriksanya, mereka memberi Anda gelang. Berikan gelang itu kepada orang lain, dan mereka bisa makan, minum, serta masuk ke kamar Anda tanpa ada yang meminta paspor mereka. Mengganti paspor yang hilang tidak membuat gelang di tangan orang lain lenyap.

Kunci sesi bekerja dengan cara yang sama. Tidak perlu mengganti cookie secara manual: akhiri sesi terdampak pada Active sessions. Jika tidak dapat mengidentifikasi sesi bocor dengan andal, gunakan keluar seluruh akun untuk menutup semuanya, termasuk sesi sendiri.

Mengapa ekstensi dan layanan meminta kunci ini?#

Berikut dua contoh nyata. Kami tidak menyertakan tautan ke contoh tersebut agar tidak mengirimkan trafik kepada mereka.

Penjual langganan. Bentuknya seperti layanan: Anda membayar lebih murah daripada harga resmi, mengirimkan kunci, lalu mereka “mengaktifkan” Pro atau Max di akun Anda sendiri. Salah satu penawaran seperti itu dijual di pasar barang digital besar pada 19 Agustus 2026. Ketentuannya mengatakan bahwa hanya kunci sesi yang diperlukan, dan baris terpisah meyakinkan pembaca bahwa kata sandi atau akses email Anda tidak dibutuhkan. Penawaran itu telah terjual lebih dari seratus kali, dengan 38 pengembalian dana, dan penjual lebih dulu menyangkal tanggung jawab atas kemungkinan pemblokiran akun dalam sebuah baris terpisah.

Petunjuk berbahasa Rusia untuk layanan serupa lainnya berakhir dengan dua permintaan yang intinya sama: jangan keluar dari akun Claude sampai pesanan selesai, dan tetap masuk sampai aktivasi tuntas. Keluar akan mengakhiri sesi dan membuat kunci yang Anda berikan tidak berguna. Layanan itu mengetahui hal ini dan meminta Anda untuk tidak melakukannya. Petunjuknya tidak mengatakan apa yang terjadi pada kunci setelah “aktivasi selesai”.

Program pihak ketiga yang menggunakan Claude di web. claude.ai memiliki endpoint internal yang dipanggil oleh halaman itu sendiri saat Anda menggunakannya. Jika seseorang menambahkan cookie orang lain ke permintaan semacam itu, mereka dapat merutekan aktivitas melalui langganan alih-alih membayar akses API. Pustaka untuk melakukan ini tersedia secara publik; yang paling populer memiliki hampir seribu bintang di GitHub, dan petunjuknya hanya memiliki satu langkah tentang kunci. Salah satu proyek menyimpan sekumpulan cookie milik orang lain dan menggunakannya secara bergantian, dengan status “diblokir” untuk kunci dalam kumpulan itu: pembuatnya sejak awal tahu bahwa sebagian akun yang diberikan kepada mereka akan dinonaktifkan, dan mereka telah memperhitungkannya dalam program.

Penghitung penggunaan, ekspor percakapan, integrasi. Kategori ini biasanya tidak meminta Anda menempelkan apa pun karena ekstensinya berjalan di dalam browser dan mengambil cookie yang sudah tersimpan di sana. Perbedaannya dari dua kategori pertama hanya bahwa program yang Anda beri izin menekan tombol salin untuk Anda.

Kategori keempat mencuri kunci. Halaman instalasi palsu, program yang menghapus semua yang tersimpan di browser, dan ekstensi yang berubah setelah kepemilikannya dialihkan dibahas terpisah di bawah.

Apa yang dapat dilihat seseorang yang memiliki kunci Anda?#

Kunci sesi terikat pada Anda secara keseluruhan; kunci ini tidak terkait dengan obrolan tertentu. Jadi, kunci ini membuka seluruh akun:

• Percakapan. Semua percakapan, termasuk versi jawaban terdahulu yang tersembunyi di balik panah pada antarmuka.
• File. Kontrak, ekspor basis data, model keuangan, tangkapan layar—semua yang pernah Anda seret ke obrolan atau masukkan ke Project.
• Memori dan instruksi khusus. Hal yang Anda ceritakan kepada Claude tentang diri dan pekerjaan Anda agar tidak perlu mengulanginya setiap kali.
• Email dan paket akun. Anda dapat melihatnya di halaman pengaturan, sama seperti orang lain.
• Sisa batas penggunaan dan jumlah yang masih dapat dibelanjakan. Biasanya angka-angka inilah yang ingin ditampilkan oleh penghitung.
• Izin untuk bertindak. Mereka dapat mengirim permintaan, menghapus percakapan, dan mengubah pengaturan.

Antarmuka Claude tidak menampilkan detail kartu secara lengkap, jadi kartu Anda tidak akan dicuri. Namun, langganan Anda berada di akun yang sama yang sudah dimasuki orang lain, dan langganan itu dapat dibatalkan dengan tombol biasa di pengaturan.

Percakapan yang dihapus langsung menghilang dari riwayat dan akan dihapus dari penyimpanan Anthropic dalam waktu tiga puluh hari. Lamanya orang lain dapat membaca percakapan Anda bergantung pada masa berlaku kunci sesi; menghapus obrolan sama sekali tidak memengaruhinya.

Sebaiknya simpan pengetahuan kerja dalam file di sebuah proyek: Anda dapat melihat dan mengeditnya, dan kehilangan sesi tidak akan menghilangkannya.

Mengapa ini lebih berbahaya daripada kata sandi yang dicuri?#

Pernyataan “ekstensi melewati perlindungan autentikasi dua faktor” terdengar dramatis, tetapi juga tidak akurat. Ekstensi baru bekerja setelah kata sandi diperiksa, kode dari email dimasukkan, dan server menerbitkan konfirmasi. Konfirmasi itulah yang diambil.

Sifat kedua adalah durasinya. Selama sesi masih aktif, kunci tetap berfungsi, dan Anda dapat terus menggunakan akun seperti biasa sambil memperpanjang akses orang lain setiap kali berkunjung.

Poin ketiga berkaitan dengan flag HttpOnly. Flag ini dianggap sebagai perlindungan utama untuk sesi, dan memang mencegah skrip halaman itu sendiri mengakses cookie. Namun, ekstensi dapat membacanya melalui mekanisme terpisah milik ekstensi. Deskripsi proyek Chromium tentang mekanisme itu menyatakan:

Dokumentasi Chrome saat ini mengonfirmasi hal ini secara tidak langsung: ekstensi menerima objek cookie dengan properti httpOnly, yang berarti ekstensi juga dapat melihat cookie tersebut.

Tentu saja, tidak semua ekstensi lain mencuri cookie. Hanya saja, “tersedia di toko dan berperingkat tinggi” tidak lagi menjamin apa pun, jadi perhatikan daftar izinnya.

Apa kata aturan Claude tentang hal ini?#

Bagian 2 dari Ketentuan Konsumen Anthropic, dikutip persis:

Menyerahkan kunci sesi jelas termasuk dalam ketentuan ini. Bagian yang sama menyatakan bahwa pemilik akun bertanggung jawab atas semua aktivitas di bawah akun tersebut dan harus segera memberi tahu dukungan jika terjadi akses tanpa izin. Bagian 3 secara terpisah melarang mengakses layanan “dengan cara otomatis atau nonmanusia, baik melalui bot, skrip, atau cara lain” jika tidak melalui kunci API. Bagian 13 memberi Anthropic hak untuk menangguhkan atau menghentikan akses kapan saja tanpa pemberitahuan jika perusahaan menganggap ketentuan telah dilanggar secara material. Menyerahkan satu kunci sekaligus menyentuh ketiga ketentuan itu.

Dokumentasi Claude Code menyatakan hal berikut tentang program pihak ketiga:

Kualifikasi mengenai klaim yang dibuat: tidak ditemukan pernyataan publik dari Anthropic yang berbunyi “kami memblokir orang karena berbagi sessionKey”, jadi artikel ini tidak mengatribusikan kalimat tersebut kepada perusahaan. Dokumen menunjukkan bahwa aturan secara eksplisit melarangnya, pemilik akun bertanggung jawab, dan akses dapat dinonaktifkan tanpa pemberitahuan. Ada juga petunjuk tidak langsung: program pihak ketiga mencantumkan status “diblokir” sebagai status kunci biasa.

Ada larangan kedua juga. Aturan penggunaan melarang mengakali pemblokiran melalui akun lain dan memberikan akses kepada seseorang yang sudah dinonaktifkan. Jika seseorang membeli kunci Anda untuk tujuan itu, pelanggaran akan tercatat pada akun Anda. Alasan lain Anthropic menutup akses dikumpulkan dalam artikel tentang mengapa akun Claude diblokir.

Bagaimana cara memeriksa ekstensi sebelum dan sesudah memasangnya?#

Yang dapat Anda lihat sebelum memasang. Halaman toko memiliki bagian privasi yang menjelaskan data apa yang dikumpulkan dan dibagikan oleh ekstensi. Petunjuk kedua adalah cara Anda menemukannya. Jika ekstensi tidak dapat ditemukan melalui pencarian toko dan hanya dapat dipasang dari tautan langsung dalam pesan orang lain, anggap itu sebagai tanda peringatan.

Yang perlu diperiksa di antara ekstensi yang sudah terpasang. Hari ini, periksa seluruh daftar dengan mengikuti lima langkah ini.

1. Buka daftar ekstensi dan periksa izinnya

   Alamatnya adalah chrome://extensions; untuk ekstensi yang ingin Anda periksa, klik “Detail”. Di Edge, alamatnya adalah edge://extensions. Arc dan browser lain yang menggunakan mesin yang sama memakai alamat chrome://extensions yang sama.

2. Cari baris yang menyebut claude.ai

   Chrome tidak menampilkan peringatan terpisah tentang akses cookie, jadi lihat daftar situsnya. Baris seperti “Membaca dan mengubah data Anda di claude.ai” berarti ekstensi bekerja di dalam sesi Claude Anda. Itu wajar untuk penghitung penggunaan. Itu tidak wajar jika baris tersebut muncul pada ekstensi yang tidak terkait dengan Claude.

3. Periksa apakah akses ke semua situs diizinkan

   Bagian “Akses situs” mungkin menampilkan “Di semua situs”. Ini memberi ekstensi akses ke bank, email, dan panel admin situs Anda juga. Penghitung penggunaan Claude sama sekali tidak memerlukan izin itu.

4. Batasi akses seminimal mungkin

   Di tempat yang sama, ubah “Di semua situs” menjadi “Di situs tertentu” atau “Saat diklik”. Ekstensi akan tetap berfungsi di tempat yang diperlukan dan berhenti membaca hal lainnya.

5. Periksa apakah kepemilikannya berubah

   Ekstensi bisa dijual kembali, dan pemilik baru dapat merilis pembaruan yang dipasang secara diam-diam. Tanda-tandanya antara lain penerbit atau alamat dukungan yang berubah, pembaruan setelah lama tidak aktif tanpa penjelasan perubahan yang jelas, izin baru yang tidak ada di versi sebelumnya, atau lonjakan ulasan yang melaporkan hasil pencarian dan iklan yang diganti.

Ada pemeriksaan keenam bagi siapa pun yang ingin menyelidiki lebih jauh: aktifkan “Mode pengembang” di halaman yang sama, klik tautan biru di bawah ekstensi, lalu gunakan tab “Network” untuk melihat ke mana permintaan dikirim. Permintaan seharusnya hanya dikirim ke claude.ai dan situs pembuat ekstensi. Jika muncul alamat ketiga yang tidak disebutkan dalam deskripsi, ekstensi tersebut mengirim data Anda ke tempat lain. Pemeriksaan ini merepotkan; lima langkah pertama sudah cukup tanpa pemeriksaan tersebut.

Lalu tanyakan satu hal terakhir kepada diri sendiri: mengapa tugas ini membutuhkan kunci untuk seluruh akun Anda? Sisa batas penggunaan dapat ditampilkan tanpa kunci itu, dan percakapan juga dapat diekspor.

Apa yang harus dilakukan jika Anda sudah memberikan kunci?#

1. Hapus ekstensi atau cabut aksesnya

   Selama ekstensi terpasang, kunci baru apa pun akan bocor dengan cara yang sama. Buka chrome://extensions lalu klik “Hapus”.

2. Lihat siapa yang sedang berada di akun Anda

   Di claude.ai, buka “Pengaturan”, bagian “Akun”, lalu blok “Sesi aktif”. Untuk setiap sesi, Anda dapat melihat perangkat dan browser, perkiraan lokasi berdasarkan alamat koneksi, serta waktu terakhir sesi digunakan; sesi Anda saat ini ditandai dengan ikon “Sesi saat ini”. Kota yang tidak dikenal atau browser orang lain dalam daftar itu tidak menyisakan keraguan. Anda dapat menutup sesi tertentu melalui menu tiga titik, “Akhiri”, lalu konfirmasi.

3. Keluar dari semua sesi sekaligus

   Di tempat yang sama, “Pengaturan” → “Akun”, terdapat tombol “Keluar”. Tombol ini mengeluarkan Anda dari semua perangkat: browser, aplikasi seluler, dan program desktop. Ini menutup semua sesi aktif. Mengakhiri sesi terdampak secara individual juga mencabut sesi tersebut; gunakan keluar seluruh akun jika tidak dapat mengidentifikasinya dengan andal. Anthropic mencatat bahwa aplikasi seluler Claude untuk iOS dan Android tidak memiliki tombol ini; keluarlah melalui browser.

4. Ubah kata sandi jika Anda menggunakannya untuk masuk

   Lewati langkah ini jika Anda masuk menggunakan “Lanjutkan dengan Google” atau melalui akun kerja. Urutannya penting: mengubah kata sandi mencegah upaya masuk selanjutnya, tetapi tidak memutus sesi yang sudah terbuka, jadi lakukan ini setelah langkah 3.

5. Beri tahu Anthropic

   Ketentuan Konsumen mewajibkan Anda segera melaporkan akses tanpa izin dengan mengirim email ke support@anthropic.com. Jangan mengirim email hanya untuk mencentang kotak: jika seseorang sudah melakukan sesuatu melalui akun Anda, tindakan itu mencatat bahwa Anda sendiri telah melaporkannya.

6. Tinjau kunci dan riwayat Anda

   Jika Anda memiliki akun konsol pengembang, periksa bagian “Kunci API” dan hapus apa pun yang meragukan. Anthropic menyarankan untuk mencabut kunci segera setelah Anda mencurigai kebocoran dan sekaligus menetapkan batas penggunaan. Lalu hapus percakapan sensitif dan file dalam Projects: isinya langsung hilang dari riwayat dan akan dihapus dari penyimpanan dalam waktu tiga puluh hari. Untuk mengunduh salinan lengkap percakapan agar dapat ditinjau, buka “Pengaturan” → “Privasi” → “Ekspor data”; tautan arsip tersedia selama satu hari. Periksa juga apakah ada kebocoran lebih awal melalui jalur lain: lihat artikel tentang obrolan Claude yang muncul di pencarian Google untuk tautan percakapan publik.

Ada satu pertanyaan terpisah yang membuat orang ragu melakukan langkah ketiga: apa yang terjadi dengan langganan yang sudah dibayar kepada penjual? Tombol “Keluar” menutup sesi dan tidak memengaruhi langganan: paket terikat pada akun dan dapat dibatalkan secara terpisah dengan tombol di bagian “Penagihan”. Jadi Anda dapat keluar dari semua sesi dan tetap mempertahankan paket berbayar. Namun, ketentuan penjualnya sendiri menyangkal tanggung jawab atas pemblokiran, jadi Anda tidak memiliki perlindungan; keputusan “Saya akan menunggu karena tidak mau kehilangan uang” sama sekali tidak melindungi Anda.

Ada satu hal yang tidak dapat dibatalkan: hal yang sudah dibaca tetap sudah dibaca. Dan jika obrolan berisi data pelanggan, bicaralah dengan orang yang bertanggung jawab atas data pribadi di organisasi Anda.

Bagaimana melakukan hal yang sama tanpa kunci?#

Anda dapat mencabut kunci API satu per satu tanpa menutup sesi browser. Sesi browser juga mendukung pengakhiran individual, tetapi kontrol dan cakupannya terpisah: hapus kunci API bocor pada konsol, atau akhiri sesi web terdampak pada Active sessions. Anthropic menyarankan penggunaan kunci yang berbeda untuk lingkungan yang berbeda—pengembangan, pengujian, dan produksi—serta menggantinya secara berkala, misalnya setiap 90 hari. Lihat petunjuk perpanjangan langganan.

Catatan terpisah tentang ekstensi resmi, karena ekstensi itu juga dapat mengakses percakapan. Perbedaannya adalah ekstensi itu menggunakan sesi masuk Claude Anda di perangkat Anda sendiri dan tidak mengirim apa pun ke luar: kuncinya tidak berpindah ke mana-mana. Meski begitu, Anthropic berhati-hati dalam panduannya: mereka menyarankan agar ekstensi dijalankan di profil browser terpisah tanpa akses ke akun perbankan, medis, atau pemerintahan. Jika pembuat platform begitu berhati-hati terhadap produknya sendiri, Anda harus lebih berhati-hati lagi dengan ekstensi pihak ketiga yang dapat mengakses claude.ai.

Apa lagi yang ditanyakan orang tentang kunci sesi?#

Apa yang perlu dilakukan selanjutnya#

Meninjau ekstensi Anda memerlukan sekitar sepuluh menit dan biasanya menghasilkan kejutan yang tidak menyenangkan. Buka chrome://extensions dan hitung berapa banyak yang memiliki akses “Di semua situs”. Ubah apa pun yang dapat berfungsi tanpa akses tersebut menjadi “Saat diklik”. Untuk ekstensi lainnya, periksa apakah claude.ai tercantum untuk ekstensi yang tidak terkait dengan Claude.

Berikut aturan yang berlaku di luar situasi ini. Jika sebuah alat meminta akses ke seluruh akun Anda padahal alat itu dapat menggunakan kunci terpisah, alat tersebut menghemat pekerjaannya sendiri dengan mengorbankan Anda. Artikel Apakah aman memberi Claude Code akses ke data Anda? menjelaskan akses apa yang layak dan tidak layak diberikan kepada alat AI. Lihat keamanan vibe-coding untuk kerentanan pada hal-hal yang dibuat dengan vibe coding.

Buka Ailoot.