Claude sesijos raktas: rizika ir prieigos atšaukimas

Jei plėtinys ar prenumeratos pardavėjas prašo jūsų eilutės, prasidedančios sk-ant-sid, jos neduokite. Ši eilutė vadinama sesijos raktu. Tai ne slaptažodis; tai jau atviros durys į jūsų paskyrą: su juo kas nors gali perskaityti visus jūsų pokalbius ir failus, jo neprašys patvirtinti tapatybės antruoju veiksniu, o paveiktą sesiją galite atšaukti skiltyje Active sessions. Jei negalite nustatyti, kuri sesija nutekėjo, naudokite visos paskyros „Log Out“ veiksmą, kuris atjungs ir jus.

Jau perdavėte? Iš karto pereikite prie skyriaus, kaip uždaryti prieigą. Pirmi du veiksmai trunka minutę.

Toliau paaiškinsime, kas tai per eilutė, ką gali matyti kitoje pusėje esantis žmogus ir kodėl Anthropic taisyklėse jos perdavimas laikomas pažeidimu. Šiame straipsnyje neaiškinama, kaip išgauti raktą: vietoj instrukcijų, tokių kaip „paspauskite F12 ir nukopijuokite“, nagrinėjamos prieigos suteikimo pasekmės.

Praktinės informacijos apie darbą su Ailoot rasite dokumentacijoje.

Kas yra Claude sesijos raktas?#

Kai įvedate el. pašto adresą ir pranešime gautą kodą, paslauga vieną kartą patikrina jūsų tapatybę. Šio patikrinimo rezultatą reikia kur nors išsaugoti, kitaip tapatybę tektų patvirtinti kiekvienu paspaudimu. Naršyklė jį saugo mažame faile, kuris automatiškai siunčiamas serveriui kartu su kiekvienu jūsų veiksmu svetainėje.

Claude naudoja failą, pavadintą sessionKey. Anthropic jį įtraukė į viešą slapukų lentelę:

Toje pačioje lentelėje nurodyti keli kiti trumpai galiojantys paslaugos slapukai, bet prašoma būtent šio. Anthropic kategoriją apibūdina taip:

Negalite jų atsisakyti, nes be šio failo negalėtumėte prisijungti. Jo reikšmė atrodo kaip viena ilga eilutė, prasidedanti sk-ant-sid. Jei kas nors prašo „eilutės, prasidedančios sk-ant-sid“, būtent tai ir turi omenyje.

Pastaba apie galiojimo laiką, kad vėliau nekiltų painiavos. Lentelėje nurodyta, kad pats failas galioja vieną mėnesį, o sesija trunka 28 dienas; kiekvieną valandą, kai ką nors darote claude.ai svetainėje, laikas pradedamas skaičiuoti iš naujo. Praktinė išvada paprasta: šiandien perduotas raktas veiks kelias savaites, o jūsų pačių veikla jo galiojimą tik pratęs.

Šiame straipsnyje „sesijos raktas“ ir „sesijos prieigos raktas“ reiškia tą patį.

Kuo sesijos raktas skiriasi nuo slaptažodžio ir API rakto?#

Tai trys skirtingi dalykai, kuriuos žmonės dažnai suplaka į vieną ir vadina „prieiga prie paskyros“:

Skirtumas tarp pirmo ir antro stulpelio panašus į skirtumą tarp paso ir apyrankės su „viskas įskaičiuota“. Registratūroje parodote pasą, o jį patikrinę gaunate apyrankę. Perduokite apyrankę kitam žmogui, ir jis galės valgyti, gerti bei patekti į jūsų kambarį, niekam neprašant jo paso. Pakeitus pamestą pasą, apyrankė ant kito žmogaus rankos nedings.

Sesijos raktas veikia taip pat. Slapuko rankiniu būdu keisti nereikia: užbaikite paveiktą sesiją per Active sessions. Jei negalite patikimai nustatyti nutekėjusios sesijos, visos paskyros atsijungimu uždarykite jas visas, įskaitant savąsias.

Kodėl plėtiniai ir paslaugos prašo šio rakto?#

Štai du tikri pavyzdžiai. Nuorodų į juos nepateikiame, kad nesiųstume jiems lankytojų.

Prenumeratos pardavėjai. Tai atrodo kaip paslauga: sumokate mažiau nei oficialią kainą, perduodate raktą, o jie „aktyvuoja“ Pro arba Max jūsų paskyroje. Vienas toks skelbimas buvo parduodamas didelėje skaitmeninių prekių prekyvietėje 2026 m. rugpjūčio 19 d. Sąlygose rašoma, kad reikia tik sesijos rakto, o atskiroje eilutėje nuraminama, kad slaptažodžio ar prieigos prie el. pašto nereikės. Skelbimas buvo parduotas daugiau nei šimtą kartų, buvo 38 pinigų grąžinimo atvejai, o pardavėjas atskiroje eilutėje iš anksto atsiriboja nuo atsakomybės už galimą paskyros užblokavimą.

Kitos tokios paslaugos instrukcijos rusų kalba baigiasi dviem prašymais, kurie iš esmės reiškia tą patį: neatsijunkite nuo Claude paskyros, kol užsakymas nebus įvykdytas, ir likite prisijungę, kol bus baigtas aktyvinimas. Atsijungus sesija nutrūksta ir jūsų perduotas raktas tampa bevertis. Paslauga tai žino ir prašo to nedaryti. Instrukcijose nieko nepasakyta apie tai, kas nutinka raktui, kai „aktyvinimas baigtas“.

Trečiųjų šalių programos, naudojančios Claude žiniatinklyje. Dirbant svetainėje claude.ai pati svetainė iškviečia vidinius galinius taškus. Jei kas nors prie tokios užklausos prideda kito žmogaus slapuką, veiklą gali nukreipti per prenumeratą, užuot mokėjęs už API prieigą. Viešai prieinamos bibliotekos tam atlikti; populiariausios turi beveik tūkstantį žvaigždučių GitHub, o jų instrukcijose raktui skiriamas lygiai vienas žingsnis. Viename projekte saugomas visas kitų žmonių slapukų rinkinys, jie keičiami vienas kitu, o rinkinyje esantys raktai žymimi būsena „užblokuotas“: autoriai iš anksto žino, kad kai kurios jiems perduotos paskyros bus išjungtos, ir programoje tai numatė.

Naudojimo skaitikliai, pokalbių eksportavimas, integracijos. Šios kategorijos paslaugos paprastai neprašo nieko įklijuoti, nes plėtinys veikia jūsų naršyklėje ir paima ten jau išsaugotą slapuką. Nuo pirmų dviejų kategorijų skiriasi tik tai, kad jūsų leidimą gavusi programa pati paspaudžia kopijavimo mygtuką.

Ketvirtoji kategorija vagia raktą. Netikri diegimo puslapiai, programos, ištrinančios viską, kas išsaugota naršyklėje, ir po nuosavybės pasikeitimo modifikuoti plėtiniai aptariami atskirai toliau.

Ką gali matyti žmogus, turintis jūsų raktą?#

Sesijos raktas susietas su jumis ir visa paskyra, o ne su konkrečiu pokalbiu. Todėl jis suteikia prieigą prie visos paskyros:

• Pokalbiai. Visi pokalbiai, įskaitant ankstesnes atsakymų versijas, kurias sąsajoje galima atverti rodyklėmis.
• Failai. Sutartys, duomenų bazių eksportai, finansiniai modeliai, ekrano nuotraukos – viskas, ką kada nors įkėlėte į pokalbį ar „Project“.
• Atmintis ir tinkintos instrukcijos. Tai, ką papasakojote Claude apie save ir savo darbą, kad nereikėtų kaskart kartoti.
• Paskyros el. paštas ir planas. Juos, kaip ir jūs, galima pamatyti nustatymų puslapyje.
• Likę naudojimo limitai ir tai, kiek dar galite išleisti. Būtent šiuos skaičius paprastai rodo įdiegiami skaitikliai.
• Leidimas veikti. Galima siųsti užklausas, ištrinti pokalbius ir keisti nustatymus.

Claude sąsajoje nerodomi visi kortelės duomenys, todėl jūsų kortelė nebus pavogta. Tačiau jūsų prenumerata yra toje pačioje paskyroje, prie kurios kitas žmogus jau prisijungė, ir ją galima atšaukti įprastu mygtuku nustatymuose.

Ištrinti pokalbiai iš istorijos dingsta iš karto, o iš Anthropic saugyklos – per trisdešimt dienų. Kiek laiko kitas žmogus gali skaityti jūsų pokalbius, priklauso nuo sesijos rakto galiojimo trukmės; pokalbių išvalymas tam jokios įtakos neturi.

Verslo žinias geriau laikyti projekto failuose: galite juos peržiūrėti ir redaguoti, o praradus sesiją jie nedingsta.

Kodėl tai pavojingiau už pavogtą slaptažodį?#

Teiginys „plėtinys apeina dviejų veiksnių apsaugą“ skamba dramatiškai ir kartu yra netikslus. Plėtinys įsijungia jau patikrinus slaptažodį, įvedus el. paštu gautą kodą ir serveriui išdavus patvirtinimą. Būtent šis patvirtinimas ir pavagiamas.

Antroji savybė – trukmė. Kol sesija galioja, raktas veikia, o jūs galite toliau įprastai naudotis savo paskyra ir kiekvienu apsilankymu pratęsti kito žmogaus prieigą.

Trečiasis aspektas – „HttpOnly“ žyma. Ji laikoma pagrindine sesijos apsauga ir neleidžia pačios svetainės scenarijams pasiekti slapuko. Tačiau plėtiniai gali jį perskaityti atskiru mechanizmu. Chromium projekto aprašyme apie šį mechanizmą rašoma:

Dabartinė Chrome dokumentacija tai patvirtina netiesiogiai: plėtinys gauna slapuko objektą su httpOnly savybe, vadinasi, jis gali matyti ir šiuos slapukus.

Žinoma, ne kiekvienas kitas plėtinys vagia slapukus. Tiesiog „prieinama parduotuvėje ir gerai įvertinta“ jau nieko negarantuoja, todėl atkreipkite dėmesį į leidimų sąrašą.

Ką apie tai sako Claude taisyklės?#

Anthropic vartotojų sąlygų 2 skyrius, pažodžiui:

Sesijos rakto perdavimas aiškiai patenka į šios nuostatos taikymo sritį. Tame pačiame skyriuje nurodyta, kad paskyros savininkas atsako už visą veiklą paskyroje ir privalo nedelsdamas informuoti pagalbos tarnybą apie neteisėtą prieigą. 3 skyriuje atskirai draudžiama pasiekti paslaugą „automatizuotomis ar ne žmogaus atliekamomis priemonėmis, pavyzdžiui, naudojant robotą, scenarijų ar kitaip“, jei tam nenaudojamas API raktas. 13 skyrius suteikia Anthropic teisę bet kada ir be įspėjimo sustabdyti arba nutraukti prieigą, jei bendrovė mano, kad sąlygos iš esmės pažeistos. Perdavus vieną raktą, paliečiamos visos trys nuostatos.

Claude Code dokumentacijoje apie trečiųjų šalių programas rašoma:

Svarbu tiksliai nusakyti, kas teigiama: viešo Anthropic pareiškimo „už sesijos rakto pasidalijimą žmonės blokuojami“ nerasta, todėl straipsnyje tokie žodžiai bendrovei nepriskiriami. Dokumentai rodo, kad taisyklės tai aiškiai draudžia, paskyros savininkas atsako, o prieiga gali būti išjungta be įspėjimo. Yra ir netiesioginių ženklų: trečiųjų šalių programose „užblokuotas“ nurodomas kaip įprasta rakto būsena.

Yra ir antras draudimas. Naudojimo taisyklės draudžia apeiti blokavimą naudojant kitą paskyrą ir suteikti prieigą žmogui, kurio prieiga jau išjungta. Jei kas nors jūsų raktą nusipirko šiuo tikslu, pažeidimas bus priskirtas jūsų paskyrai. Kitos priežastys, dėl kurių Anthropic uždaro prieigą, surinktos straipsnyje apie Claude paskyrų blokavimą.

Kaip patikrinti plėtinį prieš jį įdiegiant ir po to?#

Ką galima pamatyti prieš įdiegiant. Parduotuvės skelbime yra privatumo skiltis, kurioje nurodoma, kokius duomenis plėtinys renka ir bendrina. Antras ženklas – kaip jį radote. Jei plėtinio neįmanoma rasti per parduotuvės paiešką ir jį galima įdiegti tik iš tiesioginės nuorodos kito žmogaus žinutėje, laikykite tai įspėjamuoju ženklu.

Ką patikrinti tarp jau įdiegtų plėtinių. Šiandien atlikite šiuos penkis veiksmus ir peržiūrėkite visą sąrašą.

1. Atidarykite plėtinių sąrašą ir patikrinkite leidimus

   Adresas yra chrome://extensions; prie norimo plėtinio spustelėkite „Išsami informacija“. Edge adresas yra edge://extensions. Arc ir kitos tuo pačiu varikliu pagrįstos naršyklės taip pat naudoja adresą chrome://extensions.

2. Ieškokite eilutės apie claude.ai

   Chrome nerodo atskiro įspėjimo apie prieigą prie slapukų, todėl peržiūrėkite svetainių sąrašą. Eilutė, tokia kaip „Skaityti ir keisti duomenis svetainėje claude.ai“, reiškia, kad plėtinys veikia jūsų Claude sesijoje. Naudojimo skaitikliui tai įprasta. Neįprasta, jei ši eilutė rodoma su Claude nesusijusiam plėtiniui.

3. Patikrinkite, ar leidžiama prieiga prie visų svetainių

   Skiltyje „Prieiga prie svetainių“ gali būti rodoma „Visose svetainėse“. Tada plėtinys gali pasiekti ir jūsų banką, el. paštą bei svetainės administravimo skydelį. Claude naudojimo skaitikliui tokios prieigos nereikia jokiomis aplinkybėmis.

4. Apribokite prieigą iki būtino minimumo

   Toje pačioje vietoje pakeiskite „Visose svetainėse“ į „Konkrečiose svetainėse“ arba „Spustelėjus“. Plėtinys toliau veiks ten, kur reikia, ir nustos skaityti visa kita.

5. Patikrinkite, ar nepasikeitė savininkas

   Plėtiniai perparduodami, o naujasis savininkas gali išleisti tyliai įdiegiamą naujinį. Požymiai: pasikeitęs leidėjas arba pagalbos adresas, naujinys po ilgo neveiklumo laikotarpio be aiškaus pakeitimų aprašymo, nauji leidimai, kurių nebuvo ankstesnėje versijoje, arba staigus atsiliepimų antplūdis apie pakeistus paieškos rezultatus ir reklamas.

Norintiems patikrinti išsamiau yra ir šeštas veiksmas: tame pačiame puslapyje įjunkite „Kūrėjo režimą“, spustelėkite mėlyną nuorodą po plėtiniu, tada atidarykite „Tinklo“ skirtuką ir pažiūrėkite, kur siunčiamos užklausos. Jos turėtų būti siunčiamos tik į pačią claude.ai svetainę ir plėtinio autoriaus svetainę. Jei matote trečią adresą, kuris nepaminėtas aprašyme, plėtinys siunčia jūsų duomenis kitur. Šis patikrinimas varginantis; pirmų penkių žingsnių pakanka ir be jo.

Ir užduokite sau dar vieną klausimą: kam šiai užduočiai reikia rakto į visą jūsų paskyrą? Likusius naudojimo limitus galima parodyti ir be jo, o pokalbius taip pat galima eksportuoti.

Ką daryti, jei raktą jau perdavėte?#

1. Pašalinkite plėtinį arba atšaukite jo prieigą

   Kol jis įdiegtas, kiekvienas naujas raktas nutekės taip pat. Eikite į chrome://extensions ir spustelėkite „Pašalinti“.

2. Patikrinkite, kas šiuo metu prisijungęs prie jūsų paskyros

   Svetainėje claude.ai atidarykite „Nustatymai“, skiltį „Paskyra“ ir bloką „Aktyvios sesijos“. Kiekvienoje sesijoje galite matyti įrenginį ir naršyklę, apytikslę vietą pagal prisijungimo adresą ir paskutinio naudojimo laiką; jūsų dabartinė sesija pažymėta piktograma „Dabartinė sesija“. Jei sąraše matote nepažįstamą miestą ar kito žmogaus naršyklę, spėlioti nebereikia. Atskirą sesiją galite uždaryti trijų taškų meniu pasirinkę „Nutraukti“ ir patvirtinę veiksmą.

3. Atsijunkite nuo visų sesijų vienu metu

   Toje pačioje vietoje, „Nustatymai“ → „Paskyra“, yra mygtukas „Atsijungti“. Jis atjungia jus visuose įrenginiuose: naršyklėse, mobiliosiose programėlėse ir darbalaukio programose. Tai uždaro visas aktyvias sesijas. Paveiktos sesijos užbaigimas atskirai taip pat ją atšaukia; visos paskyros atsijungimą naudokite, kai negalite jos patikimai nustatyti. Anthropic pažymi, kad Claude mobiliosiose programėlėse, skirtose iOS ir Android, šio mygtuko nėra; atsijunkite naudodami naršyklę.

4. Pakeiskite slaptažodį, jei juo prisijungiate

   Praleiskite šį veiksmą, jei jungiatės pasirinkę „Tęsti su Google“ arba per darbo paskyrą. Eiliškumas svarbus: slaptažodžio pakeitimas užkerta kelią būsimiems prisijungimams, bet nenutraukia jau atidarytų sesijų, todėl tai darykite po trečio žingsnio.

5. Praneškite Anthropic

   Vartotojų sąlygos reikalauja nedelsiant pranešti apie neteisėtą prieigą el. paštu support@anthropic.com. Nesiųskite laiško vien tam, kad pažymėtumėte užduotį kaip atliktą: jei kas nors jau veikė jūsų paskyroje, laiškas užfiksuos, kad apie tai pranešėte patys.

6. Peržiūrėkite raktus ir istoriją

   Jei turite kūrėjų konsolės paskyrą, patikrinkite skiltį „API raktai“ ir ištrinkite viską, dėl ko nesate tikri. Anthropic rekomenduoja įtarus nutekėjimą nedelsiant atšaukti raktą ir tuo pat metu nustatyti naudojimo limitus. Tada išvalykite jautrius pokalbius ir failus „Projects“: jie iš istorijos dingsta iškart, o iš saugyklos – per trisdešimt dienų. Norėdami atsisiųsti visą pokalbių kopiją ir ją peržiūrėti, eikite į „Nustatymai“ → „Privatumas“ → „Eksportuoti duomenis“; archyvo nuoroda galioja vieną dieną. Taip pat patikrinkite, ar anksčiau kas nors nenutekėjo kitu keliu: apie viešas pokalbių nuorodas skaitykite straipsnyje Claude pokalbiai pasirodo Google paieškoje.

Atskiras klausimas verčia žmones dvejoti dėl trečio žingsnio: kas nutiks jau iš pardavėjo įsigytai prenumeratai? Mygtukas „Atsijungti“ uždaro sesijas ir nedaro poveikio prenumeratai: planas susietas su paskyra, jį galima atšaukti atskirai mygtuku skiltyje „Atsiskaitymas“. Taigi galite atsijungti nuo visų sesijų ir išlaikyti mokamą planą. Tačiau paties pardavėjo sąlygose atsakomybė už blokavimą neprisiimama, todėl čia nesate apsaugoti; sprendimas „palauksiu, nes nenoriu prarasti pinigų“ neapsaugo jūsų nuo visiškai nieko.

Yra vienas dalykas, kurio nebegalite pakeisti: tai, kas perskaityta, jau perskaityta. O jei pokalbiuose buvo klientų duomenų, pasikalbėkite su jūsų organizacijoje už asmens duomenis atsakingu žmogumi.

Kaip tą patį padaryti be rakto?#

API raktus galite atšaukti po vieną, neuždarydami naršyklės sesijų. Naršyklės sesijas taip pat galima užbaigti atskirai, tačiau valdikliai ir apimtis skiriasi: pažeistą API raktą pašalinkite konsolėje, o paveiktą žiniatinklio sesiją užbaikite per Active sessions. Anthropic rekomenduoja naudoti skirtingus raktus skirtingoms aplinkoms – kūrimui, testavimui ir gamybinei aplinkai – ir periodiškai juos keisti, pavyzdžiui, kas 90 dienų. Žr. prenumeratos atnaujinimo instrukcijas.

Atskira pastaba apie oficialų plėtinį, nes jis taip pat gali pasiekti pokalbius. Skirtumas tas, kad jis naudoja jūsų Claude prisijungimą jūsų pačių kompiuteryje ir nieko nesiunčia išorėn: raktas niekur neiškeliauja. Vis dėlto Anthropic rekomendacijose elgiasi atsargiai: siūlo plėtinį naudoti atskirame naršyklės profilyje, neturinčiame prieigos prie banko, medicinos ar valstybinių paskyrų. Jei platformos kūrėjas taip atsargiai vertina savo produktą, su trečiosios šalies plėtiniu, galinčiu pasiekti claude.ai, elkitės dar atsargiau.

Ko dar žmonės klausia apie sesijos raktus?#

Ką daryti toliau#

Plėtinių peržiūra užtrunka apie dešimt minučių ir paprastai baigiasi nemalonia staigmena. Atidarykite chrome://extensions ir suskaičiuokite, kiek plėtinių turi prieigą „Visose svetainėse“. Viskam, kas gali veikti be tokios prieigos, pasirinkite „Spustelėjus“. Kitų plėtinių atveju patikrinkite, ar claude.ai įtraukta prie su Claude nesusijusio plėtinio svetainių.

Štai taisyklė, galiojanti ir kitais atvejais. Jei įrankis prašo prieigos prie visos jūsų paskyros, nors galėtų naudoti atskirą raktą, jis taupo savo laiką jūsų sąskaita. Straipsnyje Ar saugu suteikti Claude Code prieigą prie jūsų duomenų? paaiškinta, ką verta ir ko neverta suteikti DI įrankiams. Apie pažeidžiamumus, atsirandančius kuriant naudojant vibe coding, skaitykite straipsnyje vibe coding saugumas.

Atidarykite Ailoot.