Claude-øktnøkkel: risikoer og tilbakekalling av tilgang

Hvis en utvidelse eller en abonnementsselger ber deg om en streng som begynner med sk-ant-sid, ikke gi den fra deg. Denne strengen kalles en øktnøkkel. Det er ikke et passord; den er allerede en åpen dør til kontoen din: Med den kan noen lese alle samtalene og filene dine, de blir ikke bedt om en ekstra faktor, og du kan tilbakekalle den berørte økten i Active sessions. Kan du ikke identifisere hvilken økt som lekket, bruker du kontoens «Log Out»-handling, som også logger deg ut.

Har du allerede gitt den fra deg? Gå rett til delen om hvordan du avslutter tilgangen. De to første trinnene tar ett minutt.

Videre forklarer vi hva denne strengen er, hva personen i den andre enden kan se, og hvorfor Anthropics regler regner det som et brudd å gi den fra seg. Denne artikkelen forklarer ikke hvordan du henter ut nøkkelen: I stedet for instruksjoner som «trykk F12 og kopier» ser den på konsekvensene av å gi noen tilgang.

Praktisk informasjon om hvordan du bruker Ailoot, finner du i dokumentasjonen.

Hva er en Claude-øktnøkkel?#

Når du oppgir e-postadressen din og koden fra meldingen, bekrefter tjenesten identiteten din én gang. Resultatet av denne kontrollen må lagres et sted, ellers måtte du bekrefte identiteten din ved hvert klikk. Nettleseren lagrer det i en liten fil som automatisk sendes til serveren sammen med hver handling du utfører på nettstedet.

Claude bruker en fil som heter sessionKey. Anthropic oppgir den i sin offentlige informasjonskapseltabell:

Den samme tabellen oppgir flere andre informasjonskapsler for tjenesten med kort levetid, men det er denne folk spør etter. Anthropic beskriver kategorien slik:

Du kan ikke velge den bort, for uten denne filen kan du ikke logge inn. Verdien ser ut som én lang streng som begynner med sk-ant-sid. Hvis noen ber deg om «en streng som begynner med sk-ant-sid», er det nettopp denne de mener.

En merknad om tidsforløpet, så det ikke oppstår forvirring senere. Tabellen oppgir én måned for selve filen, mens økten varer i 28 dager, og hver time du gjør noe på claude.ai, starter klokken på nytt. Den praktiske konklusjonen er enkel: En nøkkel du gir fra deg i dag, virker i flere uker, og din egen aktivitet skyver utløpstidspunktet enda lenger fram.

I denne artikkelen brukes «øktnøkkel» og «økttoken» om det samme.

Hvordan skiller en øktnøkkel seg fra et passord og en API-nøkkel?#

Dette er tre forskjellige ting som folk ofte blander sammen som «tilgang til kontoen»:

Forskjellen mellom den første og den andre kolonnen ligner forskjellen mellom et pass og et all-inclusive-armbånd. Du viser passet i resepsjonen; etter at de har kontrollert det, gir de deg armbåndet. Gir du armbåndet til noen andre, kan de spise, drikke og gå inn på rommet ditt uten at noen ber om passet deres. Å erstatte et mistet pass får ikke et armbånd på en annens arm til å forsvinne.

En øktnøkkel fungerer på samme måte. Du trenger ikke erstatte informasjonskapselen manuelt. Avslutt den berørte økten i Active sessions. Kan du ikke identifisere den lekkede økten pålitelig, bruker du kontoomfattende utlogging for å avslutte alle, inkludert dine egne.

Hvorfor ber utvidelser og tjenester om denne nøkkelen?#

Her er to virkelige eksempler. Vi lenker ikke til dem, så vi sender dem ikke trafikk.

Abonnementsselgere. Det ser ut som en tjeneste: Du betaler mindre enn den offisielle prisen, sender fra deg nøkkelen, og de «aktiverer» Pro eller Max på din egen konto. En slik oppføring var til salgs på en stor markedsplass for digitale varer 19. august 2026. Vilkårene sier at det bare trengs en øktnøkkel, og en egen linje forsikrer leserne om at de ikke trenger passordet ditt eller tilgang til e-posten din. Den var solgt mer enn hundre ganger, med 38 refusjoner, og selgeren fraskriver seg på forhånd ansvaret for en eventuell kontosperring i en egen linje.

De russiskspråklige instruksjonene for en annen slik tjeneste avsluttes med to oppfordringer som betyr det samme: Ikke logg ut av Claude-kontoen før bestillingen er fullført, og vær innlogget til aktiveringen er ferdig. Når du logger ut, avsluttes økten og nøkkelen du ga fra deg blir verdiløs. Tjenesten vet dette og ber deg om å la være. Instruksjonene sier ingenting om hva som skjer med nøkkelen etter at «aktiveringen er fullført».

Tredjepartsprogrammer som bruker Claude på nettet. claude.ai har interne endepunkter som selve siden kaller mens du bruker den. Hvis noen legger en annen persons informasjonskapsel ved en slik forespørsel, kan de rute aktiviteten gjennom et abonnement i stedet for å betale for API-tilgang. Biblioteker for å gjøre dette er offentlig tilgjengelige; de mest populære har nærmere tusen stjerner på GitHub, og instruksjonene deres har nøyaktig ett trinn om nøkkelen. Ett prosjekt oppbevarer en hel samling informasjonskapsler fra andre og veksler mellom dem, med statusen «blokkert» for nøkler i samlingen: forfatterne vet på forhånd at noen av kontoene de får, vil bli deaktivert, og har bygget dette inn i programmet.

Brukstellere, samtaleeksport, integrasjoner. Denne kategorien ber deg vanligvis ikke om å lime inn noe, fordi utvidelsen kjører i nettleseren din og henter informasjonskapselen som allerede er lagret der. Den eneste forskjellen fra de to første kategoriene er at programmet du har gitt tillatelse til, trykker på kopieringsknappen for deg.

Den fjerde kategorien stjeler nøkkelen. Falske installasjonssider, programmer som sletter alt som er lagret i nettleseren din, og utvidelser som endres etter et eierskifte, omtales separat nedenfor.

Hva kan noen med nøkkelen din se?#

Øktnøkkelen er knyttet til deg som helhet; den gjelder ikke en bestemt chat. Derfor åpner den hele kontoen:

• Samtaler. Alle samtaler, inkludert tidligere svarversjoner som er skjult under piler i grensesnittet.
• Filer. Kontrakter, databaseeksporter, finansmodeller, skjermbilder – alt du noen gang har dratt inn i en chat eller lagt i et Project.
• Minne og tilpassede instruksjoner. Det du har fortalt Claude om deg selv og arbeidet ditt, så du slipper å gjenta det hver gang.
• E-postadresse og abonnement for kontoen. Disse kan du se på innstillingssiden, akkurat som du.
• Gjenværende bruksgrenser og hvor mye mer du kan bruke. Dette er som regel tallene brukstellere er installert for å vise.
• Tillatelse til å handle. Personen kan sende forespørsler, slette samtaler og endre innstillinger.

Claude-grensesnittet viser ikke fullstendige kortopplysninger, så kortet ditt blir ikke stjålet. Men abonnementet ditt ligger i den samme kontoen som en annen allerede har fått tilgang til, og det kan sies opp med den vanlige knappen i innstillingene.

Slettede samtaler forsvinner umiddelbart fra historikken og fra Anthropics lagring innen tretti dager. Hvor lenge noen andre kan lese samtalene dine, avhenger av øktnøkkelens levetid; å tømme chatter påvirker den ikke i det hele tatt.

Det er bedre å oppbevare forretningskunnskap i filer i et prosjekt: Du kan se og redigere dem, og mister du en økt, forsvinner ikke filene.

Hvorfor er dette farligere enn et stjålet passord?#

Påstanden «utvidelsen omgår tofaktorbeskyttelsen» høres dramatisk ut og er også unøyaktig. Utvidelsen kommer etter at passordet er kontrollert, koden fra e-posten er skrevet inn og serveren har utstedt en bekreftelse. Det er denne bekreftelsen som blir tatt.

Den andre egenskapen er varigheten. Så lenge økten er aktiv, fungerer nøkkelen, og du kan fortsette å bruke kontoen som vanlig samtidig som du forlenger andres tilgang ved hvert besøk.

Det tredje punktet gjelder HttpOnly-flagget. Det regnes som den viktigste beskyttelsen for en økt, og det hindrer sidens egne skript i å få tilgang til informasjonskapselen. Men utvidelser kan lese den gjennom sin egen, separate mekanisme. I Chromiums prosjektbeskrivelse av mekanismen står det:

Gjeldende Chrome-dokumentasjon bekrefter dette indirekte: En utvidelse mottar et informasjonskapselobjekt med en httpOnly-egenskap, noe som betyr at den også kan se disse informasjonskapslene.

Selvsagt stjeler ikke alle andre utvidelser informasjonskapsler. Men «tilgjengelig i butikken og høyt vurdert» garanterer ikke lenger noe, så følg med på listen over tillatelser.

Hva sier Claude-reglene om dette?#

Ordrett fra del 2 av Anthropics forbrukervilkår:

Å gi fra seg en øktnøkkel omfattes direkte av denne bestemmelsen. Den samme delen sier at kontoeieren er ansvarlig for all aktivitet på kontoen og umiddelbart må varsle kundestøtte om uautorisert tilgang. Del 3 forbyr separat tilgang til tjenesten «via automatiserte eller ikke-menneskelige metoder, enten gjennom en bot, et skript eller på annen måte» hvis det ikke skjer via en API-nøkkel. Del 13 gir Anthropic rett til å suspendere eller avslutte tilgangen når som helst og uten varsel hvis selskapet mener at vilkårene er vesentlig brutt. Å gi fra seg én nøkkel berører alle tre bestemmelsene samtidig.

Dokumentasjonen for Claude Code sier dette om tredjepartsprogrammer:

En presisering av hva som hevdes: Det ble ikke funnet noen offentlig uttalelse fra Anthropic om at «vi utestenger folk for å dele sessionKey», så artikkelen tilskriver ikke selskapet denne formuleringen. Dokumentene viser at reglene uttrykkelig forbyr det, at kontoeieren er ansvarlig, og at tilgangen kan deaktiveres uten varsel. Det finnes også indirekte tegn: Tredjepartsprogrammer har «blokkert» som en vanlig nøkkelstatus.

Det finnes også et annet forbud. Bruksreglene forbyr å omgå en blokkering via en annen konto og å gi tilgang til noen som allerede er deaktivert. Hvis noen kjøpte nøkkelen din for dette formålet, blir bruddet registrert på kontoen din. Andre grunner til at Anthropic avslutter tilgang, er samlet i artikkelen om hvorfor Claude-kontoer blir utestengt.

Hvordan kontrollerer du en utvidelse før og etter installasjon?#

Dette kan du se før installasjon. Butikkoppføringen har en personverndel som sier hvilke data utvidelsen samler inn og deler. Det andre hintet er hvordan du fant den. Hvis utvidelsen ikke kan finnes gjennom butikksøk og bare kan installeres via en direktelenke i en melding fra noen andre, bør du ta det som et varselsignal.

Dette bør du kontrollere blant utvidelser som allerede er installert. Gå gjennom disse fem trinnene for hele listen i dag.

1. Åpne listen over utvidelser og kontroller tillatelsene

   Adressen er chrome://extensions; klikk på «Details» for utvidelsen du vil kontrollere. I Edge er adressen edge://extensions. Arc og andre nettlesere som bruker samme motor, bruker den samme adressen chrome://extensions.

2. Se etter en linje om claude.ai

   Chrome viser ikke en egen advarsel om tilgang til informasjonskapsler, så se på listen over nettsteder i stedet. En linje som «Read and change your data on claude.ai» betyr at utvidelsen fungerer i Claude-økten din. Det er normalt for en bruksteller. Det er ikke normalt når denne linjen vises for en utvidelse uten tilknytning til Claude.

3. Kontroller om tilgang til alle nettsteder er tillatt

   I delen «Site access» kan det stå «On all sites». Det gir utvidelsen tilgang til banken din, e-posten din og administrasjonspanelet til nettstedet ditt også. En bruksteller for Claude trenger aldri dette.

4. Begrens tilgangen til et minimum

   På samme sted endrer du «On all sites» til «On specific sites» eller «On click». Utvidelsen fortsetter å fungere der den trenger det, og slutter å lese alt annet.

5. Sjekk om eierskapet har endret seg

   Utvidelser selges videre, og en ny eier kan gi ut en oppdatering som installeres i det stille. Tegn kan være at utgiveren eller støtteadressen er endret, en oppdatering etter en lang stille periode uten en tydelig beskrivelse av endringene, nye tillatelser som manglet i forrige versjon, eller en plutselig strøm av anmeldelser om erstattede søkeresultater og annonser.

Det finnes også en sjette kontroll for dem som vil undersøke grundigere: Slå på «Developer mode» på samme side, klikk på den blå lenken under utvidelsen, og bruk deretter fanen «Network» for å se hvor forespørslene går. De bør bare gå til claude.ai selv og nettstedet til utvidelsens forfatter. Hvis en tredje adresse dukker opp uten å være nevnt i beskrivelsen, sender utvidelsen dataene dine et annet sted. Denne kontrollen er omstendelig; de fem første trinnene er nok.

Still deg selv ett siste spørsmål: Hvorfor trenger denne oppgaven nøkkelen til hele kontoen din? Du kan vise gjenværende bruksgrenser uten den, og du kan også eksportere samtaler.

Hva bør du gjøre hvis du allerede har gitt fra deg nøkkelen?#

1. Fjern utvidelsen eller tilbakekall tilgangen dens

   Så lenge den er installert, går enhver ny nøkkel samme vei. Gå til chrome://extensions og klikk på «Remove».

2. Se hvem som er inne på kontoen din nå

   Åpne «Settings», delen «Account» og blokken «Active sessions» på claude.ai. For hver økt kan du se enheten og nettleseren, omtrentlig plassering basert på tilkoblingsadressen og tidspunktet den sist ble brukt; den gjeldende økten er markert med ikonet «Current session». En ukjent by eller en annen persons nettleser i listen levner ingen tvil. Du kan avslutte en enkeltøkt fra menyen med de tre prikkene ved å velge «Terminate» og deretter bekrefte.

3. Logg ut av alle økter på én gang

   På samme sted, «Settings» → «Account», finnes knappen «Log Out». Den logger deg ut på alle enheter: i nettlesere, mobilapper og skrivebordsprogrammer. Dette avslutter alle aktive økter. Avslutning av den berørte enkeltøkten tilbakekaller også den økten. Bruk kontoomfattende utlogging når du ikke kan identifisere den pålitelig. Anthropic opplyser at Claude-mobilappene for iOS og Android ikke har denne knappen; logg ut fra en nettleser.

4. Endre passordet hvis du logger inn med et passord

   Hopp over dette trinnet hvis du logger inn med «Continue with Google» eller via en jobbkonto. Rekkefølgen er viktig: Å endre passordet hindrer framtidige innlogginger, men bryter ikke økter som allerede er åpne. Gjør derfor dette etter trinn 3.

5. Varsle Anthropic

   Forbrukervilkårene krever at du straks rapporterer uautorisert tilgang ved å sende e-post til support@anthropic.com. Ikke send e-posten bare for å krysse av en boks: Hvis noen allerede har gjort noe på kontoen din, dokumenterer den at du selv meldte fra.

6. Gå gjennom nøklene og historikken din

   Hvis du har en konto i utviklerkonsollen, sjekk delen «API Keys» og slett alt du er usikker på. Anthropic anbefaler at du tilbakekaller en nøkkel så snart du mistenker en lekkasje, og samtidig setter bruksgrenser. Slett deretter sensitive samtaler og filer i Projects: De forsvinner umiddelbart fra historikken og fra lagringen innen tretti dager. Hvis du vil laste ned en komplett kopi av samtalene dine for gjennomgang, går du til «Settings» → «Privacy» → «Export data»; arkivlenken er tilgjengelig i én dag. Sjekk også om noe har lekket tidligere via en annen kanal: Se artikkelen om Claude-chatter som dukker opp i Google-søk for offentlige samtalelenker.

Det er ett eget spørsmål som får folk til å nøle med trinn tre: Hva skjer med et abonnement de allerede har betalt en selger for? Knappen «Log Out» avslutter økter og påvirker ikke abonnementet: Planen er knyttet til kontoen og kan sies opp separat med en knapp i delen «Billing». Du kan altså logge ut av alle økter og beholde det betalte abonnementet. Selgerens egne vilkår fraskriver seg imidlertid ansvar for utestengelser, så du har ingen beskyttelse her; avgjørelsen «jeg venter fordi jeg ikke vil tape pengene» beskytter deg ikke mot noe som helst.

Det er én ting du ikke kan gjøre om: Det som er lest, er lest. Og hvis chattene inneholdt kundedata, snakk med personen som er ansvarlig for personopplysninger i organisasjonen din.

Hvordan kan du gjøre det samme uten en nøkkel?#

Du kan tilbakekalle API-nøkler én om gangen uten å avslutte nettleserøktene. Nettleserøkter støtter også individuell avslutning, men kontrollene og omfanget er separate: Fjern en kompromittert API-nøkkel i konsollen, eller avslutt en berørt nettøkt i Active sessions. Anthropic anbefaler å bruke forskjellige nøkler for forskjellige miljøer – utvikling, testing og produksjon – og bytte dem etter en fast plan, for eksempel hver 90. dag. Se instruksjonene for fornyelse av abonnementet.

En egen merknad om den offisielle utvidelsen, siden også den har tilgang til samtaler. Forskjellen er at den bruker Claude-innloggingen din på din egen maskin og ikke sender noe utenfor den: Nøkkelen kommer ingen steder. Likevel er Anthropic forsiktig i veiledningen sin: Selskapet anbefaler å kjøre utvidelsen i en separat nettleserprofil uten tilgang til bank-, helse- eller offentlige tjenester. Hvis plattformens skaper er så forsiktig med sitt eget produkt, bør du være enda mer forsiktig med en tredjepartsutvidelse som har tilgang til claude.ai.

Hvilke andre spørsmål stiller folk om øktnøkler?#

Hva du bør gjøre nå#

Det tar omtrent ti minutter å gå gjennom utvidelsene dine, og det byr som regel på en ubehagelig overraskelse. Åpne chrome://extensions og tell hvor mange som har tilgang «On all sites». Endre alt som kan fungere uten denne tilgangen, til «On click». For resten må du kontrollere om claude.ai står oppført for en utvidelse uten tilknytning til Claude.

Og her er en regel som gjelder også utenfor denne situasjonen. Hvis et verktøy ber om tilgang til hele kontoen din selv om det kunne brukt en separat nøkkel, sparer det seg selv for arbeid på din bekostning. Artikkelen Er det trygt å gi Claude Code tilgang til dataene dine? forklarer hva det er verdt og ikke verdt å gi AI-verktøy tilgang til. Se sikkerhet ved vibe coding for sårbarheter i ting som er laget med vibe coding.

Åpne Ailoot.