È sicuro approvare le azioni di Claude Code dal telefono?

01Come funziona l'approvazione remota

Claude Code ha un evento hook chiamato PermissionRequest. Scatta quando Claude Code sta per chiederti il permesso di usare un tool. Un hook può rispondere con una decisione, allow o deny, e Claude Code la usa invece di aspettare la tua risposta nel terminal. I tool di approvazione remota sfruttano questo hook: l'hook invia la richiesta al telefono, aspetta e restituisce la tua risposta. La guida a PermissionRequest mostra il JSON.

Tre proprietà di questo design contano per la sicurezza. Vengono tutte dalla documentazione sugli hook di Anthropic:

• Scatta solo quando ci sarebbe un prompt. Se la tua modalità di permessi o le regole allow lasciano già passare un'azione, non c'è nessuna richiesta. L'approvazione remota non può dare a Claude più poteri di quanti ne avresti avuti alla tastiera.
• Le regole deny vincono sempre. Un hook che restituisce allow non scavalca le regole deny delle tue impostazioni. Se neghi Read(./.env), un tap sul telefono non può permettere a Claude di leggerlo.
• L'hook gira con il tuo utente. I command hook girano con tutti i tuoi permessi utente. Qualsiasi programma installi come hook può leggere e modificare tutto ciò a cui ha accesso il tuo account. Per questo la scelta del tool fa parte della tua sicurezza, non solo il telefono.

02I rischi, e cosa li limita

Risponde qualcun altro

Il caso peggiore è che una persona o un dispositivo non previsto approvi un'azione. Cosa lo limita:

• Associazione. Un telefono può rispondere solo per un computer a cui è stato associato. Con Claude Code Notifier, l'associazione usa un QR code o un codice a 6 cifre valido 24 ore, e ogni computer può avere fino a tre telefoni.
• Revoca. ccn devices elenca i telefoni associati a un computer, e ccn devices revoke <name> ne rimuove uno. ccn forget cancella dal server il computer e le sue associazioni.
• Il blocco del telefono. Chiunque abbia in mano il tuo telefono sbloccato può rispondere. Considera il telefono come una chiave per le sessioni di Claude Code del tuo computer, e usa un codice o lo sblocco biometrico.

Approvi qualcosa che non hai letto

Sul telefono è facile leggere di sfuggita un lungo comando shell. Alcune abitudini aiutano:

• Leggi tutto il comando prima di toccare allow. Se non è chiaramente a posto, negalo e guarda il terminal più tardi.
• Preferisci consenti una volta a consenti per la sessione per tutto ciò che modifica lo stato fuori dal progetto, come git push, deploy o installazioni di pacchetti.
• Metti i comandi rischiosi dietro regole ask e i segreti dietro regole deny nelle impostazioni, così i casi pericolosi li decidono regole che hai scritto a mente fredda, non un tap in una coda. La guida alle modalità di permesso mostra la sintassi.

Sei davvero alla tastiera

Se una richiesta arriva sul telefono mentre sei seduto al computer, in due (tu e il tuo telefono) potete rispondere allo stesso prompt. Claude Code Notifier verifica la tua presenza sul computer: se hai digitato negli ultimi 30 secondi, non si aspetta il telefono e il terminal chiede come sempre. Se sei lontano, il terminal aspetta la risposta dal telefono fino a un limite che scegli tu, e smette di aspettare appena tocchi la tastiera. Il controllo di inattività avviene sul computer e il risultato non viene mai inviato.

I dettagli del progetto lasciano il tuo computer

Per mostrarti una richiesta, qualcosa deve inviarne i dettagli al telefono. È il compromesso sulla privacy di qualsiasi notifica sul telefono per Claude Code, fai-da-te o no. Con Claude Code Notifier, come indicato nella sua Informativa sulla privacy:

• Non ci sono account. Ogni computer e telefono è identificato da un ID casuale.
• Cosa può contenere una notifica: il nome e il percorso della cartella del progetto, il messaggio di Claude o la domanda che fa, l'inizio del tuo prompt e, per una richiesta di permesso, il nome del tool e un riepilogo del suo input, come il comando shell o il percorso del file (fino a 200 caratteri).
• Dove va: passa dal server relay di TouchTap, che gira su Cloudflare, e una versione più breve va ad Apple o Google per consegnare la push. I percorsi delle cartelle di progetto non vengono inviati ad Apple o Google.
• Per quanto viene conservata: il server elimina le notifiche, e le tue risposte, entro 48 ore. Il server relay non memorizza il tuo indirizzo IP.
• In transito: tutte le comunicazioni con il server usano TLS (HTTPS e WSS). Il relay conserva il contenuto della notifica per consegnarlo, quindi si tratta di crittografia in transito, non end-to-end.
• Niente vendita: i dati non vengono venduti né usati per pubblicità.

Sul computer, la credenziale di ccn è un token casuale. Di default è salvata nel Portachiavi di macOS o in Gestione credenziali di Windows, e su Linux in un file leggibile solo dal tuo utente; ccn config set credential_store ti fa passare dal portachiavi di sistema a un file e viceversa.

Se lavori su codice riservato, l'informativa stessa consiglia di valutare se le notifiche sul telefono siano appropriate e quali tipi attivare su ogni computer. Puoi disattivare notify_on_done, notify_on_permission o notify_on_question separatamente, per ogni computer, da riga di comando o dall'app sul telefono.

La schermata di blocco mostra troppo

Un banner con un comando o il nome del progetto di un cliente è visibile a chiunque dia un'occhiata al tuo telefono. Sia iPhone sia Android ti permettono di nascondere le anteprime delle notifiche finché il telefono non è sbloccato, per tutte le app o per una sola. Su iPhone lo trovi in Impostazioni, poi Notifiche. Su Android è nelle impostazioni delle notifiche sulla schermata di blocco, di solito come opzione per nascondere i contenuti sensibili.

03Approvazione remota fai-da-te

Puoi costruirti l'approvazione remota da solo con un hook PermissionRequest e un bot di chat o un servizio push. A quel punto stai costruendo un sistema di autenticazione: solo tu devi poter rispondere, una vecchia risposta non deve valere per una nuova richiesta e una richiesta bloccata non deve lasciare una sessione appesa. Su un server push pubblico condiviso, il nome del topic è l'unica cosa che tiene fuori gli estranei, quindi trattalo come una password. Le guide su ntfy e su Telegram, Slack o Discord trattano configurazioni solo di notifica, molto meno rischiose perché non possono approvare nulla.

04Hook da repository che non hai scritto tu

C'è un altro rischio che riguarda ogni hook, non solo l'approvazione. Gli hook possono essere committati nel file .claude/settings.json di un progetto. In una sessione interattiva, Claude Code blocca gli hook finché non accetti la finestra di fiducia del workspace per quella cartella, quindi leggi i file .claude/ di un repository prima di dargli fiducia. Con claude -p e nelle esecuzioni via SDK non c'è nessuna finestra e la cartella è considerata attendibile, quindi gli hook committati vengono eseguiti. Per esecuzioni da script su codice che non hai scritto tu, passa --settings '{"disableAllHooks": true}'.

05Dove si inserisce Claude Code Notifier

Claude Code Notifier è uno strumento indipendente creato da TouchTap Ltd. Non è creato, approvato né sponsorizzato da Anthropic. Il suo tool da riga di comando, ccn, gira come hook di Claude Code su Mac, Windows e Linux, e le sue app per iPhone e Android ti permettono di consentire una volta, consentire per la sessione o negare. Il sorgente di ccn è disponibile su GitHub, così puoi leggere esattamente cosa gira come tuo hook prima di installarlo. La guida all'approvazione dal telefono spiega la configurazione.

06FAQ