Is het veilig om Claude Code-acties vanaf je telefoon goed te keuren?

01Hoe goedkeuren op afstand werkt

Claude Code heeft een hook-event genaamd PermissionRequest. Dat draait wanneer Claude Code je op het punt staat toestemming te vragen om een tool te gebruiken. Een hook kan antwoorden met een beslissing, allow of deny, en Claude Code gebruikt die in plaats van te wachten tot je in de terminal antwoordt. Tools voor goedkeuren op afstand gebruiken deze hook: de hook stuurt het verzoek naar je telefoon, wacht en geeft je antwoord terug. De PermissionRequest-gids laat de JSON zien.

Drie eigenschappen van dit ontwerp zijn belangrijk voor de veiligheid. Ze komen allemaal uit de hooks-documentatie van Anthropic:

• Hij gaat alleen af als er een prompt zou komen. Als je permission mode of allow-regels een actie al doorlaten, komt er geen verzoek. Goedkeuren op afstand kan Claude dus niet meer macht geven dan je aan het toetsenbord zou hebben gehad.
• Deny-regels winnen nog steeds. Een hook die allow teruggeeft, omzeilt de deny-regels uit je instellingen niet. Als je Read(./.env) weigert, kan een tik op een telefoon Claude dat bestand niet laten lezen.
• De hook draait als jou. Command hooks draaien met al je gebruikersrechten. Elk programma dat je als hook installeert, kan alles lezen en wijzigen wat je account kan. Daardoor is de keuze van de tool onderdeel van je beveiliging, niet alleen de telefoon.

02De risico's, en wat elk ervan beperkt

Iemand anders antwoordt

Het ergste geval is dat een persoon of apparaat dat je niet bedoelde een actie goedkeurt. Wat dat beperkt:

• Koppelen. Een telefoon kan alleen antwoorden voor een computer waaraan hij gekoppeld is. Bij Claude Code Notifier koppel je met een QR-code of een 6-cijferige code die 24 uur geldig is, en elke computer kan maximaal drie telefoons hebben.
• Intrekken. ccn devices toont de telefoons die aan een computer gekoppeld zijn, en ccn devices revoke <name> verwijdert er een. ccn forget wist de computer en zijn koppelingen van de server.
• De vergrendeling van je telefoon. Iedereen die je ontgrendelde telefoon vasthoudt, kan antwoorden. Behandel je telefoon als een sleutel tot de Claude Code-sessies op je computer, en gebruik een toegangscode of biometrische vergrendeling.

Je keurt iets goed dat je niet hebt gelezen

Op een telefoon scan je een lang shell-command makkelijk maar half. Een paar gewoontes helpen:

• Lees het hele command voordat je op allow tikt. Is het niet duidelijk in orde, weiger het dan en kijk later in de terminal.
• Kies liever eenmalig toestaan dan toestaan voor de sessie voor alles wat buiten het project iets verandert, zoals git push, deploys of package-installaties.
• Zet riskante commando's achter ask-regels en secrets achter deny-regels in je settings. Zo worden de gevaarlijke gevallen beslist door regels die je rustig hebt opgesteld, niet door een tik in een wachtrij. De gids over permission modes laat de syntax zien.

Je zit gewoon achter je toetsenbord

Als een verzoek op je telefoon binnenkomt terwijl je achter je computer zit, kunnen twee partijen (jij en je telefoon) dezelfde prompt beantwoorden. Claude Code Notifier controleert of je aanwezig bent: heb je in de afgelopen 30 seconden getypt, dan wordt er niet op de telefoon gewacht en vraagt de terminal het zoals gewoonlijk. Ben je weg, dan wacht de terminal op het antwoord van je telefoon tot een maximum dat je zelf kiest, en stopt met wachten zodra je het toetsenbord aanraakt. De idle-check gebeurt op de computer en het resultaat wordt nooit verstuurd.

Projectgegevens verlaten je computer

Om je een verzoek te laten zien, moet iets de details naar je telefoon sturen. Dat is de privacy-afweging bij elke telefoonmelding voor Claude Code, zelfgebouwd of niet. Bij Claude Code Notifier geldt, zoals beschreven in het privacybeleid:

• Er zijn geen accounts. Elke computer en telefoon wordt herkend aan een willekeurige ID.
• Wat een melding kan bevatten: de projectnaam en het mappad, het bericht of de vraag van Claude, het begin van je prompt en, bij een permission prompt, de toolnaam en een samenvatting van de input, zoals het shell-commando of bestandspad (maximaal 200 tekens).
• Waar het heen gaat: via de relayserver van TouchTap, die op Cloudflare draait, en een kortere versie naar Apple of Google om de push af te leveren. Mappaden van projecten worden niet naar Apple of Google gestuurd.
• Hoe lang het bewaard wordt: de server verwijdert meldingen en je antwoorden daarop binnen 48 uur. De relayserver slaat je IP-adres niet op.
• Onderweg: alle communicatie met de server gaat via TLS (HTTPS en WSS). De relay bewaart de inhoud van de melding om die af te leveren, dus dit is versleuteling tijdens transport, geen end-to-end-versleuteling.
• Niet verkocht: gegevens worden niet verkocht of gebruikt voor advertenties.

Op de computer is de credential van ccn een willekeurig token. Standaard staat die in de macOS Keychain of Windows Credential Manager, en op Linux in een bestand dat alleen jouw gebruikersaccount kan lezen. Met ccn config set credential_store wissel je tussen de systeem-keychain en een bestand.

Werk je aan vertrouwelijke code, dan raadt het beleid zelf aan om na te gaan of telefoonmeldingen wel gepast zijn, en welke soorten je per computer aanzet. Je kunt notify_on_done, notify_on_permission of notify_on_question los uitzetten, per computer, via de command line of de telefoonapp.

Het lockscreen laat te veel zien

Een banner met een commando of de projectnaam van een klant is zichtbaar voor iedereen die even op je telefoon kijkt. Zowel iPhone als Android laten je meldingsvoorvertoningen verbergen tot de telefoon ontgrendeld is, voor alle apps of voor één app. Op iPhone vind je dit onder Instellingen, dan Berichtgeving. Op Android staat het bij de meldingsinstellingen voor het vergrendelscherm, meestal als optie om gevoelige inhoud te verbergen.

03Zelf remote goedkeuring bouwen

Je kunt remote goedkeuring zelf bouwen met een PermissionRequest-hook en een chatbot of pushdienst. Dan bouw je eigenlijk een authenticatiesysteem: alleen jij mag kunnen antwoorden, een oud antwoord mag niet gelden voor een nieuw verzoek, en een vastgelopen verzoek mag een sessie niet laten hangen. Op een gedeelde publieke pushserver is een topicnaam het enige dat vreemden buitenhoudt, dus behandel die als een wachtwoord. De gidsen over ntfy en Telegram, Slack of Discord behandelen setups die alleen meldingen sturen. Die zijn veel minder riskant, omdat ze niets kunnen goedkeuren.

04Hooks uit repositories die je niet zelf hebt geschreven

Er is nog een risico dat voor elke hook geldt, niet alleen voor goedkeuring. Hooks kunnen in de .claude/settings.json van een project gecommit zijn. In een interactieve sessie houdt Claude Code hooks tegen totdat je de workspace trust-dialoog voor de map accepteert, dus lees de .claude/-bestanden van een repository voordat je die vertrouwt. Bij claude -p en SDK-runs is er geen dialoog en wordt de map als vertrouwd behandeld, dus gecommitte hooks draaien gewoon. Geef bij gescripte runs op code die je niet zelf hebt geschreven --settings '{"disableAllHooks": true}' mee.

05Waar Claude Code Notifier in past

Claude Code Notifier is een onafhankelijke tool van TouchTap Ltd. Hij is niet gemaakt, onderschreven of gesponsord door Anthropic. De command line tool, ccn, draait als Claude Code-hooks op Mac, Windows en Linux, en met de apps voor iPhone en Android kun je eenmalig toestaan, toestaan voor de sessie of weigeren. ccn is source-available op GitHub, dus je kunt precies lezen wat er als hook draait voordat je het installeert. De gids over goedkeuren via je telefoon legt de setup uit.

06FAQ