Seguridad de Claude Code en un equipo de desarrollo

Claude Code trabaja en el ordenador del desarrollador con los mismos permisos que su cuenta de usuario: lee el repositorio, edita archivos y ejecuta comandos. Con una persona sola, la seguridad depende de lo que esa persona apruebe. Con un equipo de veinte, depende de que nadie tenga que acordarse: la empresa fija las reglas una vez y Claude Code las aplica en todos los equipos.

Esta guía resume los controles que ofrece Claude Code para equipos y empresas, verificados en su documentación oficial a 26 de octubre de 2026. Los nombres de los ajustes cambian a menudo; compruébalos en la referencia antes de desplegar una política.

Cómo decide Claude Code qué puede hacer

Cada sesión tiene un modo de permisos que marca qué hace Claude sin preguntar:

• Modo automático: es el modo con el que arrancan las sesiones interactivas. Un modelo clasificador revisa cada acción en lugar del desarrollador y bloquea las que considera inseguras. La organización puede desactivarlo.
• Modo manual: Claude empieza en solo lectura y pide permiso para editar archivos o ejecutar comandos. Algunos comandos de lectura, como ls o git status, no preguntan.
• Aceptar ediciones: aprueba solo las ediciones de archivos y algunos comandos de archivos dentro de la carpeta de trabajo.
• Omitir permisos: no pregunta nada. Es el que una empresa suele prohibir.

Un detalle que sorprende: el límite de la carpeta de trabajo es una pregunta, no un muro. Si el desarrollador aprueba un comando de terminal, ese comando puede escribir en cualquier sitio al que llegue su usuario. Para un límite real hace falta el entorno aislado (ver más abajo).

Las reglas de la empresa: configuración gestionada

La pieza central es la configuración gestionada: un conjunto de ajustes que la empresa despliega y que ningún desarrollador puede sobrescribir con su propia configuración ni con la del proyecto. Se entrega de dos formas:

Si tus equipos están en un MDM, la segunda vía es la más sólida. Pero las sesiones en la nube no leen nada del equipo, así que, si tu gente las usa, configura también la de la consola. Las rutas del archivo son /Library/Application Support/ClaudeCode/ en macOS, /etc/claude-code/ en Linux y C:\Program Files\ClaudeCode\ en Windows.

Un punto de partida razonable, tomado de la documentación oficial: impedir que Claude lea los archivos de secretos, prohibir el modo que omite permisos y que solo valgan las reglas de la empresa.

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)"
    ],
    "disableBypassPermissionsMode": "disable"
  },
  "allowManagedPermissionRulesOnly": true
}

Para comprobar que se aplica, el desarrollador ejecuta /status o claude doctor, que dicen de dónde viene la política. Si quieres que Claude Code no arranque sin ella, la clave forceRemoteSettingsRefresh lo hace salir si no puede descargarla.

El entorno aislado: el límite de verdad

El entorno aislado (sandbox) encierra los comandos de terminal que lanza Claude: solo pueden escribir en la carpeta del proyecto y en una carpeta temporal, y no salen a internet salvo a los dominios permitidos. Funciona en macOS y en Linux; en Windows hace falta WSL2. Viene apagado por defecto.

Desde la configuración gestionada, la empresa puede activarlo para todos (sandbox.enabled), hacer que Claude Code no arranque si no puede usarlo (sandbox.failIfUnavailable), impedir que un comando bloqueado se reintente fuera (sandbox.allowUnsandboxedCommands en false) y limitar la salida a internet a los dominios que fije la empresa (sandbox.network.allowManagedDomainsOnly).

Ojo con la lectura: por defecto, un comando aislado puede leer casi todo el equipo, incluidas las claves SSH. Hay que denegar esas rutas de forma explícita.

Servidores MCP y plugins

Los servidores MCP dan a Claude acceso a otras herramientas, y Anthropic no audita la seguridad de ninguno: revisa los conectores de su directorio contra unos criterios, pero no los gestiona. Además, revisar el archivo .mcp.json del repositorio no basta, porque también llegan servidores por la configuración del usuario, por los conectores de claude.ai y por los plugins.

La empresa puede fijar una lista de servidores permitidos (allowedMcpServers) y bloquear todo lo demás con allowManagedMcpServersOnly, o desplegar un archivo managed-mcp.json que toma el control completo de qué servidores existen. Para los plugins hay listas equivalentes de catálogos permitidos y bloqueados.

Repositorios ajenos y la inyección de instrucciones

Un README, una issue o una página web pueden esconder instrucciones dirigidas a Claude. Las defensas que trae de serie: el aviso de confianza al abrir una carpeta nueva, la aprobación aparte de los servidores MCP que trae un repositorio, y que comandos como curl o wget nunca se aprueban solos. Anthropic recomienda además revisar cada comando antes de aprobarlo, no pasar contenido no fiable directamente a Claude y usar máquinas virtuales o contenedores para trabajar con código desconocido.

Cuidado con la automatización: en modo no interactivo (claude -p, el que se usa en integración continua) no aparece ni el aviso de confianza ni la aprobación de servidores MCP. Ahí la política tiene que estar en la configuración, no en la atención de nadie. Y si el trabajo de CI usa una clave de API de la Consola, recibe la configuración de esa organización de la Consola, no la de claude.ai: hay que desplegarle el archivo o usar un token de la organización.

Sesiones en la nube

Cuando Claude Code trabaja en la nube, cada sesión corre en una máquina virtual aislada gestionada por Anthropic. Las credenciales de GitHub no entran en la máquina: el tráfico pasa por un proxy de Anthropic que las añade en el servidor. Ese proxy rechaza borrar ramas y subir etiquetas, y aplica las reglas de protección de ramas del repositorio. Si una rama tiene que pasar por revisión, configúralo en GitHub y la sesión lo respetará.

Qué pasa con el código y las conversaciones

• Entrenamiento: con Team, Enterprise y la API, Anthropic no entrena modelos con el código ni con las instrucciones, salvo que la organización se apunte a un programa que lo permita.
• Retención en Anthropic: 30 días por norma. La retención cero existe para clientes de Enterprise que cumplan los requisitos, pero no viene incluida: la activa el equipo de cuenta.
• En el portátil: Claude Code guarda las conversaciones en texto plano en ~/.claude/projects/ durante 30 días para poder retomarlas. En un portátil que se pierde, eso incluye fragmentos de código. El plazo se cambia con cleanupPeriodDays.
• Telemetría: las métricas de uso no llevan código, instrucciones ni rutas de archivos. Se desactivan con DISABLE_TELEMETRY=1, o todo el tráfico no esencial con CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC, que también se puede fijar desde la política.

Visibilidad para el equipo de seguridad

Claude Code exporta por OpenTelemetry el uso, los costes y la actividad de herramientas de cada persona, hacia tu propia plataforma de observabilidad. Los cambios en la configuración gestionada de la consola quedan en el registro de auditoría, accesible por la Compliance API. Y con los hooks ConfigChange se puede registrar o bloquear que alguien cambie su configuración local en mitad de una sesión.

La lista de comprobación

• Desplegar una configuración gestionada con la lista de rutas prohibidas y el modo sin permisos desactivado.
• Activar el entorno aislado para todos y limitar los dominios de salida.
• Fijar la lista de servidores MCP permitidos.
• Decidir si el modo automático queda disponible y para qué repositorios.
• Revisar los trabajos de integración continua: qué credencial usan y qué política reciben.
• Acortar cleanupPeriodDays si los portátiles tienen código sensible.
• Conectar OpenTelemetry antes del piloto, no después.
• Mantener la revisión humana del código: /security-review hace una pasada de seguridad sobre los cambios de la rama, pero no sustituye a la revisión de otra persona.

Si todavía estás decidiendo el plan, la comparativa Claude Enterprise o Team explica qué controles exige cada uno, y la guía de Claude Code cubre la instalación y el uso diario.