Безопасно ли одобрять действия Claude Code с телефона?

01Как работает удалённое одобрение

В Claude Code есть событие hook PermissionRequest. Оно срабатывает, когда Claude Code собирается запросить у Вас разрешение на использование инструмента. Hook может ответить решением — allow или deny, — и Claude Code применит его, не дожидаясь ответа в терминале. Инструменты удалённого одобрения используют этот hook: он отправляет запрос на телефон, ждёт и возвращает Ваш ответ. JSON показан в руководстве по PermissionRequest.

Для безопасности важны три свойства этой схемы. Все они описаны в документации Anthropic по hooks:

• Срабатывает, только когда был бы запрос. Если режим разрешений или правила allow уже пропускают действие, запроса не будет. Удалённое одобрение не может дать Claude больше полномочий, чем у Вас было бы за клавиатурой.
• Правила deny по-прежнему в приоритете. Hook, вернувший allow, не обходит правила deny из Ваших настроек. Если Вы запретили Read(./.env), никакое нажатие на телефоне не позволит Claude его прочитать.
• Hook выполняется от Вашего имени. Command hooks работают со всеми правами Вашего пользователя. Любая программа, установленная как hook, может читать и изменять всё, к чему есть доступ у Вашей учётной записи. Поэтому выбор инструмента — часть Вашей безопасности, а не только телефон.

02Риски и что их ограничивает

Отвечает кто-то другой

Худший случай — действие одобряет человек или устройство, которым Вы этого не доверяли. Что это ограничивает:

• Связывание. Телефон может отвечать только за компьютер, с которым он связан. В Claude Code Notifier связывание выполняется по QR-коду или 6-значному коду, действующему 24 часа, а к одному компьютеру можно привязать до трёх телефонов.
• Отзыв. ccn devices показывает телефоны, связанные с компьютером, а ccn devices revoke <name> удаляет один из них. ccn forget стирает компьютер и его связи с сервера.
• Блокировка телефона. Ответить может любой, у кого в руках Ваш разблокированный телефон. Считайте телефон ключом к сессиям Claude Code на Вашем компьютере и используйте код-пароль или биометрию.

Вы одобряете то, что не прочитали

На телефоне длинную shell-команду легко пробежать глазами. Помогут несколько привычек:

• Прочитайте команду целиком, прежде чем нажать allow. Если она не выглядит явно безопасной, отклоните её и посмотрите в терминале позже.
• Для всего, что меняет состояние за пределами проекта, например git push, деплоев или установки пакетов, лучше выбирать разрешить один раз, а не разрешить на сессию.
• Вынесите рискованные команды в правила ask, а секреты — в правила deny в настройках: тогда опасные случаи будут решаться правилами, которые Вы написали спокойно, а не случайным нажатием в очереди запросов. Синтаксис описан в руководстве по режимам разрешений.

Вы на самом деле сидите за клавиатурой

Если запрос приходит на телефон, пока Вы сидите за компьютером, на один и тот же prompt могут ответить двое (Вы и Ваш телефон). Claude Code Notifier проверяет присутствие за компьютером: если Вы печатали в последние 30 секунд, ответ с телефона не ожидается и terminal спрашивает как обычно. Если Вас нет, terminal ждёт ответа с телефона до выбранного Вами предела и перестаёт ждать, как только Вы коснётесь клавиатуры. Проверка бездействия выполняется на компьютере, и её результат никуда не отправляется.

Данные проекта покидают Ваш компьютер

Чтобы показать Вам запрос, что-то должно отправить его детали на телефон. Это неизбежный компромисс в плане приватности для любых уведомлений Claude Code на телефон — самодельных или нет. В Claude Code Notifier, согласно Политике конфиденциальности:

• Аккаунтов нет. Каждый компьютер и телефон идентифицируется случайным ID.
• Что может содержать уведомление: имя проекта и путь к папке, сообщение Claude или его вопрос, начало Вашего prompt, а для запроса разрешения — имя инструмента и краткое описание его входных данных, например shell-команду или путь к файлу (до 200 символов).
• Куда оно отправляется: через relay-сервер TouchTap, работающий на Cloudflare, а сокращённая версия — в Apple или Google для доставки push. Пути к папкам проектов в Apple и Google не передаются.
• Сколько хранится: сервер удаляет уведомления и Ваши ответы на них в течение 48 часов. Relay-сервер не хранит Ваш IP-адрес.
• При передаче: весь обмен с сервером идёт по TLS (HTTPS и WSS). Relay хранит содержимое уведомления для доставки, поэтому это шифрование при передаче, а не сквозное шифрование.
• Не продаётся: данные не продаются и не используются для рекламы.

На компьютере учётные данные ccn — это случайный токен. По умолчанию он хранится в Связке ключей macOS или в Диспетчере учётных данных Windows, а в Linux — в файле, доступном для чтения только Вашей учётной записи; команда ccn config set credential_store переключает хранение между системным хранилищем ключей и файлом.

Если Вы работаете с конфиденциальным кодом, сама политика советует подумать, уместны ли уведомления на телефон и какие их типы включать на каждом компьютере. notify_on_done, notify_on_permission и notify_on_question можно отключать по отдельности для каждого компьютера — из командной строки или в приложении на телефоне.

Экран блокировки показывает слишком много

Баннер с командой или названием клиентского проекта увидит любой, кто взглянет на Ваш телефон. И iPhone, и Android позволяют скрывать превью уведомлений до разблокировки — для всех приложений или для одного. На iPhone это в Настройках, раздел «Уведомления». На Android — в настройках уведомлений на экране блокировки, обычно как опция скрытия конфиденциальных данных.

03Самодельное удалённое подтверждение

Удалённое подтверждение можно собрать самостоятельно с помощью hook PermissionRequest и чат-бота или push-сервиса. Но тогда Вы фактически строите систему аутентификации: отвечать должны только Вы, старый ответ не должен применяться к новому запросу, а зависший запрос не должен блокировать сессию. На общем публичном push-сервере от посторонних Вас защищает только имя топика, поэтому относитесь к нему как к паролю. Руководства по ntfy и Telegram, Slack или Discord описывают настройки только для уведомлений — они гораздо менее рискованны, потому что ничего не могут подтвердить.

04Hooks из чужих репозиториев

Ещё один риск касается любых hooks, а не только подтверждений. Hooks можно закоммитить в .claude/settings.json проекта. В интерактивной сессии Claude Code не запускает hooks, пока Вы не подтвердите доверие к папке в диалоге, поэтому изучите файлы .claude/ репозитория, прежде чем доверять ему. В claude -p и при запуске через SDK диалога нет, папка считается доверенной, и закоммиченные hooks выполняются. Для скриптовых запусков на чужом коде передавайте --settings '{"disableAllHooks": true}'.

05Место Claude Code Notifier

Claude Code Notifier — независимый инструмент от TouchTap Ltd. Он не создан, не одобрен и не спонсируется Anthropic. Его утилита командной строки ccn работает как hooks Claude Code на Mac, Windows и Linux, а приложения для iPhone и Android позволяют разрешить один раз, разрешить на сессию или отклонить. Исходный код ccn доступен на GitHub, так что перед установкой Вы можете точно увидеть, что будет выполняться в качестве hook. Настройка описана в руководстве по подтверждению с телефона.

06FAQ