claude-apps-gateway-deploy.md +28 −26
6 6
7> Registre la puerta de enlace con su IdP, construya el contenedor, implemente en Kubernetes o Cloud Run, y opérelo: verificaciones de salud, rotación de secretos, actualizaciones y seguridad.7> Registre la puerta de enlace con su IdP, construya el contenedor, implemente en Kubernetes o Cloud Run, y opérelo: verificaciones de salud, rotación de secretos, actualizaciones y seguridad.
8 8
99Esta página cubre el lado operativo de ejecutar la [puerta de enlace de aplicaciones Claude](/es/claude-apps-gateway): registrar un cliente OAuth en su proveedor de identidad (IdP), implementar la puerta de enlace como un contenedor y ejecutarla día a día. Para cada opción en el archivo `gateway.yaml` que la puerta de enlace lee al iniciar, consulte la [referencia de configuración](/es/claude-apps-gateway-config).Esta página cubre el lado operativo de ejecutar la [puerta de enlace de aplicaciones Claude](/docs/es/claude-apps-gateway): registrar un cliente OAuth en su proveedor de identidad (IdP), implementar la puerta de enlace como un contenedor y ejecutarla día a día. Para cada opción en el archivo `gateway.yaml` que la puerta de enlace lee al iniciar, consulte la [referencia de configuración](/docs/es/claude-apps-gateway-config).
10 10
11Una implementación de producción sigue cuatro pasos en orden, y las secciones a continuación coinciden con ellos. Los dos primeros son donde usted toma decisiones; los dos segundos son material de referencia para consultar una vez que esté en funcionamiento.11Una implementación de producción sigue cuatro pasos en orden, y las secciones a continuación coinciden con ellos. Los dos primeros son donde usted toma decisiones; los dos segundos son material de referencia para consultar una vez que esté en funcionamiento.
12 12
31 31
32Cualquier IdP compatible con OIDC funciona: Okta, Microsoft Entra ID, Google Workspace, Keycloak, Dex, PingFederate y otros. El IdP debe cumplir tres requisitos:32Cualquier IdP compatible con OIDC funciona: Okta, Microsoft Entra ID, Google Workspace, Keycloak, Dex, PingFederate y otros. El IdP debe cumplir tres requisitos:
33 33
3434* Sirve `/.well-known/openid-configuration`, sobre HTTPS en producción; la puerta de enlace acepta un [emisor `http://`](/es/claude-apps-gateway-config#oidc), y un emisor de loopback además requiere `CLAUDE_GATEWAY_ALLOW_LOOPBACK=1`* Sirve `/.well-known/openid-configuration`, sobre HTTPS en producción; la puerta de enlace acepta un [emisor `http://`](/docs/es/claude-apps-gateway-config#oidc), y un emisor de loopback además requiere `CLAUDE_GATEWAY_ALLOW_LOOPBACK=1`
35* Admite el flujo de código de autorización. PKCE (Proof Key for Code Exchange) está activado de forma predeterminada; desactívelo con `oidc.use_pkce: false` para IdPs que no lo admitan35* Admite el flujo de código de autorización. PKCE (Proof Key for Code Exchange) está activado de forma predeterminada; desactívelo con `oidc.use_pkce: false` para IdPs que no lo admitan
36* Devuelve `email` y opcionalmente `groups` en el id\_token, o los sirve desde el punto final de userinfo con `oidc.userinfo_fallback: true`36* Devuelve `email` y opcionalmente `groups` en el id\_token, o los sirve desde el punto final de userinfo con `oidc.userinfo_fallback: true`
37 37
41 41
42* **Okta**: el servidor de autorización de la organización en `https://example.okta.com` devuelve un id\_token delgado que omite `email` y `groups`, así que establezca `oidc.userinfo_fallback: true` siempre que lo use como `issuer`. Un servidor de autorización personalizado como `https://example.okta.com/oauth2/default` que incluye `email` y opcionalmente `groups` en el id\_token los emite directamente y no necesita fallback. Okta emite `groups` solo cuando se solicita el alcance `groups` en `oidc.scopes` y el filtro de reclamación de grupos de la aplicación lo permite; `userinfo_fallback` no puede llenar una reclamación que el IdP no fue solicitado.42* **Okta**: el servidor de autorización de la organización en `https://example.okta.com` devuelve un id\_token delgado que omite `email` y `groups`, así que establezca `oidc.userinfo_fallback: true` siempre que lo use como `issuer`. Un servidor de autorización personalizado como `https://example.okta.com/oauth2/default` que incluye `email` y opcionalmente `groups` en el id\_token los emite directamente y no necesita fallback. Okta emite `groups` solo cuando se solicita el alcance `groups` en `oidc.scopes` y el filtro de reclamación de grupos de la aplicación lo permite; `userinfo_fallback` no puede llenar una reclamación que el IdP no fue solicitado.
43* **Microsoft Entra ID**: `issuer` = `https://login.microsoftonline.com/<tenant-id>/v2.0`. Entra emite IDs de objeto de grupo en lugar de nombres, así que use los GUIDs en `managed.policies.match.groups`, o use App Roles para nombres legibles por humanos. Si su inquilino emite roles bajo `roles` en lugar de `groups`, establezca `oidc.groups_claim: roles`.43* **Microsoft Entra ID**: `issuer` = `https://login.microsoftonline.com/<tenant-id>/v2.0`. Entra emite IDs de objeto de grupo en lugar de nombres, así que use los GUIDs en `managed.policies.match.groups`, o use App Roles para nombres legibles por humanos. Si su inquilino emite roles bajo `roles` en lugar de `groups`, establezca `oidc.groups_claim: roles`.
4444* **Google Workspace**: `issuer` = `https://accounts.google.com`. El id\_token de Google no lleva grupos. Para usar `allowed_groups` basado en grupos o `managed.policies` con Google como IdP, configure [`oidc.google_groups`](/es/claude-apps-gateway-config#oidc), que busca los grupos de cada usuario a través de la API de directorio del SDK de administración usando una cuenta de servicio con delegación en todo el dominio. Sin él, use `oidc.allowed_email_domains` para control de membresía y `managed.policies.match.email_domain` para asignación de políticas. Google también ignora el alcance estándar `offline_access`. Para tokens de actualización, establezca `oidc.scopes: [openid, profile, email]` y `oidc.extra_auth_params: { access_type: offline, prompt: consent }`.* **Google Workspace**: `issuer` = `https://accounts.google.com`. El id\_token de Google no lleva grupos. Para usar `allowed_groups` basado en grupos o `managed.policies` con Google como IdP, configure [`oidc.google_groups`](/docs/es/claude-apps-gateway-config#oidc), que busca los grupos de cada usuario a través de la API de directorio del SDK de administración usando una cuenta de servicio con delegación en todo el dominio. Sin él, use `oidc.allowed_email_domains` para control de membresía y `managed.policies.match.email_domain` para asignación de políticas. Google también ignora el alcance estándar `offline_access`. Para tokens de actualización, establezca `oidc.scopes: [openid, profile, email]` y `oidc.extra_auth_params: { access_type: offline, prompt: consent }`.
45 45
46Para obtener soporte con un proveedor de identidad no cubierto anteriormente, consulte [Solución de problemas](#troubleshooting).46Para obtener soporte con un proveedor de identidad no cubierto anteriormente, consulte [Solución de problemas](#troubleshooting).
47 47
48<Warning>48<Warning>
49 Los tokens de actualización permiten que la puerta de enlace renueve la sesión de un desarrollador silenciosamente, sin enviar al desarrollador de vuelta al navegador. También impulsan el desaprovisionamiento, porque cuando el IdP deshabilita un usuario, la siguiente actualización falla y la sesión termina dentro de `ttl_hours`. La puerta de enlace solicita `offline_access` de forma predeterminada para obtener un token de actualización. Si su IdP requiere consentimiento explícito para acceso sin conexión, configure el cliente OAuth para permitirlo.49 Los tokens de actualización permiten que la puerta de enlace renueve la sesión de un desarrollador silenciosamente, sin enviar al desarrollador de vuelta al navegador. También impulsan el desaprovisionamiento, porque cuando el IdP deshabilita un usuario, la siguiente actualización falla y la sesión termina dentro de `ttl_hours`. La puerta de enlace solicita `offline_access` de forma predeterminada para obtener un token de actualización. Si su IdP requiere consentimiento explícito para acceso sin conexión, configure el cliente OAuth para permitirlo.
50 50
5151 Si su IdP no puede emitir tokens de actualización en absoluto, la puerta de enlace aún funciona, pero no hay renovación silenciosa, así que los desarrolladores vuelven a ejecutar el inicio de sesión del navegador cuando su sesión expira. Para evitar que eso suceda cada hora, aumente [`session.ttl_hours`](/es/claude-apps-gateway-config#session) a `8` o `12`. El compromiso es la latencia de desaprovisionamiento, porque sin tokens de actualización un usuario deshabilitado mantiene acceso hasta que transcurra el TTL más largo. Si su IdP no puede emitir tokens de actualización en absoluto, la puerta de enlace aún funciona, pero no hay renovación silenciosa, así que los desarrolladores vuelven a ejecutar el inicio de sesión del navegador cuando su sesión expira. Para evitar que eso suceda cada hora, aumente [`session.ttl_hours`](/docs/es/claude-apps-gateway-config#session) a `8` o `12`. El compromiso es la latencia de desaprovisionamiento, porque sin tokens de actualización un usuario deshabilitado mantiene acceso hasta que transcurra el TTL más largo.
52</Warning>52</Warning>
53 53
54<h2 id="deployment">54<h2 id="deployment">
62Algunas decisiones dan forma a la implementación más allá de dónde se ejecuta:62Algunas decisiones dan forma a la implementación más allá de dónde se ejecuta:
63 63
64* **Costo**: no hay licencia separada ni tarifa por asiento para la puerta de enlace; es parte del binario `claude`. Paga por inferencia a través de su compromiso existente en la nube o con Anthropic, más el cálculo para el contenedor y su recopilador de telemetría.64* **Costo**: no hay licencia separada ni tarifa por asiento para la puerta de enlace; es parte del binario `claude`. Paga por inferencia a través de su compromiso existente en la nube o con Anthropic, más el cálculo para el contenedor y su recopilador de telemetría.
6565* **Derivación**: la puerta de enlace no impone que la única ruta a un modelo pase por ella. Un desarrollador con su propia credencial aún puede llamar al proveedor directamente, así que cerrar ese camino es una decisión de política de red, por ejemplo bloqueando la salida a `api.anthropic.com` excepto desde la puerta de enlace. Bloquear esa salida también rompe la [verificación de seguridad de dominio de WebFetch](/es/data-usage#webfetch-domain-safety-check), que llama a `api.anthropic.com` desde la máquina de cada desarrollador; establezca `skipWebFetchPreflight: true` en la política administrada para deshabilitarlo.* **Derivación**: la puerta de enlace no impone que la única ruta a un modelo pase por ella. Un desarrollador con su propia credencial aún puede llamar al proveedor directamente, así que cerrar ese camino es una decisión de política de red, por ejemplo bloqueando la salida a `api.anthropic.com` excepto desde la puerta de enlace. Bloquear esa salida también rompe la [verificación de seguridad de dominio de WebFetch](/docs/es/data-usage#webfetch-domain-safety-check), que llama a `api.anthropic.com` desde la máquina de cada desarrollador; establezca `skipWebFetchPreflight: true` en la política administrada para deshabilitarlo.
66* **Múltiples puertas de enlace**: cada puerta de enlace es una implementación separada con su propia configuración. El CLI almacena su huella digital de confianza y credenciales por nombre de host de puerta de enlace, así que diferentes equipos pueden conectarse a diferentes puertas de enlace sin conflicto. Para servir múltiples emisores OIDC, ejecute instancias separadas.66* **Múltiples puertas de enlace**: cada puerta de enlace es una implementación separada con su propia configuración. El CLI almacena su huella digital de confianza y credenciales por nombre de host de puerta de enlace, así que diferentes equipos pueden conectarse a diferentes puertas de enlace sin conflicto. Para servir múltiples emisores OIDC, ejecute instancias separadas.
67* **Sin servidor**: Cloud Run funciona; establezca `min-instances: 1` para evitar descubrimiento OIDC frío. Lambda y Cloud Functions no, porque la puerta de enlace es un servidor HTTP de larga duración.67* **Sin servidor**: Cloud Run funciona; establezca `min-instances: 1` para evitar descubrimiento OIDC frío. Lambda y Cloud Functions no, porque la puerta de enlace es un servidor HTTP de larga duración.
68 68
6969Cada topología de producción aquí coloca un proxy L7, como un Ingress, el front-end de Cloud Run o un ALB, frente a réplicas HTTP simples. Establezca [`listen.trusted_proxies`](/es/claude-apps-gateway-config#listen) en los rangos de origen del proxy para que la puerta de enlace lea las IPs del cliente desde `X-Forwarded-For`. La puerta de enlace honra el encabezado solo cuando el par TCP es confiable; el [ejemplo trabajado de Google Cloud](/es/claude-apps-gateway-on-gcp) tiene valores concretos por topología. Sin proxies confiables, cada solicitud parece provenir de la IP del proxy, lo que colapsa los límites de velocidad por IP en un cubo compartido y registra la IP del proxy en eventos de auditoría.Cada topología de producción aquí coloca un proxy L7, como un Ingress, el front-end de Cloud Run o un ALB, frente a réplicas HTTP simples. Establezca [`listen.trusted_proxies`](/docs/es/claude-apps-gateway-config#listen) en los rangos de origen del proxy para que la puerta de enlace lea las IPs del cliente desde `X-Forwarded-For`. La puerta de enlace honra el encabezado solo cuando el par TCP es confiable; el [ejemplo trabajado de Google Cloud](/docs/es/claude-apps-gateway-on-gcp) tiene valores concretos por topología. Sin proxies confiables, cada solicitud parece provenir de la IP del proxy, lo que colapsa los límites de velocidad por IP en un cubo compartido y registra la IP del proxy en eventos de auditoría.
70 70
71<h3 id="container-image">71<h3 id="container-image">
72 Imagen de contenedor72 Imagen de contenedor
74 74
75Construya su propia imagen alrededor del binario nativo `claude` de la versión estándar de Claude Code:75Construya su propia imagen alrededor del binario nativo `claude` de la versión estándar de Claude Code:
76 76
77771. Descargue la compilación de Linux para la arquitectura de su imagen desde una versión fija; consulte [Instalar una versión específica](/es/setup#install-a-specific-version) para la URL de descarga.1. Descargue la compilación de Linux para la arquitectura de su imagen desde una versión fija; consulte [Instalar una versión específica](/docs/es/setup#install-a-specific-version) para la URL de descarga.
78782. Verifíquelo contra el `manifest.json` firmado con GPG de la versión como se describe en [Integridad binaria y firma de código](/es/setup#binary-integrity-and-code-signing).2. Verifíquelo contra el `manifest.json` firmado con GPG de la versión como se describe en [Integridad binaria y firma de código](/docs/es/setup#binary-integrity-and-code-signing).
793. Cópielo en el contexto de compilación.793. Cópielo en el contexto de compilación.
80 80
81Refleje la versión en su registro interno si sus compilaciones no pueden alcanzar el host de versión, y fije la versión que ejecuta su flota.81Refleje la versión en su registro interno si sus compilaciones no pueden alcanzar el host de versión, y fije la versión que ejecuta su flota.
82 82
83Más allá del binario, la imagen necesita:83Más allá del binario, la imagen necesita:
84 84
8585* **Una imagen basada en glibc**: las únicas dependencias dinámicas de la compilación de glibc son las bibliotecas de glibc. Las imágenes basadas en Musl necesitan la compilación `linux-x64-musl` o `linux-arm64-musl` más paquetes adicionales; consulte [Configuración de Alpine Linux](/es/setup#alpine-linux-and-musl-based-distributions).* **Una imagen basada en glibc**: las únicas dependencias dinámicas de la compilación de glibc son las bibliotecas de glibc. Las imágenes basadas en Musl necesitan la compilación `linux-x64-musl` o `linux-arm64-musl` más paquetes adicionales; consulte [Configuración de Alpine Linux](/docs/es/setup#alpine-linux-and-musl-based-distributions).
86* **Un directorio de estado escribible**: la puerta de enlace se ejecuta como cualquier usuario, pero las imágenes mínimas no tienen inicio escribible. Establezca `CLAUDE_CONFIG_DIR` en una ruta escribible como `/tmp/.claude`.86* **Un directorio de estado escribible**: la puerta de enlace se ejecuta como cualquier usuario, pero las imágenes mínimas no tienen inicio escribible. Establezca `CLAUDE_CONFIG_DIR` en una ruta escribible como `/tmp/.claude`.
87* **El comando del contenedor**: `claude gateway --config /etc/claude/gateway.yaml`, con el archivo de configuración montado de solo lectura y secretos suministrados como variables de entorno; la puerta de enlace escucha en `listen.port`, predeterminado `8080`.87* **El comando del contenedor**: `claude gateway --config /etc/claude/gateway.yaml`, con el archivo de configuración montado de solo lectura y secretos suministrados como variables de entorno; la puerta de enlace escucha en `listen.port`, predeterminado `8080`.
88 88
99<Note>99<Note>
100 **Identidad de carga de trabajo**100 **Identidad de carga de trabajo**
101 101
102102 Prefiera la identidad de carga de trabajo de la plataforma sobre claves estáticas: IRSA en EKS para Bedrock y para Claude Platform en AWS, Workload Identity en GKE para Agent Platform, e identidad de carga de trabajo en AKS para Foundry. Establezca `auth: {}` en el bloque ascendente, o `use_azure_ad: true` para Foundry, y la puerta de enlace recoge la identidad del pod a través de la cadena de credenciales predeterminada de ese proveedor. Para un emparejamiento entre nubes, como un ascendente de Bedrock en GKE, establezca credenciales explícitas en el bloque `auth` del ascendente en su lugar. La [referencia de `upstreams`](/es/claude-apps-gateway-config#upstreams) tiene detalles de configuración por plataforma. Prefiera la identidad de carga de trabajo de la plataforma sobre claves estáticas: IRSA en EKS para Bedrock y para Claude Platform en AWS, Workload Identity en GKE para Agent Platform, e identidad de carga de trabajo en AKS para Foundry. Establezca `auth: {}` en el bloque ascendente, o `use_azure_ad: true` para Foundry, y la puerta de enlace recoge la identidad del pod a través de la cadena de credenciales predeterminada de ese proveedor. Para un emparejamiento entre nubes, como un ascendente de Bedrock en GKE, establezca credenciales explícitas en el bloque `auth` del ascendente en su lugar. La [referencia de `upstreams`](/docs/es/claude-apps-gateway-config#upstreams) tiene detalles de configuración por plataforma.
103</Note>103</Note>
104 104
105<h3 id="cloud-run">105<h3 id="cloud-run">
109Configure el servicio de la siguiente manera:109Configure el servicio de la siguiente manera:
110 110
111* Deje `listen.port` en su predeterminado de `8080`, que coincide con el `PORT` predeterminado de Cloud Run, o establezca `port: ${PORT}`111* Deje `listen.port` en su predeterminado de `8080`, que coincide con el `PORT` predeterminado de Cloud Run, o establezca `port: ${PORT}`
112112* Establezca `public_url` en el origen externamente alcanzable. Para producción esto es normalmente el nombre de host de un equilibrador de carga interno, porque `/login` [rechaza direcciones públicas](/es/claude-apps-gateway#prerequisites) y la URL `*.run.app` se resuelve a una, así que la URL de Cloud Run sola funciona solo para una prueba de humo `curl` o navegador. La excepción es una red donde `*.run.app` se resuelve privadamente a través de Private Service Connect y una zona privada de Cloud DNS; en esa topología la URL de Cloud Run es un `public_url` válido. El [ejemplo trabajado de Google Cloud](/es/claude-apps-gateway-on-gcp#deploy-the-gateway) cubre ambos.* Establezca `public_url` en el origen externamente alcanzable. Para producción esto es normalmente el nombre de host de un equilibrador de carga interno, porque `/login` [rechaza direcciones públicas](/docs/es/claude-apps-gateway#prerequisites) y la URL `*.run.app` se resuelve a una, así que la URL de Cloud Run sola funciona solo para una prueba de humo `curl` o navegador. La excepción es una red donde `*.run.app` se resuelve privadamente a través de Private Service Connect y una zona privada de Cloud DNS; en esa topología la URL de Cloud Run es un `public_url` válido. El [ejemplo trabajado de Google Cloud](/docs/es/claude-apps-gateway-on-gcp#deploy-the-gateway) cubre ambos.
113* Monte la configuración como un volumen secreto113* Monte la configuración como un volumen secreto
114* Establezca `min-instances: 1` para evitar un descubrimiento OIDC frío en la primera solicitud114* Establezca `min-instances: 1` para evitar un descubrimiento OIDC frío en la primera solicitud
115 115
116<Note>116<Note>
117117 Para un ejemplo completo trabajado en Google Cloud, cubriendo Cloud Run o GKE, Cloud SQL y Secret Manager, consulte [Implementar en Google Cloud](/es/claude-apps-gateway-on-gcp). Para un ejemplo completo trabajado en Google Cloud, cubriendo Cloud Run o GKE, Cloud SQL y Secret Manager, consulte [Implementar en Google Cloud](/docs/es/claude-apps-gateway-on-gcp).
118</Note>118</Note>
119 119
120<h3 id="push-the-gateway-url-to-developer-machines">120<h3 id="push-the-gateway-url-to-developer-machines">
121 Enviar la URL de la puerta de enlace a máquinas de desarrolladores121 Enviar la URL de la puerta de enlace a máquinas de desarrolladores
122</h3>122</h3>
123 123
124124Una vez que la puerta de enlace está sirviendo, envíe `forceLoginMethod` y `forceLoginGatewayUrl` a la máquina de cada desarrollador a través de configuraciones administradas, a través de MDM o escribiendo directamente el `managed-settings.json` específico del sistema operativo. Sin esto, `/login` muestra el selector de cuenta estándar sin opción de puerta de enlace. Consulte [Configuraciones administradas del lado del cliente](/es/claude-apps-gateway-config#client-side-managed-settings) para las rutas de archivo.Una vez que la puerta de enlace está sirviendo, envíe `forceLoginMethod` y `forceLoginGatewayUrl` a la máquina de cada desarrollador a través de configuraciones administradas, a través de MDM o escribiendo directamente el `managed-settings.json` específico del sistema operativo. Sin esto, `/login` muestra el selector de cuenta estándar sin opción de puerta de enlace. Consulte [Configuraciones administradas del lado del cliente](/docs/es/claude-apps-gateway-config#client-side-managed-settings) para las rutas de archivo.
125 125
126<h2 id="operations">126<h2 id="operations">
127 Operaciones127 Operaciones
160 160
161* **Sesiones existentes**: los tokens portadores se validan localmente con el secreto JWT, las actualizaciones de sesión no tocan el almacén, y el proceso de puerta de enlace aún puede servir inferencia161* **Sesiones existentes**: los tokens portadores se validan localmente con el secreto JWT, las actualizaciones de sesión no tocan el almacén, y el proceso de puerta de enlace aún puede servir inferencia
162* **Nuevos inicios de sesión**: fallan hasta que Postgres se recupere, porque el flujo de dispositivo y sus contadores de límite de velocidad viven en Postgres162* **Nuevos inicios de sesión**: fallan hasta que Postgres se recupere, porque el flujo de dispositivo y sus contadores de límite de velocidad viven en Postgres
163163* **[Cumplimiento de límite de gasto](/es/claude-apps-gateway-spend-limits#postgres-availability)**: falla abierto de forma predeterminada durante la interrupción, así que la inferencia aún fluye; cámbielo a falla cerrada si preferiría bloquear que ejecutar sin medidor* **[Cumplimiento de límite de gasto](/docs/es/claude-apps-gateway-spend-limits#postgres-availability)**: falla abierto de forma predeterminada durante la interrupción, así que la inferencia aún fluye; cámbielo a falla cerrada si preferiría bloquear que ejecutar sin medidor
164* **Preparación**: `/readyz` reporta no listo durante la interrupción, así que los orquestadores que cierren tráfico en preparación eliminan cada réplica de rotación a la vez. En esa topología todo el tráfico, incluida la inferencia que la puerta de enlace podría servir, falla en el equilibrador de carga hasta que Postgres se recupere. La sonda de vivacidad en `/healthz` sigue pasando, así que las réplicas no se reinician. Apunte la sonda de preparación a `/healthz` en su lugar si preferiría que los desarrolladores con sesión iniciada sigan trabajando a través de una interrupción de almacén; el costo es que los nuevos inicios de sesión fallan contra una réplica que aún reporta lista.164* **Preparación**: `/readyz` reporta no listo durante la interrupción, así que los orquestadores que cierren tráfico en preparación eliminan cada réplica de rotación a la vez. En esa topología todo el tráfico, incluida la inferencia que la puerta de enlace podría servir, falla en el equilibrador de carga hasta que Postgres se recupere. La sonda de vivacidad en `/healthz` sigue pasando, así que las réplicas no se reinician. Apunte la sonda de preparación a `/healthz` en su lugar si preferiría que los desarrolladores con sesión iniciada sigan trabajando a través de una interrupción de almacén; el costo es que los nuevos inicios de sesión fallan contra una réplica que aún reporta lista.
165 165
166Si su IdP se cae, las sesiones existentes funcionan hasta `ttl_hours`, y los nuevos inicios de sesión y actualizaciones fallan. Establezca un `ttl_hours` más largo si su IdP tiene ventanas de mantenimiento frecuentes.166Si su IdP se cae, las sesiones existentes funcionan hasta `ttl_hours`, y los nuevos inicios de sesión y actualizaciones fallan. Establezca un `ttl_hours` más largo si su IdP tiene ventanas de mantenimiento frecuentes.
191| `admin_audit` | Rastro de mutación de API de administrador | `admin.audit_retention_days`, predeterminado 365 |191| `admin_audit` | Rastro de mutación de API de administrador | `admin.audit_retention_days`, predeterminado 365 |
192| `principal_emails` | Correo electrónico de último visto de cada principal, nombre para mostrar y grupos de IdP. Contiene PII. | `admin.identity_retention_days` desde última actividad, predeterminado 90 |192| `principal_emails` | Correo electrónico de último visto de cada principal, nombre para mostrar y grupos de IdP. Contiene PII. | `admin.identity_retention_days` desde última actividad, predeterminado 90 |
193 193
194194Un bucle de 30 segundos expira filas `kv` pasadas su TTL, y un barrido cada hora impone las ventanas de retención en las tablas de gasto, así que nada crece sin límite. Sin [límites de gasto](/es/claude-apps-gateway-spend-limits) configurados, solo se escribe `kv`. Si su política de seguridad prohíbe DDL del rol de aplicación, pre-cree estas tablas y `_migrations` con un rol de administrador y otorgue al rol de aplicación `SELECT, INSERT, UPDATE, DELETE` en cada una.Un bucle de 30 segundos expira filas `kv` pasadas su TTL, y un barrido cada hora impone las ventanas de retención en las tablas de gasto, así que nada crece sin límite. Sin [límites de gasto](/docs/es/claude-apps-gateway-spend-limits) configurados, solo se escribe `kv`. Si su política de seguridad prohíbe DDL del rol de aplicación, pre-cree estas tablas y `_migrations` con un rol de administrador y otorgue al rol de aplicación `SELECT, INSERT, UPDATE, DELETE` en cada una.
195 195
196Con límites de gasto en uso, una base de datos perdida significa pérdida de seguimiento de gasto y límites, no solo re-inicios de sesión de desarrolladores, así que ejecute copias de seguridad regulares. Para borrar un desarrollador que se fue inmediatamente en lugar de esperar en retención, ejecute `DELETE FROM principal_emails WHERE principal = '<sub>'` directamente; eso elimina la única tabla que contiene su correo electrónico, nombre y grupos. Las filas `spend` y `admin_audit` hacen referencia solo al `sub` OIDC seudónimo.196Con límites de gasto en uso, una base de datos perdida significa pérdida de seguimiento de gasto y límites, no solo re-inicios de sesión de desarrolladores, así que ejecute copias de seguridad regulares. Para borrar un desarrollador que se fue inmediatamente en lugar de esperar en retención, ejecute `DELETE FROM principal_emails WHERE principal = '<sub>'` directamente; eso elimina la única tabla que contiene su correo electrónico, nombre y grupos. Las filas `spend` y `admin_audit` hacen referencia solo al `sub` OIDC seudónimo.
197 197
218| Datos | Ruta | Enviado a Anthropic por la puerta de enlace |218| Datos | Ruta | Enviado a Anthropic por la puerta de enlace |
219| --------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------- | -------------------------------------------------------- |219| --------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------- | -------------------------------------------------------- |
220| Inferencia (indicaciones, finalizaciones) | CLI → puerta de enlace → su ascendente | Solo si la API de Anthropic es un ascendente configurado |220| Inferencia (indicaciones, finalizaciones) | CLI → puerta de enlace → su ascendente | Solo si la API de Anthropic es un ascendente configurado |
221221| Telemetría (métricas OTLP, más [registros y trazas opcionales](/es/claude-apps-gateway-config#telemetry)) | CLI → puerta de enlace → su recopilador | Nunca || Telemetría (métricas OTLP, más [registros y trazas opcionales](/docs/es/claude-apps-gateway-config#telemetry)) | CLI → puerta de enlace → su recopilador | Nunca |
222| Identidad (correo electrónico, grupos, sub) | IdP → puerta de enlace → JWT → CLI; el CLI lo marca en exportaciones OTLP | Nunca |222| Identidad (correo electrónico, grupos, sub) | IdP → puerta de enlace → JWT → CLI; el CLI lo marca en exportaciones OTLP | Nunca |
223| Configuraciones administradas | Su YAML de puerta de enlace → CLI | Nunca |223| Configuraciones administradas | Su YAML de puerta de enlace → CLI | Nunca |
224| Registro de auditoría | Stderr de puerta de enlace → su agregador | Nunca |224| Registro de auditoría | Stderr de puerta de enlace → su agregador | Nunca |
237 237
238Dos amenazas están fuera del alcance porque son su infraestructura para asegurar:238Dos amenazas están fuera del alcance porque son su infraestructura para asegurar:
239 239
240240* **Un host de puerta de enlace comprometido**: el host tanto contiene la credencial ascendente como distribuye [configuraciones administradas](/es/claude-apps-gateway-config#managed) a cada desarrollador conectado, así que el control sobre la configuración de la puerta de enlace es comparable al control sobre su MDM. El diálogo de aprobación única del CLI para configuraciones capaces de shell limita cambios silenciosos pero no reemplaza la seguridad del host.* **Un host de puerta de enlace comprometido**: el host tanto contiene la credencial ascendente como distribuye [configuraciones administradas](/docs/es/claude-apps-gateway-config#managed) a cada desarrollador conectado, así que el control sobre la configuración de la puerta de enlace es comparable al control sobre su MDM. El diálogo de aprobación única del CLI para configuraciones capaces de shell limita cambios silenciosos pero no reemplaza la seguridad del host.
241* **Un proveedor OIDC malicioso**: el proveedor firma los id\_tokens que la puerta de enlace confía, así que puede afirmar cualquier identidad. Verificar y asegurar su IdP es su responsabilidad.241* **Un proveedor OIDC malicioso**: el proveedor firma los id\_tokens que la puerta de enlace confía, así que puede afirmar cualquier identidad. Verificar y asegurar su IdP es su responsabilidad.
242 242
243<h3 id="user-code-brute-force-resistance">243<h3 id="user-code-brute-force-resistance">
246 246
247El `user_code` que un desarrollador escribe en la página de verificación `/device` son 8 caracteres extraídos de un alfabeto de 20 caracteres, que produce 20⁸ o aproximadamente 2.56×10¹⁰ combinaciones, y expira después de 10 minutos.247El `user_code` que un desarrollador escribe en la página de verificación `/device` son 8 caracteres extraídos de un alfabeto de 20 caracteres, que produce 20⁸ o aproximadamente 2.56×10¹⁰ combinaciones, y expira después de 10 minutos.
248 248
249249La puerta de enlace aplica límites de velocidad por IP en los puntos finales de concesión de dispositivo, configurables a través de [`rate_limits`](/es/claude-apps-gateway-config#http-tuning). Aumente los límites si muchos desarrolladores inician sesión desde una única dirección NAT corporativa compartida. Los límites se aplican solo al flujo de inicio de sesión, no a la inferencia.La puerta de enlace aplica límites de velocidad por IP en los puntos finales de concesión de dispositivo, configurables a través de [`rate_limits`](/docs/es/claude-apps-gateway-config#http-tuning). Aumente los límites si muchos desarrolladores inician sesión desde una única dirección NAT corporativa compartida. Los límites se aplican solo al flujo de inicio de sesión, no a la inferencia.
250 250
251<h3 id="compliance-posture">251<h3 id="compliance-posture">
252 Postura de cumplimiento252 Postura de cumplimiento
255* **Residencia de datos**: el plano de datos propio de la puerta de enlace no envía nada a Anthropic a menos que la API de Anthropic sea un ascendente configurado; cuando lo es, su acuerdo de manejo de datos existente se aplica a la ruta de inferencia. Telemetría, auditoría, identidad y configuraciones van solo a los destinos que configura.255* **Residencia de datos**: el plano de datos propio de la puerta de enlace no envía nada a Anthropic a menos que la API de Anthropic sea un ascendente configurado; cuando lo es, su acuerdo de manejo de datos existente se aplica a la ruta de inferencia. Telemetría, auditoría, identidad y configuraciones van solo a los destinos que configura.
256* **Tráfico de proceso de host**: el proceso de host es el CLI de Claude Code, que puede enviar análisis de inicio y verificaciones de actualización a Anthropic. Para implementaciones de salida estricta, establezca `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1` en el entorno del contenedor de la puerta de enlace.256* **Tráfico de proceso de host**: el proceso de host es el CLI de Claude Code, que puede enviar análisis de inicio y verificaciones de actualización a Anthropic. Para implementaciones de salida estricta, establezca `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1` en el entorno del contenedor de la puerta de enlace.
257* **Análisis del cliente**: el CLI deshabilita su propio análisis de uso mientras está conectado a una puerta de enlace, y el informe de errores está desactivado de forma predeterminada en superficies de API de terceros.257* **Análisis del cliente**: el CLI deshabilita su propio análisis de uso mientras está conectado a una puerta de enlace, y el informe de errores está desactivado de forma predeterminada en superficies de API de terceros.
258258* **Máquinas cliente**: los CLIs de desarrolladores aún envían verificaciones de nombre de host de WebFetch y verificaciones de versión a Anthropic a menos que `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1` y `skipWebFetchPreflight: true` estén establecidos. Consulte [uso de datos](/es/data-usage).* **Máquinas cliente**: los CLIs de desarrolladores aún envían verificaciones de nombre de host de WebFetch y verificaciones de versión a Anthropic a menos que `CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1` y `skipWebFetchPreflight: true` estén establecidos. Consulte [uso de datos](/docs/es/data-usage).
259* **Calificaciones de encuesta**: la credencial de puerta de enlace deshabilita el sumidero de calificación vinculado a Anthropic, así que las calificaciones no se envían a Anthropic.259* **Calificaciones de encuesta**: la credencial de puerta de enlace deshabilita el sumidero de calificación vinculado a Anthropic, así que las calificaciones no se envían a Anthropic.
260* **Compartir transcripción**: elegir Sí en el indicador de compartir transcripción de una encuesta escribe un archivo local bajo `~/.claude/feedback-bundles/` en lugar de cargar a Anthropic.260* **Compartir transcripción**: elegir Sí en el indicador de compartir transcripción de una encuesta escribe un archivo local bajo `~/.claude/feedback-bundles/` en lugar de cargar a Anthropic.
261* **Actualizaciones del cliente**: las verificaciones de actualización son separadas del tráfico de puerta de enlace. Fije versiones a través de su propia distribución y establezca `DISABLE_UPDATES` si las máquinas portátiles no deben obtener versiones. `DISABLE_AUTOUPDATER` detiene solo actualizaciones de fondo mientras `claude update` aún funciona.261* **Actualizaciones del cliente**: las verificaciones de actualización son separadas del tráfico de puerta de enlace. Fije versiones a través de su propia distribución y establezca `DISABLE_UPDATES` si las máquinas portátiles no deben obtener versiones. `DISABLE_AUTOUPDATER` detiene solo actualizaciones de fondo mientras `claude update` aún funciona.
262* **TLS**: sirva `public_url` sobre HTTPS en producción, ya sea desde el oyente propio de la puerta de enlace a través de `listen.tls` o desde un ingress que termina TLS frente a réplicas HTTP simples con `listen.public_url` establecido. La puerta de enlace no rechaza HTTP simple. El IdP debe servir HTTPS en producción, y Postgres admite `?sslmode=require`. Establezca `Strict-Transport-Security` en su ingress.262* **TLS**: sirva `public_url` sobre HTTPS en producción, ya sea desde el oyente propio de la puerta de enlace a través de `listen.tls` o desde un ingress que termina TLS frente a réplicas HTTP simples con `listen.public_url` establecido. La puerta de enlace no rechaza HTTP simple. El IdP debe servir HTTPS en producción, y Postgres admite `?sslmode=require`. Establezca `Strict-Transport-Security` en su ingress.
263263* **Divulgación de vulnerabilidad**: siga [Reportar problemas de seguridad](/es/security#reporting-security-issues)* **Divulgación de vulnerabilidad**: siga [Reportar problemas de seguridad](/docs/es/security#reporting-security-issues)
264 264
265<h2 id="troubleshooting">265<h2 id="troubleshooting">
266 Solución de problemas266 Solución de problemas
272* **Problema de inicio de sesión**: el desarrollador ejecuta `claude --debug-file ./claude-debug.txt`, reproduce, y envía ese archivo más el registro de auditoría de la puerta de enlace para la misma ventana272* **Problema de inicio de sesión**: el desarrollador ejecuta `claude --debug-file ./claude-debug.txt`, reproduce, y envía ese archivo más el registro de auditoría de la puerta de enlace para la misma ventana
273* **Problema de inferencia**: el modelo solicitado, los ascendentes configurados, y el registro de auditoría de la puerta de enlace para la solicitud, que registra qué ascendente la sirvió y el estado de respuesta273* **Problema de inferencia**: el modelo solicitado, los ascendentes configurados, y el registro de auditoría de la puerta de enlace para la solicitud, que registra qué ascendente la sirvió y el estado de respuesta
274 274
275El stderr de la puerta de enlace incluye el flujo de eventos de auditoría, el registro de auditoría registra identidades de desarrolladores, y el archivo de depuración registra la salida de hooks y servidores MCP de la máquina del desarrollador. Revise y redacte estos antes de publicar en un problema público.
276
275| Síntoma | Causa | Solución |277| Síntoma | Causa | Solución |
276| ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |278| ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
277279| El `/login` de un desarrollador muestra el selector de cuenta estándar en lugar de la pantalla **Cloud gateway** | `forceLoginMethod` o `forceLoginGatewayUrl` no está establecido en configuraciones administradas en esa máquina | Implemente el [archivo de configuraciones administradas](/es/claude-apps-gateway#set-the-gateway-url) en el dispositivo; `/login` lee la URL de la puerta de enlace desde allí || El `/login` de un desarrollador muestra el selector de cuenta estándar en lugar de la pantalla **Cloud gateway** | `forceLoginMethod` o `forceLoginGatewayUrl` no está establecido en configuraciones administradas en esa máquina | Implemente el [archivo de configuraciones administradas](/docs/es/claude-apps-gateway#set-the-gateway-url) en el dispositivo; `/login` lee la URL de la puerta de enlace desde allí |
278| El inicio muestra `Gateway login is configured in managed settings, but this Claude Code build does not include Cloud gateway support.` | La compilación de Claude Code instalada es anterior al soporte de puerta de enlace | Haga que el desarrollador actualice Claude Code a una versión que incluya soporte de puerta de enlace en la nube |280| El inicio muestra `Gateway login is configured in managed settings, but this Claude Code build does not include Cloud gateway support.` | La compilación de Claude Code instalada es anterior al soporte de puerta de enlace | Haga que el desarrollador actualice Claude Code a una versión que incluya soporte de puerta de enlace en la nube |
279281| CLI `/login`: `Gateway hosts must be on your organization's private network; <host> resolves to the public (or unrecognized) address <ip>` | El nombre de host de la puerta de enlace se resuelve a al menos una dirección IP pública. Claude Code verifica cada dirección resuelta y requiere que cada una sea privada. Una causa común es un nombre de pila dual donde una familia se resuelve a una dirección pública, incluidos los equilibradores de carga de pila dual internos de AWS, que devuelven direcciones AAAA de rango público. Los puntos finales de puerta de enlace pública operados por Anthropic están exentos de la verificación, y `/login` los acepta sobre `https://`. Antes de v2.1.206, `/login` los rechazaba como cualquier otra dirección pública | Haga que el nombre de la puerta de enlace se resuelva solo a direcciones privadas en máquinas de desarrolladores. Para un nombre de pila dual, suelte el registro de rango público o sirva un nombre DNS solo interno separado. Consulte el [requisito previo de red privada](/es/claude-apps-gateway#prerequisites). || CLI `/login`: `Gateway hosts must be on your organization's private network; <host> resolves to the public (or unrecognized) address <ip>` | El nombre de host de la puerta de enlace se resuelve a al menos una dirección IP pública. Claude Code verifica cada dirección resuelta y requiere que cada una sea privada. Una causa común es un nombre de pila dual donde una familia se resuelve a una dirección pública, incluidos los equilibradores de carga de pila dual internos de AWS, que devuelven direcciones AAAA de rango público. Los puntos finales de puerta de enlace pública operados por Anthropic están exentos de la verificación, y `/login` los acepta sobre `https://`. Antes de v2.1.206, `/login` los rechazaba como cualquier otra dirección pública | Haga que el nombre de la puerta de enlace se resuelva solo a direcciones privadas en máquinas de desarrolladores. Para un nombre de pila dual, suelte el registro de rango público o sirva un nombre DNS solo interno separado. Consulte el [requisito previo de red privada](/docs/es/claude-apps-gateway#prerequisites). |
280| CLI `/login`: `Gateway login requires a direct connection and does not support connecting through an HTTP proxy` | Un `HTTPS_PROXY` o `HTTP_PROXY` se aplica al host de la puerta de enlace y el nombre de host del proxy se resuelve a una dirección pública. Un proxy cuyo host se resuelve solo a direcciones privadas está permitido y no desencadena este error | Agregue el host de la puerta de enlace a `NO_PROXY` en la máquina del desarrollador para que la conexión sea directa, o use un proxy cuyo nombre de host se resuelva a direcciones privadas |282| CLI `/login`: `Gateway login requires a direct connection and does not support connecting through an HTTP proxy` | Un `HTTPS_PROXY` o `HTTP_PROXY` se aplica al host de la puerta de enlace y el nombre de host del proxy se resuelve a una dirección pública. Un proxy cuyo host se resuelve solo a direcciones privadas está permitido y no desencadena este error | Agregue el host de la puerta de enlace a `NO_PROXY` en la máquina del desarrollador para que la conexión sea directa, o use un proxy cuyo nombre de host se resuelva a direcciones privadas |
281| CLI `/login`: `Could not resolve gateway host <host>` | La máquina no puede resolver el nombre DNS interno de la puerta de enlace, típicamente porque no está en la red corporativa | Haga que el desarrollador se conecte a su red o VPN, luego reintente `/login` |283| CLI `/login`: `Could not resolve gateway host <host>` | La máquina no puede resolver el nombre DNS interno de la puerta de enlace, típicamente porque no está en la red corporativa | Haga que el desarrollador se conecte a su red o VPN, luego reintente `/login` |
282| El arranque sale con un error de validación de configuración nombrando `store.postgres_url` | No hay Postgres configurado; la puerta de enlace requiere Postgres | Establezca `store.postgres_url`. Para desarrollo local, use un contenedor desechable: `docker run --rm -p 5432:5432 -e POSTGRES_HOST_AUTH_METHOD=trust postgres`. |284| El arranque sale con un error de validación de configuración nombrando `store.postgres_url` | No hay Postgres configurado; la puerta de enlace requiere Postgres | Establezca `store.postgres_url`. Para desarrollo local, use un contenedor desechable: `docker run --rm -p 5432:5432 -e POSTGRES_HOST_AUTH_METHOD=trust postgres`. |
283285| El arranque sale: `requires the native binary` | Ejecutando bajo Node en lugar del binario nativo | Instale Claude Code con uno de los [métodos de instalación independiente](/es/setup) || El arranque sale: `requires the native binary` | Ejecutando bajo Node en lugar del binario nativo | Instale Claude Code con uno de los [métodos de instalación independiente](/docs/es/setup) |
284| El arranque sale con un error de descubrimiento OIDC después de `config.load` | `oidc.issuer` no alcanzable, o cadena TLS no confiable | Verifique que el emisor sea alcanzable desde el pod y sirva `/.well-known/openid-configuration`. Establezca `ca_cert_pem` para PKI privada. |286| El arranque sale con un error de descubrimiento OIDC después de `config.load` | `oidc.issuer` no alcanzable, o cadena TLS no confiable | Verifique que el emisor sea alcanzable desde el pod y sirva `/.well-known/openid-configuration`. Establezca `ca_cert_pem` para PKI privada. |
285| El arranque sale con un error de permiso de Postgres | El rol de aplicación carece de `CREATE TABLE` | Pre-cree el esquema con un rol de administrador y otorgue DML al rol de aplicación, o otorgue DDL temporalmente para arranques que apliquen nuevas migraciones |287| El arranque sale con un error de permiso de Postgres | El rol de aplicación carece de `CREATE TABLE` | Pre-cree el esquema con un rol de administrador y otorgue DML al rol de aplicación, o otorgue DDL temporalmente para arranques que apliquen nuevas migraciones |
286| `/oauth/callback` muestra "Sign-in could not be completed" | Dominio de correo electrónico rechazado, validación de id\_token falló, o `email_verified` es explícitamente `false`, que la puerta de enlace siempre rechaza sin anulación | Verifique `allowed_email_domains` y que el IdP devuelva una reclamación `email` verificada. Para `email_verified: false`, corrija la verificación del lado del IdP. Si su IdP emite correo electrónico bajo un nombre de reclamación diferente, establezca `oidc.email_claim`. |288| `/oauth/callback` muestra "Sign-in could not be completed" | Dominio de correo electrónico rechazado, validación de id\_token falló, o `email_verified` es explícitamente `false`, que la puerta de enlace siempre rechaza sin anulación | Verifique `allowed_email_domains` y que el IdP devuelva una reclamación `email` verificada. Para `email_verified: false`, corrija la verificación del lado del IdP. Si su IdP emite correo electrónico bajo un nombre de reclamación diferente, establezca `oidc.email_claim`. |
293| El inicio de sesión se completa en el IdP pero la devolución de llamada falla, con un error de CSP en Chrome o "this sign-in link has expired" en Safari | El IdP devolvió el código a través de `response_mode=form_post`, que lo auto-envía entre orígenes a través de POST a `/oauth/callback`. Chrome bloquea eso bajo una CSP estricta; Safari permite el envío pero la devolución de llamada lee solo la cadena de consulta. | Asegúrese de que su IdP honre `response_mode=query`, que la puerta de enlace solicita explícitamente para que la devolución de llamada sea una redirección simple |295| El inicio de sesión se completa en el IdP pero la devolución de llamada falla, con un error de CSP en Chrome o "this sign-in link has expired" en Safari | El IdP devolvió el código a través de `response_mode=form_post`, que lo auto-envía entre orígenes a través de POST a `/oauth/callback`. Chrome bloquea eso bajo una CSP estricta; Safari permite el envío pero la devolución de llamada lee solo la cadena de consulta. | Asegúrese de que su IdP honre `response_mode=query`, que la puerta de enlace solicita explícitamente para que la devolución de llamada sea una redirección simple |
294| El inicio de sesión funciona localmente pero falla detrás de un ALB | `public_url` no establecido, así que el IdP obtiene el origen interno `http://` como `redirect_uri` | Establezca `listen.public_url` al origen externo `https://` |296| El inicio de sesión funciona localmente pero falla detrás de un ALB | `public_url` no establecido, así que el IdP obtiene el origen interno `http://` como `redirect_uri` | Establezca `listen.public_url` al origen externo `https://` |
295| El desarrollador ve el indicador de confianza repetidamente | El certificado TLS está rotando por réplica o por solicitud | Use un certificado estable en el ingress, o termine TLS una vez y ejecute réplicas sobre HTTP simple internamente |297| El desarrollador ve el indicador de confianza repetidamente | El certificado TLS está rotando por réplica o por solicitud | Use un certificado estable en el ingress, o termine TLS una vez y ejecute réplicas sobre HTTP simple internamente |
296298| CLI `/login`: "Could not verify the gateway's TLS certificate" o `SELF_SIGNED_CERT_IN_CHAIN` | La cadena TLS de la puerta de enlace está firmada por una CA privada no en el almacén de confianza del host CLI | Claude Code lee el almacén de confianza del SO de forma predeterminada en el binario nativo y en Node 22.15 o posterior; [`CLAUDE_CODE_CERT_STORE`](/es/network-config#ca-certificate-store) controla este comportamiento. Si la CA está instalada en el almacén de confianza del SO, asegúrese de que los desarrolladores estén en un tiempo de ejecución actual. De lo contrario, establezca `NODE_EXTRA_CA_CERTS` al PEM del certificado de CA antes de lanzar. El indicador de huella digital de primera conexión aún se aplica. || CLI `/login`: "Could not verify the gateway's TLS certificate" o `SELF_SIGNED_CERT_IN_CHAIN` | La cadena TLS de la puerta de enlace está firmada por una CA privada no en el almacén de confianza del host CLI | Claude Code lee el almacén de confianza del SO de forma predeterminada en el binario nativo y en Node 22.15 o posterior; [`CLAUDE_CODE_CERT_STORE`](/docs/es/network-config#ca-certificate-store) controla este comportamiento. Si la CA está instalada en el almacén de confianza del SO, asegúrese de que los desarrolladores estén en un tiempo de ejecución actual. De lo contrario, establezca `NODE_EXTRA_CA_CERTS` al PEM del certificado de CA antes de lanzar. El indicador de huella digital de primera conexión aún se aplica. |
297 299
298<h2 id="related">300<h2 id="related">
299 Relacionado301 Relacionado
300</h2>302</h2>
301 303
302304* [Descripción general de la puerta de enlace de aplicaciones Claude](/es/claude-apps-gateway): inicio rápido y conexión de desarrolladores* [Descripción general de la puerta de enlace de aplicaciones Claude](/docs/es/claude-apps-gateway): inicio rápido y conexión de desarrolladores
303305* [Referencia de configuración](/es/claude-apps-gateway-config): cada opción de `gateway.yaml`* [Referencia de configuración](/docs/es/claude-apps-gateway-config): cada opción de `gateway.yaml`