Elegir un modo de permisos

Controle si Claude solicita aprobación antes de actuar. Cambie de modo de permisos con Mayús+Tab en la CLI, el indicador de modo en VS Code, o el selector de modo en Desktop.

Un modo de permisos establece qué acciones puede realizar Claude en una sesión sin pedirle permiso primero. En modo Manual, Claude Code se detiene y le solicita aprobación antes de la mayoría de acciones que editan archivos, ejecutan comandos de shell o alcanzan la red. En modo automático, un segundo modelo, el clasificador, revisa acciones en su lugar; cómo el clasificador evalúa acciones enumera qué acciones revisa y cuáles se omiten.

En planes Pro, Max y Team, el modo de permisos inicial integrado es modo automático. Qué modo inicia una sesión cubre las superficies y configuraciones que cambian el modo de permisos inicial. También puede cambiar el modo de permisos de una sesión en ejecución en cualquier momento.

Modos disponibles

Cada modo hace un compromiso diferente entre conveniencia y supervisión. La tabla a continuación muestra qué puede hacer Claude sin un aviso de permiso en cada modo. El modo manual aparece bajo su valor de configuración, default.

El modo que revisa cada acción se llama Manual en la CLI, en claude --help, en las extensiones de VS Code y JetBrains, y en la aplicación de escritorio. Su valor de configuración es default, que es lo que usan los hooks e integraciones de SDK. La CLI acepta manual como un alias dondequiera que escriba el valor, por ejemplo claude --permission-mode manual o "defaultMode": "manual". La etiqueta Manual y el alias manual requieren Claude Code v2.1.200 o posterior. La etiqueta de la aplicación de escritorio no depende de su versión de CLI.

Las escrituras en rutas protegidas nunca se aprueban automáticamente excepto en modo bypassPermissions y en sesiones de modo plan donde los permisos de omisión están disponibles, lo que significa sesiones de terminal interactivas iniciadas de una manera que pone bypassPermissions en el ciclo de modo.

Los modos establecen la línea base. Superponga reglas de permiso encima para preaprobación o bloqueo de herramientas específicas. Las reglas de denegación bloquean en cada modo, incluido bypassPermissions. Las reglas de denegación y pregunta no se aplican a EndConversation siempre que Claude aún tenga al menos otra herramienta que pueda llamar. Las reglas de permiso no tienen efecto en bypassPermissions.

Acciones que ningún modo aprueba automáticamente

Claude Code no aprueba automáticamente lo siguiente en ningún modo, incluido bypassPermissions. Cada viñeta enlaza a la sección que dice qué sucede en su lugar en cada modo:

• Herramientas coincidentes por una regla de pregunta explícita

• Herramientas de conector que su organización estableció en ask, en sesiones donde esa configuración llega a Claude Code

• Herramientas que requieren interacción del usuario: la herramienta integrada AskUserQuestion y herramientas MCP marcadas requiresUserInteraction

• Eliminaciones de rm y rmdir dirigidas a una ruta crítica, que ninguna regla de permiso o hook PreToolUse "allow" aprueba

• Las salvaguardas de mensajería entre sesiones

• Lecturas fuera de los directorios de trabajo mientras permissions.blockReadsOutsideWorkingDirectories está activado: los comandos Bash reconocidos de lectura de archivos generan avisos incluso en modo automático y modo bypassPermissions, y también lo hace cualquier reintento sin sandbox que necesita aprobación para ejecutarse fuera del sandbox. Requiere Claude Code v2.1.257 o posterior.

  Un comando que el analizador de shell no puede rastrear, como uno que cambia de directorio más de una vez o ejecuta un subshell, genera avisos de la misma manera incluso cuando no nombra ninguna ruta externa. Este aviso no se aplica cuando el comando se ejecuta en el sandbox y el sandbox aplica el bloqueo.

Configuraciones comunes

Los modos de permisos deciden si Claude solicita antes de una acción, y el sandbox Bash y los límites de aislamiento externos deciden qué puede alcanzar una acción una vez que se ejecuta. Cada fila a continuación empareja un objetivo con las banderas o configuraciones que lo logran y el aislamiento que necesita, como punto de partida. Modos disponibles enumera qué se ejecuta sin un aviso en cada modo.

El sandbox Bash y el modo automático funcionan independientemente y se combinan, con las excepciones enumeradas en Modos de sandbox. Para la interacción completa, consulte Cómo el sandboxing se relaciona con permisos y modos de permisos y Cómo el aislamiento se relaciona con modos de permisos.

Qué modo inicia una sesión

Cuando inicia una nueva sesión en una terminal, Claude Code toma el modo de permisos del primero de estos que se aplique:

1. La bandera --permission-mode o --dangerously-skip-permissions

2. permissions.defaultMode en un archivo de configuración

   Si establece "auto" en .claude/settings.json o .claude/settings.local.json, el valor no entra en vigor, y Claude Code luego usa el valor predeterminado integrado en lugar de un defaultMode de ~/.claude/settings.json. Si establece "bypassPermissions" en esos dos archivos, tampoco entra en vigor, y la sesión comienza en modo Manual. Los otros valores se aplican desde cualquier archivo de configuración.

3. El valor predeterminado integrado

Las conversaciones que inicia la extensión de VS Code siguen la lista propia de la extensión en Cambiar modos de permisos. Para el modo de permisos en el que Claude Code inicia una sesión reanudada, consulte modo de permisos al reanudar.

El valor predeterminado integrado auto requiere Claude Code v2.1.228 o posterior en macOS, Linux y WSL, y v2.1.233 o posterior en Windows nativo. En versiones anteriores, el valor predeterminado integrado es Manual.

El valor predeterminado integrado depende de cómo ejecute Claude Code, de su plan y de si Claude Code pudo obtener sus banderas de características. La primera fila que coincida con su sesión se aplica. La tabla cubre sesiones que inicia en una terminal o a través de la extensión de VS Code; para la aplicación de escritorio y claude.ai, consulte las pestañas Desktop y Web en Cambiar modos de permisos.

Cuando la obtención de banderas de características está desactivada, o en una primera sesión después de una instalación o actualización donde las banderas aún no han llegado, la extensión de VS Code ignora todos los archivos de configuración al elegir el modo de permisos inicial.

Cuando la bandera, un archivo de configuración o el valor predeterminado integrado selecciona auto pero el modo automático no está disponible para la sesión, Claude Code inicia la sesión en Manual en su lugar. El modo automático no está disponible cuando la sesión no cumple con los requisitos de disponibilidad, como un archivo de configuración desactivándolo o un modelo que no lo admite, o cuando Anthropic lo ha desactivado temporalmente del lado del servidor.

La primera vez que el valor predeterminado integrado inicia una de sus sesiones en modo automático, Claude Code muestra un aviso que enlaza a esta página:

• En una terminal, una vez, en la parte superior de la sesión
• En la extensión de VS Code, como una tarjeta en la pantalla de nueva conversación que permanece hasta que la descarte

En planes Pro, Max y Team, si su ~/.claude/settings.json establece un defaultMode distinto de auto y ningún otro archivo de configuración establece uno, sus sesiones siguen iniciándose en ese modo. Claude Code pregunta una vez, en la terminal o en la extensión de VS Code, si desea cambiar la configuración a modo automático. Si rechaza, su configuración permanece como está.

Comience en un modo de permisos diferente

Puede establecer el modo de permisos inicial para una sesión, o como predeterminado para cada sesión en una máquina, proyecto u organización. Cuando más de un archivo de configuración establece permissions.defaultMode, precedencia de configuración decide, por lo que un valor de proyecto o administrado supera ~/.claude/settings.json. Para cambiar el modo de permisos de una sesión que ya se está ejecutando, consulte Cambiar modos de permisos.

Este ejemplo hace que cada sesión de terminal en su máquina comience en modo Manual, cuyo valor de configuración es default. Guárdelo en ~/.claude/settings.json:

{
  "permissions": {
    "defaultMode": "default"
  }
}

La siguiente sesión que inicia muestra ⏸ manual mode on en la barra de estado.

Cambiar modos de permisos

Cada interfaz tiene su propio control para cambiar modos de permisos durante una sesión y su propia forma de elegir el modo de permisos que inician las nuevas sesiones. Seleccione su interfaz para ver sus controles.

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

Aprobar automáticamente ediciones de archivos con modo acceptEdits

El modo acceptEdits permite que Claude cree y edite archivos en su directorio de trabajo sin solicitar. La barra de estado muestra ⏵⏵ accept edits on mientras este modo está activo.

Además de ediciones de archivos, el modo acceptEdits aprueba automáticamente comandos Bash comunes del sistema de archivos: mkdir, touch, rm, rmdir, mv, cp y sed. Estos comandos también se aprueban automáticamente cuando van precedidos de variables de entorno seguras como LANG=C o NO_COLOR=1, o envoltorios de procesos como timeout, nice o nohup. Al igual que las ediciones de archivos, la aprobación automática se aplica solo a rutas dentro de su directorio de trabajo o additionalDirectories. Las rutas fuera de ese alcance, las escrituras en rutas protegidas, las eliminaciones rm y rmdir dirigidas a una ruta crítica y todos los demás comandos Bash excepto el conjunto integrado de solo lectura aún solicitan.

Cuando la herramienta PowerShell está habilitada, el modo acceptEdits también aprueba automáticamente Set-Content, Add-Content, Clear-Content y Remove-Item en rutas dentro del alcance, junto con sus alias comunes. Se aplican las mismas reglas de alcance y ruta protegida, y Remove-Item obtiene su propia verificación. Un argumento posicional que contiene un carácter de comilla, como el apóstrofo en Set-Content .\notes.txt "It's done", aún solicita incluso en rutas dentro del alcance, porque Claude Code no puede validar estáticamente un argumento cuyas lecturas entrecomilladas y sin entrecomillar difieren. Pase el contenido a través de un parámetro nombrado como -Value para evitar el aviso.

Utilice acceptEdits cuando desee revisar cambios en su editor o mediante git diff después del hecho en lugar de aprobar cada edición en línea.

Presione Shift+Tab una vez desde modo Manual para entrar en él, o comience directamente con él:

claude --permission-mode acceptEdits

Analice antes de editar con modo plan

El modo plan le indica a Claude que investigue y proponga cambios sin realizarlos. Claude lee archivos, ejecuta comandos de shell para explorar y escribe un plan, pero no edita su fuente. Excepto en sesiones con permisos de omisión disponibles, las ediciones permanecen bloqueadas hasta que apruebe el plan.

Cuando modo automático está disponible y la configuración useAutoModeDuringPlan está activada, que lo está de forma predeterminada, el clasificador revisa comandos de shell durante la planificación en lugar de solicitarle. Los comandos aprobados se ejecutan, y los rechazados se bloquean. De lo contrario, los comandos fuera del conjunto integrado de solo lectura solicitan aprobación, incluido cuando el modo de permitir automático del sandbox está habilitado. En sesiones con permisos de omisión disponibles, ni el clasificador ni un aviso se aplican a comandos de planificación; Omitir todas las comprobaciones con modo bypassPermissions cubre las pocas cosas que aún solicitan allí. En v2.1.212 a v2.1.217, las sesiones sin permisos de omisión solicitaban cada comando fuera del conjunto de solo lectura, independientemente de si el modo automático estaba disponible.

Ingrese al modo plan presionando Shift+Tab o prefijando un único aviso con /plan. También puede comenzar en modo plan desde la CLI:

claude --permission-mode plan

Presione Shift+Tab nuevamente para salir del modo plan sin aprobar un plan.

Revise y apruebe un plan

Cuando el plan esté listo, Claude lo presenta y pregunta cómo proceder. Desde ese aviso puede elegir:

• Sí, y usar modo automático: apruebe e inicie en modo automático. Si el modo automático no está disponible para su sesión, por ejemplo porque su organización lo desactivó, esta opción dice Sí, aceptar automáticamente ediciones. Si inició la sesión con permisos de omisión habilitados, la opción dice Sí, y cambiar a OMITIR PERMISOS (sin más avisos) para esta sesión en su lugar.
• Sí, aprobar manualmente ediciones: apruebe y revise cada edición individualmente.
• No, seguir planificando: permanezca en modo plan y dígale a Claude qué cambiar.

Aprobar un plan sale del modo plan y cambia la sesión al modo de permisos que describe cada opción de aprobación, por lo que Claude comienza a editar. Para planificar nuevamente, cicle de vuelta al modo plan con Shift+Tab, o prefije su próximo aviso con /plan.

Presione Ctrl+G para abrir el plan propuesto en su editor de texto predeterminado y edítelo directamente antes de que Claude continúe. Cuando showClearContextOnPlanAccept está habilitado, la lista gana una primera opción que aprueba el plan y borra el contexto de planificación.

Aprobar un plan también da a la sesión un título generado basado en el plan, a menos que ya haya nombrado la sesión.

Establezca el modo plan como predeterminado

Para hacer que el modo plan sea el predeterminado para las sesiones de terminal de un proyecto, establezca defaultMode en plan en .claude/settings.json, colocado como muestra el ejemplo bajo Comience en un modo de permisos diferente. Las conversaciones que inicia la extensión de VS Code no leen configuración de proyecto para el modo de permisos inicial. Allí, establezca claudeCode.initialPermissionMode en plan en su configuración de usuario de VS Code en su lugar.

Eliminar solicitudes de permiso con modo automático

El modo automático permite que Claude se ejecute sin solicitudes de permiso rutinarias. Un modelo clasificador separado revisa las acciones antes de que se ejecuten, bloqueando cualquier cosa que escale más allá de su solicitud, apunte a infraestructura no reconocida o parezca impulsada por contenido hostil que Claude leyó. Las reglas de solicitud explícitas aún fuerzan una solicitud.

En los planes Pro, Max y Team, el modo automático es el modo de permiso de inicio integrado.

El clasificador también revisa cada mensaje que Claude envía a otro agente con SendMessage, ya sea texto sin formato o un mensaje de equipo de agentes estructurado, antes de que Claude Code lo entregue, tanto en modo automático como en modo de plan mientras el clasificador revisa comandos; la revisión de envío requiere Claude Code v2.1.222 o posterior.

El clasificador también revisa y aprueba o bloquea las eliminaciones rm y rmdir dirigidas a una ruta crítica, como rm -rf / y rm -rf ~, incluso cuando la eliminación está dentro de sustitución de comandos o procesos.

El modo automático también anima a Claude a seguir trabajando sin detenerse para hacer preguntas aclaratorias, aunque Claude aún pregunta cuando su solicitud o una skill depende explícitamente de ello. Para un comportamiento más autónomo en un modo que aún le solicita, establezca el estilo de salida proactivo en su lugar.

El modo automático está disponible solo cuando su cuenta cumple con todos estos requisitos:

• Plan: Todos los planes.
• Organización: en Team y Enterprise, el modo automático está disponible de forma predeterminada. Los administradores pueden desactivarlo para la organización estableciendo permissions.disableAutoMode en "disable" en configuración administrada.
• Modelo: en la API de Anthropic y Claude Platform en AWS, Claude Opus 4.6 o posterior, Sonnet 4.6 o posterior, o un modelo Fable. En Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry y sesiones de puerta de enlace de aplicaciones Claude con sesión iniciada, solo Claude Sonnet 5, Opus 4.7 o posterior y los modelos Fable. Los modelos más antiguos, incluidos Sonnet 4.5, Opus 4.5, Haiku y modelos claude-3, no son compatibles en ningún proveedor.
• Proveedor: disponible de forma predeterminada en la API de Anthropic, Claude Platform en AWS, Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry y sesiones de puerta de enlace de aplicaciones Claude con sesión iniciada.

Si Claude Code informa que el modo automático no está disponible, primero verifique estos requisitos y si algún archivo de configuración establece disableAutoMode. Anthropic también puede haber desactivado el modo automático del lado del servidor, o el servidor puede haber rechazado el modo automático para su cuenta. Una sesión que recibió cualquiera de estas respuestas mantiene el modo automático desactivado hasta que finaliza la sesión, así que inicie una nueva sesión más tarde.

Un mensaje separado que nombra un modelo y dice que el modo automático "no puede determinar la seguridad" de una acción significa que una solicitud del clasificador falló. Ese fallo suele ser transitorio, pero en Amazon Bedrock puede repetirse hasta que su cuenta pueda invocar el modelo nombrado. Consulte la referencia de errores para conocer las causas y qué hacer.

Si establece defaultMode: "auto" en configuración y una sesión de terminal comienza en modo Manual sin error, la configuración probablemente esté en .claude/settings.json o .claude/settings.local.json. auto no entra en vigor desde esos archivos. Muévalo a ~/.claude/settings.json. Para una conversación que la extensión VS Code inició, verifique la lista propia de la extensión en Cambiar modos de permiso en su lugar.

Modo automático en Bedrock, Agent Platform o Foundry

En sesiones de Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry y puerta de enlace de aplicaciones Claude con sesión iniciada, el modo automático aparece en el ciclo Shift+Tab de forma predeterminada. Aparecer en el ciclo no cambia el modo de permiso en el que comienza una sesión: en estos proveedores, las sesiones de terminal comienzan en su defaultMode, que es Manual a menos que lo cambie, y las conversaciones en la extensión VS Code comienzan en Manual a menos que claudeCode.initialPermissionMode o un modo que eligió en la extensión establezca uno. Solo Claude Sonnet 5, Opus 4.7 o posterior y los modelos Fable son compatibles en estos proveedores.

Para hacer que el modo automático sea el modo de permiso de inicio predeterminado, establezca "permissions": {"defaultMode": "auto"} en la configuración de usuario o administrada. En sesiones que la extensión VS Code inicia, seleccione Auto del indicador de modo en su lugar. Cambiar modos de permiso cubre qué anula esa selección.

El checkup /doctor propone este valor predeterminado de configuración de usuario en estos proveedores de la misma manera que lo hace en la API de Anthropic.

Para evitar que los desarrolladores usen el modo automático, establezca disableAutoMode en "disable" en configuración administrada. Esto elimina auto del ciclo Shift+Tab, y una sesión iniciada con --permission-mode auto comienza en Manual en su lugar. Una sesión ya en ejecución en modo automático lo abandona cuando la configuración llega a esa sesión desde una fuente implementada por administrador, y muestra auto mode disabled by settings. Antes de v2.1.251, una sesión en ejecución mantenía el modo automático hasta que finalizaba.

En v2.1.158 a v2.1.206, el modo automático estaba desactivado en estos proveedores hasta que establecía CLAUDE_CODE_ENABLE_AUTO_MODE=1, y Claude Code ignoraba defaultMode: "auto" en estos proveedores a menos que la variable también estuviera establecida. La variable aún se acepta por compatibilidad y no tiene efecto desde v2.1.207 en adelante.

Revisión del clasificador del lado del servidor

En modo automático, Claude Code puede solicitar al servidor que revise las acciones que el orden de decisión envía para revisión, como parte de las solicitudes del modelo de la sesión, en lugar de enviar sus propias solicitudes del clasificador. Estas sesiones solicitan:

• Una conexión directa a la API de Anthropic: en una sesión de terminal interactiva, en todos los planes de claude.ai y en cuentas que usan la API de Claude, a medida que Anthropic lo implementa. Requiere Claude Code v2.1.271 o posterior en planes Pro, Max y Team, y v2.1.278 o posterior en planes Enterprise y cuentas de API de Claude. Desde v2.1.282, una sesión que no obtiene banderas de características, por ejemplo porque desactivó la telemetría, solicita al servidor de forma predeterminada en cualquier tipo de sesión.
• Un proveedor de nube, o una puerta de enlace LLM o proxy: en Claude Platform en AWS, Amazon Bedrock, Google Cloud's Agent Platform y Microsoft Foundry, y siempre que apunte ANTHROPIC_BASE_URL a una puerta de enlace LLM o proxy, sea cual sea su plan. Solicitar de forma predeterminada requiere Claude Code v2.1.278 o posterior.
• Una sesión de puerta de enlace de aplicaciones Claude con sesión iniciada: requiere Claude Code v2.1.280 o posterior

Donde el servidor revisa las acciones, sus veredictos las deciden. Otros dos resultados son posibles:

• El servidor no revisa la sesión: una respuesta se completa sin resultados de revisión, o el servidor responde que no revisa esta sesión. Las causas más comunes son una puerta de enlace LLM o proxy que descarta la solicitud de revisión o los resultados, y una plataforma, región o credencial que aún no tiene verificaciones del lado del servidor. Claude Code retrocede a sus propias solicitudes del clasificador. Una vez que ese retroceso se mantiene para el resto de la sesión, muestra un aviso sobre cargos de solicitud del clasificador en cuentas donde esas solicitudes se facturan.
• El servidor no da veredicto para una acción: Claude Code niega la acción en lugar de ejecutarla sin revisar. En cualquier conexión, esto sucede cuando la respuesta termina antes de que lleguen los resultados de revisión o los resultados llegan en una forma que Claude Code no puede leer. Una puerta de enlace LLM o proxy que corta respuestas o reescribe los resultados puede causar cualquiera de los dos. En una conexión directa a la API de Anthropic, también sucede cuando la verificación del servidor falla para la acción, por ejemplo al agotarse el tiempo. El servidor no devolvió veredicto de seguridad cubre el mensaje de denegación, qué sucede cuando las denegaciones se repiten y qué hacer.

Para omitir solicitar al servidor y siempre usar las propias solicitudes del clasificador de Claude Code, establezca CLAUDE_CODE_AUTO_MODE_SERVER=0. En una conexión directa a la API de Anthropic, la variable requiere Claude Code v2.1.281 o posterior. Establecerlo en 1 allí activa la revisión del servidor en una sesión que no la tiene aún, como una sesión -p o Agent SDK, a menos que también haya establecido CLAUDE_CODE_DISABLE_EXPERIMENTAL_BETAS=1. Si establece CLAUDE_CODE_DISABLE_EXPERIMENTAL_BETAS=1 y deja CLAUDE_CODE_AUTO_MODE_SERVER sin establecer, Claude Code también deja de solicitar al servidor.

Qué bloquea el clasificador de forma predeterminada

El clasificador confía en su directorio de trabajo y en los remotos que se configuraron para él cuando comenzó la sesión. Un remoto agregado o reapuntado durante la sesión con git remote add o git remote set-url no es de confianza, y todo lo demás se trata como externo hasta que configure infraestructura de confianza. Antes de v2.1.200, los remotos agregados a mitad de sesión también eran de confianza.

Bloqueado de forma predeterminada:

• Descargar y ejecutar código, como curl | bash
• Enviar datos sensibles a puntos finales externos
• Implementaciones y migraciones de producción
• Eliminación masiva en almacenamiento en la nube
• Otorgamiento de permisos de IAM o repositorio
• Modificación de infraestructura compartida
• Destrucción irreversible de archivos que existían antes de la sesión
• Inserción forzada
• Confirmar o insertar un cambio que enviaría secretos o datos sensibles fuera del repositorio cuando se ejecuta, o ampliar lo que expone una implementación. Esto cubre un flujo de trabajo de CI o configuración de implementación que entrega un secreto a un destino que no lo recibe ya, un script o paso de configuración que lee un almacén de secretos y envía los datos, y un cambio de configuración que amplía lo que publica una implementación, como un registro, visibilidad, artefacto o configuración de sourcemap. La verificación se aplica en cualquier rama, se aplica incluso cuando el repositorio es público y se activa cuando el cambio se confirma o inserta, independientemente de si esa confirmación o inserción desencadena la canalización; limpiarla requiere nombrar el efecto de ejecución, no solo la confirmación o inserción. Antes de v2.1.211, esta verificación se limitaba a la rama predeterminada: una inserción allí se bloqueaba cuando llevaba contenido sensible, cambios ocultos o mal descritos en relación con lo que pidió, contenido portado desde fuera del repositorio o enrutado alrededor de una revisión que pidió
• git reset --hard, git checkout -- ., git restore ., git clean -fd, git stash drop o git stash clear, que el clasificador presume descartaría cambios sin confirmar
• git commit --amend cuando la confirmación en HEAD no fue creada en esta sesión
• Desde v2.1.198, git commit --amend cuando la confirmación en HEAD ya ha sido insertada. Una reescritura solo de mensaje no se bloquea: --amend -m sin nada recién preparado, en una confirmación que Claude creó durante esta sesión
• terraform destroy, pulumi destroy, cdk destroy o terragrunt destroy, e implementar un plan que destruye recursos

Claude Code v2.1.195 y posterior bloquean más categorías de forma predeterminada. Varias dependen de entradas de entorno, como destinos remotos sensibles y alcances de IaC protegidos, que puede reducir a nombres concretos.

• Escritura en un administrador de secretos, o cambio de registros DNS o certificados TLS
• Fusión de una solicitud de extracción que ningún humano ha aprobado, aprobación de la propia solicitud de extracción de Claude o deshabilitación de verificaciones de CI
• Publicación de un comentario que es en sí mismo un comando para automatización, como atlantis apply o /deploy o /merge de un bot
• Alternancia, ramificación o eliminación de una bandera de característica de producción
• Aplicación de cambios de infraestructura a un alcance de IaC protegido, o drenaje y eliminación de nodos de clúster
• Escrituras en un clúster de cómputo compartido que van más allá del recurso que nombró, como un selector de etiqueta o --all que captura trabajos de otros usuarios
• Creación de recursos de Kubernetes que se ejecutan en cada nodo o interceptan tráfico de clúster, como DaemonSets y webhooks de admisión
• Shells interactivos o reenvíos de puertos a un destino remoto sensible
• Apertura de un túnel o shell inverso que hace que un servicio local sea accesible desde Internet público
• Impresión de una credencial o token en vivo en la transcripción o un archivo
• Acceso a una ubicación listada como ubicación de datos sensibles en su entorno, o copia de datos de una. A partir de v2.1.198, esto también bloquea el envío de datos de uno a una audiencia que la entrada excluye
• Enrutamiento de una instalación de paquete alrededor de su registro de paquetes interno a un registro público. A partir de v2.1.198, esto también se aplica cuando le ha dicho a Claude que existe un registro interno o espejo en la conversación, no solo cuando uno está listado en su entorno
• Ejecución de un comando con una bandera que desactiva una protección de seguridad, como --insecure
• Lanzamiento de un bucle de agente autónomo que se ejecuta sin aprobación humana o sandbox, como uno iniciado con --dangerously-skip-permissions o --no-sandbox. A partir de v2.1.198, esto también cubre la ejecución de un agente de terceros o arnés de evaluación con aislamiento y aprobación por acción deshabilitados, como un ejecutor iniciado con --yes-always
• Acciones del navegador Claude en Chrome que podrían enviar contenido de página, cookies o credenciales fuera de origen

Claude Code v2.1.198 y posterior también bloquean estos de forma predeterminada:

• Eliminación de archivos en /tmp, $TMPDIR u otro directorio compartido de scratch o caché por comodín, glob o filtro de edad en lugar de por una ruta nombrada específica
• Inclusión de detalles sensibles en contenido enviado, cargado, publicado o escrito a otras personas o sistemas compartidos, cuando su propio mensaje no autorizó esos detalles para ese destinatario. Los cuerpos de PR y problemas, mensajes de confirmación y comentarios cuentan como este tipo de contenido saliente cuando el repositorio está fuera del límite de confianza o es público, incluidos los repositorios públicos de su propia organización; las rutas de archivo internas, nombres de código, datos de respuesta de API en vivo como correos electrónicos o identificadores de cuenta e identificadores de infraestructura cuentan como detalles sensibles. El alcance de PR, problema y mensaje de confirmación requiere Claude Code v2.1.200 o posterior. Los datos personales en vivo de una respuesta de API en un cuerpo de PR o problema, como una dirección de correo electrónico, un identificador de cuenta u organización o una métrica de uso, requieren que nombre esos detalles y el destinatario independientemente de la visibilidad o límite de confianza del repositorio. Esa verificación requiere Claude Code v2.1.203 o posterior
• Envío de pulsaciones de teclas al propio panel tmux de Claude Code para impulsar su propia interfaz, que el clasificador trata como Claude cambiando sus propios permisos o supervisión

Claude Code v2.1.200 y posterior también bloquean estos de forma predeterminada:

• Comentario, eliminación o paso forzado de una prueba o afirmación que protege el comportamiento de seguridad, como autenticación, control de acceso, validación de entrada o sandboxing
• Eliminación o desmantelamiento de un recurso con estado que Claude no creó en la sesión, cuando no se aplica una regla de eliminación más específica y no nombró ese recurso
• Reapuntamiento de una URL base de API, punto final de proxy, receptor de webhook o espejo de registro a un host de terceros que no se ajusta a la tarea, incluso en archivos de ejemplo como .env.example
• Cambio de dónde van las inserciones con git remote set-url o git remote add, a menos que nombre el nuevo remoto
• Inserción de secretos o datos personales o confiados a un repositorio conocido como público, o inserción de material confidencial allí que no es parte del trabajo propio de ese repositorio. El asunto propio de un repositorio de dotfiles es la única excepción para datos personales o confiados, y el contenido de un repositorio privado que llega a cualquier superficie pública se bloquea de la misma manera; ambos refinamientos requieren Claude Code v2.1.203 o posterior. Antes de v2.1.203, los datos personales se agrupaban con material confidencial y se bloqueaban solo cuando no eran parte del trabajo propio de ese repositorio. Cuando la visibilidad de un repositorio no está establecida, el clasificador no bloquea solo por eso; juzga el contenido contra las otras reglas en su lugar
• Apertura de una solicitud de extracción contra un repositorio u organización diferente, bifurcación con gh repo fork o inserción a un repositorio de terceros, a menos que nombre ese destino externo

Claude Code v2.1.203 y posterior también bloquean estos de forma predeterminada:

• Contenido de un almacén local sensible, o de un archivo cuyo nombre, ruta o tipo lo marca como sensible, entrando en una confirmación, una inserción, texto de PR o problema, una esencia o pegado, o una publicación de paquete, a menos que nombre tanto la fuente como el destino. Las transcripciones de sesión y registros de conversación, carpetas de puntos de credencial y configuración como claves SSH, credenciales en la nube, perfiles de navegador e historial de shell, y exportaciones de datos de usuario cuentan, y el repositorio siendo privado no lo aclara

Claude Code v2.1.205 y posterior también bloquean estos de forma predeterminada:

• Escritura en transcripciones de sesión de Claude Code, los archivos de historial .jsonl bajo ~/.claude/projects/ o su directorio de configuración configurado, ya sea directamente o a través de un comando de shell. La regla también cubre las líneas de metadatos que Claude Code añade a cada entrada de transcripción para sus propias verificaciones. Leer una transcripción no se bloquea
• Una eliminación forzada recursiva como rm -rf "$VAR" o Remove-Item -Recurse -Force $dir cuyo destino es una variable de shell, o un glob enraizado en una, que no está asignado en ningún lugar de la conversación que el clasificador ve. El valor provino solo de la salida de comando anterior, que el clasificador nunca recibe, por lo que el clasificador no puede verificar el destino de eliminación contra las otras reglas de eliminación. El bloqueo se aclara cuando nombra la ruta exacta que se está eliminando, o cuando Claude vuelve a ejecutar la eliminación con la ruta literal resuelta escrita en el comando. Las eliminaciones cuyo destino el clasificador puede resolver no se ven afectadas. Los destinos Remove-Item que son un * desnudo o terminan en /* o \* nunca llegan al clasificador: Claude Code los niega directamente

Claude Code v2.1.257 y posterior también bloquean estos de forma predeterminada:

• Solicitud de credenciales del punto final de metadatos de instancia en la nube, como 169.254.169.254, o autenticación explícita de una llamada de nube, clúster o registro con la identidad de cuenta de servicio o nodo de la máquina
• Alcance de un host público por una ruta que no sea una solicitud directa, como un túnel, un shell inverso, o una configuración de resolutor o proxy reescrita para apuntar fuera
• Lectura de credenciales que pertenecen al host en lugar de a su tarea, como certificados de nodo o la autenticación de registro de contenedor del nodo
• Conexión a o escaneo de contenedores, pods o máquinas virtuales hermanas que Claude no inició, o el nodo debajo del contenedor

Si Claude Code se ejecuta en algún lugar que se supone que permite uno de estos, describa esa configuración en una entrada Host containment en autoMode.environment.

Claude Code v2.1.261 y posterior también bloquean estos de forma predeterminada:

• Publicación o escritura de un enlace a un servicio público de pegado, diagrama o intercambio de datos en un mensaje, texto de PR o problema, un documento, o en cualquier otro lugar donde se abrirá o recuperará el enlace, cuando la URL misma lleva el contenido que se comparte, a menos que nombre ese servicio

Permitido de forma predeterminada:

• Operaciones de archivo local en su directorio de trabajo
• Instalación de dependencias declaradas en sus archivos de bloqueo o manifiestos
• Lectura de .env y envío de credenciales a su API coincidente
• Solicitudes HTTP de solo lectura
• Inserción a cualquier rama del repositorio en el que está trabajando, incluida la rama predeterminada. Una rama no predeterminada cuyo nombre la marca como destino de implementación o publicación, como production o gh-pages, no está cubierta: el clasificador juzga una inserción allí en sus propios términos. El contenido de la inserción aún se verifica contra las otras reglas, las reglas permissions.deny aún pueden bloquear comandos de inserción tal como están escritos en todos los modos, y la protección de rama propia del remoto aún se aplica. Antes de v2.1.211, solo las inserciones a la rama en la que comenzó, ramas que Claude creó e inserciones rutinarias a la rama predeterminada se permitían de forma predeterminada, y antes de v2.1.203 cualquier inserción directa a la rama predeterminada se bloqueaba

Claude Code v2.1.195 y posterior también permiten estos de forma predeterminada:

• Eliminación de los trabajos exactos que Claude creó anteriormente en la misma sesión
• Lectura, revisión o escritura de código, configuraciones y modelos de amenaza relacionados con seguridad como parte de su tarea
• Mensajes entre agentes que trabajan juntos en la misma sesión multiagente
• Envío de datos a los dominios, cubos y servicios de confianza que lista en environment. Esto cubre solo el flujo de datos, no operaciones destructivas o de credencial en la misma infraestructura
• Claude en Chrome navegación a un dominio interno de confianza, localhost o una URL que nombró

Los comandos en sandbox no obtienen acceso a la red de forma predeterminada. Claude nombra los hosts que un comando necesita en el comando mismo, el clasificador los revisa con el comando, y una lista aprobada abre esos hosts solo para ese comando. Dominios permitidos por comando cubre qué puede y qué no puede abrir una lista y qué sucede cuando un comando llega a un host no listado.

Ejecute claude auto-mode defaults para imprimir las listas de reglas completas como JSON. Si las acciones rutinarias se bloquean, un administrador puede agregar repositorios, cubos y servicios de confianza a través de la configuración autoMode.environment: consulte Configurar modo automático.

La inserción a cualquier rama del repositorio en el que está trabajando y la creación de una solicitud de extracción que coincida con su solicitud se ejecutan sin solicitud, a menos que la inserción o solicitud de extracción caiga bajo la lista bloqueada, como secretos o datos sensibles que salen del repositorio, o una solicitud de extracción que apunta a un repositorio u organización diferente. Para requerir un punto de control humano antes de estos comandos mientras permanece en modo automático, agregue reglas permissions.ask, que coinciden con el comando tal como está escrito: consulte Límites comunes.

La primera lectura fuera de los directorios de trabajo

Mientras permissions.blockReadsOutsideWorkingDirectories está desactivado, las lecturas de archivo se ejecutan sin solicitud en modo automático, incluidas las lecturas fuera de los directorios de trabajo. La primera vez que Claude usa la herramienta Read, Grep o Glob en una ruta fuera de ellos, Claude Code le pregunta si desea seguir permitiendo esas lecturas.

La solicitud no aparece en ejecuciones -p no interactivas o sesiones en segundo plano; las lecturas allí se ejecutan como antes.

Sea cual sea su respuesta, Claude sigue trabajando:

• Seguir permitiendo: la lectura se ejecuta, las lecturas posteriores fuera de los directorios de trabajo se ejecutan como antes, y Claude Code registra su respuesta para que la solicitud no aparezca nuevamente
• Bloquear de ahora en adelante: la lectura se rechaza, y Claude Code establece permissions.blockReadsOutsideWorkingDirectories en true en su configuración de usuario, lo que hace que las herramientas de archivo rechacen tales lecturas en cada sesión posterior y cada modo de permiso. Para permitir que Claude lea tal ruta más tarde, agregue su directorio con /add-dir o elimine la configuración.
• Preguntar nuevamente la próxima vez: la lectura se rechaza, y la próxima lectura fuera de los directorios de trabajo solicita nuevamente

Límites que establece en la conversación

El clasificador trata los límites que establece en la conversación como una señal de bloqueo. Si le dice a Claude "no insertes" o "espera hasta que revise antes de implementar", el clasificador bloquea acciones coincidentes incluso cuando las reglas predeterminadas las permitirían. Un límite permanece en vigor hasta que lo levanta en un mensaje posterior. El propio juicio de Claude de que se cumplió una condición no lo levanta.

Los límites no se almacenan como reglas. El clasificador los vuelve a leer de la transcripción en cada verificación, por lo que un límite puede perderse si compactación de contexto elimina el mensaje que lo estableció. Para una garantía dura, agregue una regla de denegación en su lugar.

Aprobaciones que establece en la conversación

Si le dice a Claude que una acción bloqueada está permitida, el clasificador lee eso como su aprobación y puede despejar el bloqueo. La forma en que lo expresó decide si la acción se ejecuta y qué tan lejos llega la aprobación:

• Nombre la acción y sus especificidades: su mensaje tiene que nombrar la acción y la cosa específica que la hace peligrosa, como la rama de una inserción forzada. Nombrar solo el verbo no aclara nada, así que "puede hacer una inserción forzada" deja el bloqueo en su lugar.
• Espere que cubra una acción: una aprobación cubre la acción destructiva que nombró, así que una acción posterior se bloquea nuevamente a menos que haya otorgado la aprobación como permanente. Para dejar de aprobar un patrón rutinario una acción a la vez, agréguelo a autoMode.allow.
• Algunos bloqueos permanecen en su lugar: el orden de precedencia del clasificador establece qué bloqueos puede alcanzar su aprobación. Para ejecutar un paso que no despejará, salga del modo automático y responda la solicitud de permiso.

Cuando el modo automático retrocede

Cuando el modo automático no puede aprobar las acciones de su sesión, lo que sucede depende del caso:

• Una acción bloqueada: Claude Code muestra una notificación y enumera la acción en /permissions bajo la pestaña Recently denied, donde puede presionar r para reintentar con una aprobación manual. Cuando el clasificador produce sin veredicto en la acción, porque una verificación de seguridad separada del modo automático rechazó la solicitud propia del clasificador o su respuesta no se analizó, Claude Code niega la acción sin la notificación o la entrada Recently denied.
• Bloqueos repetidos: si el clasificador bloquea una acción 3 veces seguidas o 20 veces en total, el modo automático se pausa y Claude Code reanuda la solicitud. Aprobar la acción solicitada reanuda el modo automático. Estos umbrales no son configurables. Cualquier acción permitida reinicia el contador consecutivo, mientras que el contador total persiste para la sesión y se reinicia solo cuando su propio límite desencadena un retroceso. Claude Code no cuenta una denegación hacia ninguno de los umbrales cuando una verificación de seguridad separada del modo automático rechaza la solicitud propia del clasificador; la entrada vinculada cubre cómo Claude Code maneja esas denegaciones.
• Sesiones que no pueden solicitar: una ejecución -p no interactiva sin un --permission-prompt-tool no tiene solicitud a la que retroceder. Cuando los bloqueos repetidos alcanzan un umbral, la acción no se ejecuta y Claude sigue trabajando. Lo mismo se aplica cuando una verificación de seguridad separada del modo automático rechaza la solicitud del clasificador. Claude Code no detiene la ejecución en ninguno de los casos.
• No hay veredicto del servidor: bajo revisión del clasificador del lado del servidor, Claude Code niega una acción para la que el servidor no da veredicto, y detiene el turno después de diez respuestas seguidas sin veredicto. Consulte El servidor no devolvió veredicto de seguridad.
• Un cambio de modo durante una verificación: si cambia modos de permiso mientras una verificación del clasificador está pendiente, Claude Code descarta un veredicto que el nuevo modo no habría solicitado en lugar de aplicarlo: se le solicita aprobación en su lugar, o la acción se niega automáticamente en modo dontAsk.

Los bloqueos repetidos generalmente significan que el clasificador carece de contexto sobre su infraestructura. Use /feedback para reportar falsos positivos, o haga que un administrador configure infraestructura de confianza.

1. Las acciones que coinciden con sus [reglas de permitir, solicitar o denegar](/docs/es/permissions#manage-permissions) se resuelven inmediatamente, con estas excepciones:
   * Escrituras en [rutas protegidas](#protected-paths) se enrutan al clasificador incluso cuando una regla de permitir coincide, y también lo hacen las eliminaciones `rm` y `rmdir` dirigidas a una [ruta crítica](#critical-paths) en Claude Code v2.1.218 y posterior
   * Las herramientas MCP marcadas [`requiresUserInteraction`](/docs/es/mcp#require-approval-for-a-specific-tool) le solicitan directamente incluso cuando una regla de permitir coincide, y también lo hacen las herramientas de conector [que su organización estableció en `ask`](/docs/es/mcp#organization-controls-on-connector-tools) en sesiones donde esa configuración llega a Claude Code
   * Un comando de shell que lleva [dominios permitidos por comando](/docs/es/sandboxing#per-command-allowed-domains-in-auto-mode) también se enruta al clasificador incluso cuando una regla de permitir coincide, porque una regla aprueba el comando, no sus hosts
   * Las reglas de solicitud que coinciden en el contenido de un comando, como `Bash(git push *)`, retroceden a una solicitud de permiso
2. Las acciones de solo lectura y ediciones de archivo en su directorio de trabajo se aprueban automáticamente, excepto escrituras en [rutas protegidas](#protected-paths) y [la primera lectura fuera de los directorios de trabajo](#first-read-outside-the-working-directories), que le solicita
   * En una sesión con [revisión del clasificador del lado del servidor](#server-side-classifier-review), las acciones de solo lectura y comandos de shell [en sandbox](/docs/es/sandboxing#sandbox-modes) esperan esa revisión y se bloquean si la marcan
3. Todo lo demás va al clasificador. Las herramientas de conector y herramientas MCP `requiresUserInteraction` que le solicitan directamente en el paso 1 nunca llegan al clasificador, por lo que ni una aprobación requerida por la organización ni un paso de consentimiento se aprueban automáticamente
4. Si el clasificador bloquea, Claude recibe la razón e intenta una alternativa. En la mayoría de las sesiones la razón nombra la regla con la que coincidió el clasificador, como `[Data Exfiltration]`, en lugar de dar una explicación escrita; consulte [Revisar denegaciones](/docs/es/auto-mode-config#review-denials)

Al entrar en modo automático, se descartan las reglas de permitir amplias que otorgan ejecución de código arbitraria:

* `Bash(*)` o `PowerShell(*)` sin restricciones
* Intérpretes con comodín como `Bash(python*)`
* Comandos de ejecución del administrador de paquetes
* Reglas de permitir `Agent`
* Reglas de permitir [`Monitor`](/docs/es/tools-reference#monitor-tool), porque Claude Code ejecuta comandos Monitor a través del shell

Las reglas estrechas como `Bash(npm test)` permanecen en vigor. Claude Code restaura las reglas descartadas cuando sale del modo automático. Antes de v2.1.236, Claude Code dejaba las reglas de permitir `Monitor` en vigor en modo automático, por lo que una regla que coincidía con la herramienta completa aprobaba comandos Monitor sin revisión del clasificador.

Claude Code también ejecuta `git status` a sí mismo antes de un comando que descartaría trabajo sin confirmar, como `git reset --hard` o `rm -rf`, y muestra al clasificador si hay trabajo preparado, modificado o sin seguimiento presente. Claude Code reporta archivos sin seguimiento en esa verificación incluso cuando la configuración de git del repositorio establece `status.showUntrackedFiles=no`.

En las solicitudes del clasificador enviadas por Claude Code mismo, el clasificador ve mensajes de usuario, llamadas de herramienta que no sean búsquedas de solo lectura como lecturas de archivo y búsquedas, y su contenido CLAUDE.md. Los resultados de herramientas se eliminan, por lo que el contenido hostil en un archivo o página web no puede manipularlo directamente. Puede anotar el resultado de una llamada con el campo `classifierContext` del hook [PostToolUse](/docs/es/hooks#annotate-a-result-for-the-auto-mode-classifier), que el clasificador lee como contexto proporcionado por la aplicación. El campo requiere Claude Code v2.1.236 o posterior.

Una sonda separada del lado del servidor escanea los resultados de herramientas entrantes y marca contenido sospechoso antes de que Claude lo lea. Para más información sobre cómo funcionan juntas estas capas, consulte el [anuncio de modo automático](https://claude.com/blog/auto-mode) y la [inmersión profunda de ingeniería](https://www.anthropic.com/engineering/claude-code-auto-mode).

claude --permission-mode dontAsk

claude --permission-mode bypassPermissions

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons