SpyBara
Go Premium

authentication.md 2026-10-22 22:58 UTC to 2026-10-23 22:59 UTC

This page contains 57 additions and 57 deletions.

2026
Thu 1 23:59 Wed 7 23:59 Thu 8 22:58 Sat 10 23:01 Sun 11 23:57 Tue 20 23:00 Thu 22 22:58 Fri 23 22:59 Wed 28 23:57 Fri 30 23:01

Autenticación

Inicie sesión en Claude Code y configure la autenticación para individuos, equipos y organizaciones.

Claude Code admite múltiples métodos de autenticación según su configuración. Los usuarios individuales pueden iniciar sesión con una cuenta de Claude.ai, mientras que los equipos pueden usar Claude for Teams o Enterprise, la Claude Console, o un proveedor de nube como Amazon Bedrock, Google Cloud's Agent Platform o Microsoft Foundry.

Inicie sesión en Claude Code

Después de instalar Claude Code, ejecuta claude en tu terminal. En el primer lanzamiento, Claude Code abre una ventana del navegador para que inicies sesión, excepto en casos como estos, en los que puede omitir el prompt de inicio de sesión:

  • Clave de API: estableciste la variable de entorno ANTHROPIC_API_KEY y apruebas la clave cuando Claude Code te pregunta si quieres usarla
  • Inicio de sesión anterior: ejecutaste claude auth login en tu shell antes de tu primera sesión, o reconstruiste un dev container que guarda tus credenciales en un volumen. Si de todos modos ves el prompt de inicio de sesión, revisa qué puede causarlo.

Si el navegador no se abre automáticamente, presione c para copiar la URL de inicio de sesión al portapapeles y luego péguelo en su navegador.

Si su navegador muestra un código de inicio de sesión en lugar de redirigirse después de que inicie sesión, péguelo en el terminal en el símbolo del sistema Paste code here if prompted. Esto sucede cuando el navegador no puede alcanzar el servidor de devolución de llamada local de Claude Code, lo cual es común en WSL2, sesiones SSH y contenedores.

Cuando el inicio de sesión se completa, el terminal muestra Login successful y le solicita que presione Enter para continuar.

Puede autenticarse con cualquiera de estos tipos de cuenta:

  • Suscripción Claude Pro o Max: inicie sesión con su cuenta de claude.ai. Suscríbase en claude.com/pricing.
  • Claude for Teams o Enterprise: inicie sesión con la cuenta de claude.ai que su administrador de equipo le invitó a usar.
  • Claude Console: inicie sesión con sus credenciales de Console. Su administrador debe haberle invitado primero. Puede iniciar sesión con o sin crear una clave de API.
  • Proveedores de nube: si su organización usa Amazon Bedrock, Google Cloud's Agent Platform o Microsoft Foundry, establezca las variables de entorno requeridas antes de ejecutar claude, o seleccione plataforma de terceros en el símbolo del sistema de inicio de sesión, que inicia un asistente de configuración interactivo para Bedrock y Vertex AI. No se necesita inicio de sesión en el navegador.
  • Puerta de enlace en la nube: si su organización ejecuta una puerta de enlace de aplicaciones Claude autohospedada, inicie sesión con SSO corporativo a través de /login. El token emitido por la puerta de enlace es la única credencial de la sesión.

Los administradores pueden dirigir qué método de inicio de sesión utilizan los desarrolladores y requerir que los inicios de sesión de claude.ai pertenezcan a una organización específica; consulte Restringir el inicio de sesión a su organización.

Para cerrar sesión y volver a autenticarse, escriba /logout en el símbolo del sistema de Claude Code. Cerrar sesión también restablece su estado de configuración de primer lanzamiento, por lo que la próxima vez que ejecute claude le guiará a través del inicio de sesión y la configuración nuevamente.

Si tiene problemas para iniciar sesión, consulte solución de problemas de autenticación.

El prompt de inicio de sesión sigue apareciendo después de un inicio de sesión anterior

Si iniciaste sesión antes y la configuración de primer lanzamiento muestra el prompt de inicio de sesión en lugar de omitirlo, revisa causas como estas:

  • Inicio de sesión vencido: tu inicio de sesión anterior venció y Claude Code no puede renovarlo. Vuelve a iniciar sesión en el prompt.
  • Inicio de sesión restringido a una organización: un administrador estableció forceLoginOrgUUID en la configuración administrada para exigir inicios de sesión de organizaciones específicas. El prompt aparece tanto si tu cuenta pertenece a una de ellas como si no. Inicia sesión con una cuenta de una organización requerida. Si no tienes una, pídele a tu administrador que te agregue.
  • Método de inicio de sesión requerido: tu inicio de sesión no es del tipo que exige forceLoginMethod en un archivo de configuración. Con "claudeai", una clave de API de un inicio de sesión anterior en Claude Console no cuenta como inicio de sesión existente. Con "console", una cuenta de claude.ai no cuenta. Inicia sesión con el tipo de cuenta que indica ese ajuste.
  • Versión anterior: antes de la v2.1.290, el prompt aparecía durante la configuración hubieras iniciado sesión o no. Actualiza Claude Code para omitirlo.

Inicie sesión con varias cuentas

Para mantenerse conectado a varias cuentas a la vez, como cuentas de trabajo y personales, asigne a cada cuenta su propio directorio de configuración. Cuando inicie claude, establezca la variable de entorno CLAUDE_CONFIG_DIR en el directorio de la cuenta que desea usar. Cada directorio tiene su propia configuración, historial de sesiones y inicio de sesión de claude.ai o clave de API. Por ejemplo, en Bash o Zsh, agregue este alias a ~/.bashrc o ~/.zshrc para que claude-work use su cuenta de trabajo mientras que claude mantiene la suya personal:

alias claude-work='CLAUDE_CONFIG_DIR=~/.claude-work claude'

Después de abrir una nueva terminal y ejecutar claude-work por primera vez, Claude Code le guiará a través del inicio de sesión y la configuración para el nuevo directorio. Los directorios separados no mantienen dos inicios de sesión de Claude Console sin una clave de API separados, porque Claude Code almacena ese tipo de inicio de sesión fuera del directorio de configuración.

Configurar la autenticación del equipo

Para equipos y organizaciones, puede configurar el acceso a Claude Code de una de estas formas:

Claude for Teams o Enterprise

Claude for Teams y Claude for Enterprise proporcionan la mejor experiencia para organizaciones que usan Claude Code. Los miembros del equipo obtienen acceso tanto a Claude Code como a Claude en la web con facturación centralizada y gestión de equipos.

  • Claude for Teams: plan de autoservicio con características de colaboración, herramientas de administración, SSO, gestión de facturación y configuración administrada por servidor para configuración de Claude Code en toda la organización. Mejor para equipos más pequeños.
  • Claude for Enterprise: añade captura de dominio, permisos basados en roles y API de cumplimiento. Mejor para organizaciones más grandes con requisitos de seguridad y cumplimiento.

1. Suscribirse

Suscríbase a Claude for Teams o póngase en contacto con ventas para Claude for Enterprise.

2. Invitar a miembros del equipo

Invite a miembros del equipo desde el panel de administración.

3. Instalar e iniciar sesión

Los miembros del equipo instalan Claude Code e inician sesión con sus cuentas de Claude.ai.

Autenticación de Claude Console

Para organizaciones que prefieren facturación basada en API, puede configurar el acceso a través de Claude Console.

1. Crear o usar una cuenta de Console

Usa tu cuenta de Claude Console existente o crea una nueva.

2. Agregar usuarios

Puedes agregar usuarios mediante cualquiera de estos métodos:

3. Asignar roles

Al invitar usuarios, asigna uno de estos:

  • Rol Claude Code: los usuarios solo pueden crear claves de API de Claude Code
  • Rol Developer: los usuarios pueden crear cualquier tipo de clave de API

4. Los usuarios completan la configuración

Cada usuario invitado necesita:

Iniciar sesión sin una clave API

Puede iniciar sesión en su cuenta de Console sin crear una clave API, incluso cuando su organización no permite que los desarrolladores las creen. Elija la cuenta de Anthropic Console en el indicador /login y Claude Code le pregunta cómo desea iniciar sesión. Requiere Claude Code v2.1.242 o posterior. Ambas rutas lo inician sesión en Console en el navegador y difieren en lo que Claude Code almacena después:

  • Iniciar sesión con tu cuenta de Console, etiquetada como (recommended): Claude Code conserva el token OAuth de ese inicio de sesión y lo almacena como un perfil de Anthropic. No crea ninguna clave de API
  • Crear una clave de API, etiquetada como (legacy): Claude Code crea una clave de API de Console por ti y la almacena con tus otras credenciales

En la práctica, el perfil almacena un inicio de sesión OAuth mientras que una clave de API es una credencial estática. Claude Code actualiza automáticamente el inicio de sesión del perfil, y cuando la actualización falla, las solicitudes fallan con un error de inicio de sesión de perfil expirado hasta que vuelvas a iniciar sesión.

No obtiene la opción en cada máquina. Claude Code crea una clave API sin preguntar en estos casos:

Desestablezca ANTHROPIC_API_KEY antes de iniciar sesión sin una clave.

Después de iniciar sesión sin una clave, tiene un perfil en lugar de una clave API almacenada:

  • Qué perfil escribe: Claude Code escribe el perfil nombrado por ANTHROPIC_PROFILE, o su perfil activo, o default. Si ese perfil es un perfil de federación, Claude Code rechaza el inicio de sesión en lugar de sobrescribirlo
  • De qué cierra sesión: Claude Code cierra sesión de cualquier inicio de sesión de claude.ai almacenado en la máquina
  • Cómo deshacerlo: ejecute /logout, que elimina y revoca la credencial que escribió este inicio de sesión

Todo lo demás sobre perfiles se aplica a este inicio de sesión, incluido dónde se clasifica contra sus otras credenciales, la fila Profile que obtiene en /status y las características que necesitan un inicio de sesión de claude.ai. Consulte Perfiles de Anthropic y credenciales de federación.

Autenticación del proveedor de nube

Para equipos que usan Amazon Bedrock, Plataforma de agentes de Google Cloud o Microsoft Foundry:

1. Seguir la configuración del proveedor

Siga la documentación de Amazon Bedrock, documentación de Plataforma de agentes de Google Cloud o documentación de Microsoft Foundry.

2. Distribuir configuración

Distribuya las variables de entorno e instrucciones para generar credenciales de nube a sus usuarios. Lea más sobre cómo administrar la configuración aquí.

3. Instalar Claude Code

Los usuarios pueden instalar Claude Code.

Restringir el inicio de sesión a su organización

Para requerir que los inicios de sesión de claude.ai de los desarrolladores pertenezcan a una organización específica de Anthropic, establezca forceLoginMethod y forceLoginOrgUUID en configuración administrada. Establezca forceLoginOrgUUID en su ID de organización, que se muestra en configuración de administrador de claude.ai para organizaciones de Claude for Teams o Enterprise. Claude Code reporta un error para un inicio de sesión de claude.ai en cualquier otra organización y sale al inicio si la credencial de claude.ai en uso pertenece a una organización que no está en la lista.

Para inicios de sesión de Claude Console, Claude Code usa forceLoginOrgUUID para preseleccionar la organización en la página de inicio de sesión de Console cuando lo establece en un único ID de organización de Console, que se muestra en platform.claude.com/settings/organization. No verifica a qué organización pertenece la credencial de Console resultante, en el inicio de sesión o al inicio. Un desarrollador que inició sesión con una cuenta de Console antes de que implementara las claves permanece conectado, y esa clave guardada se bloquea en una máquina que también requiere el inicio de sesión de puerta de enlace o en una sesión que selecciona un proveedor de nube.

Si establece forceLoginOrgUUID en cualquier archivo de configuración, Claude Code deja de ofrecer el inicio de sesión de Console sin claves en las sesiones a las que se aplica ese archivo y crea una clave API en su lugar. Para dirigir a los desarrolladores al inicio de sesión de claude.ai en su lugar, establezca forceLoginMethod en "claudeai".

En Claude Code v2.1.212 o posterior, cada ruta de inicio de sesión listada aquí aplica forceLoginMethod. En la pantalla de inicio de sesión interactivo del terminal, a la que se accede mediante /login u onboarding de primera ejecución, Claude Code preselecciona un método claudeai o console sin aplicarlo, por lo que incluso con forceLoginMethod establecido en "claudeai", un desarrollador aún puede completar un inicio de sesión de Console allí.

Las rutas difieren en forceLoginOrgUUID:

  • Terminal, extensión de VS Code e inicios de sesión de Agent SDK: verifican forceLoginOrgUUID para inicios de sesión de cuenta de claude.ai
  • claude setup-token e /install-github-app: aplican solo forceLoginMethod, por lo que pueden acuñar un token en una organización diferente
  • Inicio de sesión de puerta de enlace: seleccionado por forceLoginMethod: "gateway" en lugar de restringido por él, y no se autentica contra una organización de Anthropic, por lo que forceLoginOrgUUID no se aplica; use su proveedor de identidad de puerta de enlace para restringir el acceso

Implemente las claves a través de su herramienta de administración de dispositivos. La configuración administrada por servidor solo llega a cuentas que ya están autenticadas en su organización, por lo que no pueden redirigir el primer inicio de sesión de un desarrollador. Si su organización también distribuye configuración administrada por servidor, establezca las claves en ambos lugares: las fuentes de configuración administrada no se fusionan, y la configuración administrada por servidor en caché reemplaza el archivo administrado por dispositivo, aparte de algunos excepciones por clave. forceLoginOrgUUID y los valores "claudeai" y "console" de forceLoginMethod no están entre esas excepciones, así que manténgalos en ambos lugares.

En un despliegue de puerta de enlace, también mantenga forceLoginMethod y forceLoginOrgUUID fuera de la configuración que sirve la puerta de enlace.

Las claves también deciden si una sesión que no usa una credencial de inicio de sesión puede iniciarse. Consulte forceLoginOrgUUID en la referencia de configuración para el comportamiento completo.

  • ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN o apiKeyHelper: bloqueados al inicio. Bajo forceLoginOrgUUID, la pertenencia a la organización no se puede verificar para una credencial de entorno, y bajo forceLoginMethod la credencial se interpone en el lugar del inicio de sesión requerido. Cuando la configuración administrada también requiere el inicio de sesión de puerta de enlace, Claude Code bloquea una clave API guardada por un inicio de sesión anterior de Claude Console de la misma manera. Consulte La política del administrador requiere un inicio de sesión de puerta de enlace en la nube
  • Sesiones de proveedor de nube como Amazon Bedrock: bloqueadas solo mientras una credencial ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN o apiKeyHelper, o una clave API guardada por un inicio de sesión anterior de Claude Console, aún esté presente en la máquina. Elimínela y la sesión se inicia. Estas sesiones se autentican contra su proveedor de nube, cuyas políticas de acceso las rigen
  • Perfil de Anthropic o credenciales de federación: no bloqueadas a menos que una credencial ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN o apiKeyHelper, o una clave API guardada por un inicio de sesión anterior de Claude Console, también esté presente en la máquina. Las claves no verifican a qué organización pertenece el perfil

Restringir qué proveedores de API puede usar una máquina

allowedProviders en configuración administrada enumera qué servicios puede usar una máquina administrada para acceder a Claude, como la API de Anthropic, Amazon Bedrock o una puerta de enlace LLM. Complementa forceLoginMethod y forceLoginOrgUUID, que rigen qué cuenta usa una sesión cuando se comunica con Anthropic. Requiere Claude Code v2.1.285 o posterior.

{
  "forceLoginMethod": "claudeai",
  "forceLoginOrgUUID": ["xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"],
  "allowedProviders": ["anthropic", "bedrock"]
}

Con este archivo, un desarrollador que inició sesión en su organización de claude.ai o configurado para Amazon Bedrock se inicia normalmente. Una sesión configurada para cualquier otro proveedor se rechaza al inicio, y una sesión en ejecución que cambia a uno se rechaza en su próxima solicitud. La configuración administrada no permite este proveedor de API muestra cada mensaje.

  • Permitir una puerta de enlace LLM o proxy: enumere "customEndpoint" y establezca la URL de la puerta de enlace en el bloque env administrado de la misma fuente. La referencia de configuración enumera cada valor y dice qué variables de punto final necesitan un pin env administrado.
  • Implementar en máquinas administradas: coloque la lista en la fuente administrada que lleva el resto de su política. La nota Scope de la entrada dice cómo se combina una lista administrada por servidor con ella.
  • Solo configuración administrada por servidor: una lista que establece solo en configuración administrada por servidor llega solo a sesiones que obtienen la configuración de su organización, así que trátela como una conveniencia para máquinas que no puede alcanzar con administración de dispositivos, no como aplicación. Disponibilidad de plataforma enumera qué sesiones las obtienen.

Gestión de credenciales

Claude Code administra de forma segura sus credenciales de autenticación:

  • Ubicación de almacenamiento:
    • En macOS, las credenciales se almacenan en el Keychain de macOS cifrado. Cuando el Keychain rechaza la escritura, como cuando está bloqueado en una sesión SSH, Claude Code almacena su inicio de sesión en ~/.claude/.credentials.json con modo de archivo 0600 en su lugar, el mismo almacenamiento que utiliza en Linux. Un inicio de sesión de Console que crea una clave API falla hasta que el Keychain sea escribible. Para mover su inicio de sesión de vuelta al Keychain, siga los pasos de recuperación.
    • En Linux, las credenciales se almacenan en ~/.claude/.credentials.json con modo de archivo 0600.
    • En Windows, las credenciales se almacenan en %USERPROFILE%\.claude\.credentials.json y heredan los controles de acceso del directorio de su perfil de usuario, lo que restringe el archivo a su cuenta de usuario de forma predeterminada.
    • Si ha establecido la variable de entorno CLAUDE_CONFIG_DIR, Claude Code mantiene el archivo .credentials.json bajo ese directorio en su lugar, incluido el archivo que escribe la alternativa de macOS, y también asigna la entrada del Keychain de macOS a ese directorio, por lo que una sesión con un CLAUDE_CONFIG_DIR diferente lee una entrada diferente.
    • Claude Code administra .credentials.json a través de /login y /logout. Para enrutar solicitudes a través de un punto final de API personalizado, establezca la variable de entorno ANTHROPIC_BASE_URL en su lugar.
  • Tipos de autenticación admitidos: credenciales de claude.ai, credenciales de API de Claude, Microsoft Foundry Auth, Bedrock Auth, Vertex Auth, credenciales de perfil de Anthropic y Workload Identity Federation, y tokens de sesión de puerta de enlace de aplicaciones Claude.
  • Scripts de credenciales personalizados: configure la configuración apiKeyHelper para ejecutar un script de shell que devuelva una clave API.
  • Intervalos de actualización: consulte apiKeyHelper para los casos en los que Claude Code vuelve a ejecutar el helper.
  • Aviso de helper lento: si apiKeyHelper tarda más de 10 segundos en devolver una clave, Claude Code muestra un aviso de advertencia en la barra de símbolo del sistema mostrando el tiempo transcurrido. Si ve este aviso regularmente, verifique si su script de credenciales se puede optimizar.
  • Fallos del helper: cuando el script sale con un error, agota el tiempo de espera o no imprime nada, las solicitudes fallan con Your apiKeyHelper script is failing dentro de tres intentos.

apiKeyHelper, ANTHROPIC_API_KEY y ANTHROPIC_AUTH_TOKEN se aplican a la CLI y a las superficies que la envuelven, incluida la extensión de VS Code, el Agent SDK y GitHub Actions. Claude Desktop y las sesiones en la nube no llaman a apiKeyHelper ni leen estas variables de entorno: utilizan OAuth, excepto las sesiones de escritorio que ejecutan una configuración de inferencia de terceros, que se autentican con la credencial de esa configuración.

Renovar un inicio de sesión que está por expirar

Cuando el inicio de sesión que creó con /login está a menos de tres días de expirar, Claude Code muestra una advertencia al inicio: Your login expires in 3 days · run /login to renew.

Ejecute /login para renovar. La advertencia es informativa y nunca bloquea una solicitud: la autenticación sigue funcionando hasta que el inicio de sesión realmente expire.

Una vez que el inicio de sesión almacenado expira y no se puede actualizar, cada solicitud de modelo falla con Login expired · Please run /login hasta que inicie sesión nuevamente.

Puede verificar este estado antes de que una solicitud falle: /status muestra una fila Login que dice Expired — log in again, más la organización y el correo electrónico que tiene guardados para el inicio de sesión expirado. La fila aparece solo cuando el inicio de sesión de claude.ai guardado es la credencial activa. La fila requiere Claude Code v2.1.210 o posterior.

La advertencia aparece solo cuando un inicio de sesión de claude.ai es la credencial activa, y no cuando un proveedor de nube, ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN o apiKeyHelper proporciona la credencial.

Renovar anticipadamente es más importante para sesiones que se ejecutan sin supervisión. Una sesión en segundo plano en vista de agente o una sesión de Remote Control que sobrevive al inicio de sesión deja de hacer progreso una vez que la credencial expira y no puede recuperarse hasta que inicie sesión nuevamente.

Precedencia de autenticación

Cuando hay múltiples credenciales presentes, Claude Code elige una en este orden:

  1. Credenciales del proveedor de nube, cuando CLAUDE_CODE_USE_BEDROCK, CLAUDE_CODE_USE_VERTEX o CLAUDE_CODE_USE_FOUNDRY está establecido. Consulte integraciones de terceros para la configuración.
  2. Variable de entorno ANTHROPIC_AUTH_TOKEN. Se envía como encabezado Authorization: Bearer. Use esto cuando enrute a través de una puerta de enlace LLM o proxy que se autentica con tokens de portador en lugar de claves API de Anthropic.
  3. Variable de entorno ANTHROPIC_API_KEY. Se envía como encabezado X-Api-Key. Use esto para acceso directo a la API de Anthropic con una clave de Claude Console. En modo interactivo, se le solicita una vez que apruebe o rechace la clave, y su elección se recuerda. Para cambiarla más tarde, use el botón de alternancia "Use custom API key" en /config. El botón de alternancia solo aparece mientras ANTHROPIC_API_KEY está establecido en su entorno. En modo no interactivo (-p), la clave siempre se usa cuando está presente.
  4. Salida del script apiKeyHelper. Use esto para credenciales dinámicas o rotativas, como tokens de corta duración obtenidos de un almacén.
  5. Variable de entorno CLAUDE_CODE_OAUTH_TOKEN. Un token OAuth de larga duración generado por claude setup-token. Use esto para canalizaciones de CI y scripts donde el inicio de sesión del navegador no está disponible. Si ejecuta /login mientras la variable está establecida, Claude Code cambia la sesión actual al nuevo inicio de sesión, pero lee la variable nuevamente en cada nueva sesión hasta que la elimine del perfil de su shell o del bloque env de un archivo de configuración.
  6. Credenciales de perfil de Anthropic y de federación, las credenciales que utiliza la CLI ant y Workload Identity Federation. Un perfil que ant auth login escribió se clasifica aquí solo cuando lo nombra en ANTHROPIC_PROFILE; de lo contrario, se clasifica por debajo de /login. Consulte Perfiles de Anthropic y credenciales de federación.
  7. Credenciales OAuth de suscripción de /login. Este es el predeterminado para usuarios de Claude Pro, Max, Team y Enterprise.

Una sesión de puerta de enlace de aplicaciones Claude con sesión iniciada se encuentra fuera de esta lista: es una selección de proveedor como Amazon Bedrock o la Plataforma de Agentes de Google Cloud, y los supera. Cuando existe una sesión de puerta de enlace, la CLI se autentica con el token de puerta de enlace incluso si CLAUDE_CODE_USE_BEDROCK, CLAUDE_CODE_USE_VERTEX o CLAUDE_CODE_USE_FOUNDRY está establecido, y las fuentes de credenciales anteriores como el token de portador, la clave API, apiKeyHelper y los perfiles no se utilizan.

Si la configuración administrada de su máquina establece forceLoginMethod en "gateway" o establece forceLoginGatewayUrl, y no selecciona un proveedor de nube a través de una variable como CLAUDE_CODE_USE_BEDROCK o CLAUDE_CODE_USE_VERTEX, su sesión utiliza solo el inicio de sesión de puerta de enlace. Claude Code omite las otras fuentes de credenciales y le pide que inicie sesión con /login. Consulte Administrator policy requires a Cloud gateway sign-in para ver lo que ve con cada credencial restante. Requiere Claude Code v2.1.261 o posterior, o v2.1.265 o posterior en una máquina que solo establece forceLoginGatewayUrl.

Si tiene una suscripción activa de Claude pero también tiene ANTHROPIC_API_KEY establecido en su entorno, Claude Code usa la clave API una vez que la aprueba. Esto puede causar fallos de autenticación si la clave pertenece a una organización deshabilitada o expirada.

Ejecute unset ANTHROPIC_API_KEY para volver a su suscripción, y verifique /status para confirmar qué método está activo. Cuando un inicio de sesión y una clave API están ambos configurados, /status marca la credencial que no está en uso.

Claude Code en la Web siempre usa sus credenciales de suscripción. Si establece ANTHROPIC_API_KEY o ANTHROPIC_AUTH_TOKEN en el entorno en la nube, no anula sus credenciales de suscripción.

Perfiles de Anthropic y credenciales de federación

Un perfil es un archivo de configuración de credenciales nombrado en su directorio de configuración de Anthropic, de forma predeterminada ~/.config/anthropic en macOS y Linux o %APPDATA%\Anthropic en Windows. El modo de autenticación de un perfil es oidc_federation cuando lo configura para Workload Identity Federation (WIF) o user_oauth cuando ant auth login lo escribió o usted inició sesión en una cuenta de Console sin una clave API.

Claude Code no lee perfiles o variables de federación en modo bare, en Claude Desktop o en sesiones en la nube. En esas sesiones, /status no muestra ninguna fila Profile.

Claude Code verifica tres fuentes en este orden y se detiene en la primera que está establecida. La tabla muestra qué establece cada fuente y dónde se clasifica contra su credencial /login.

Fuente Establecido por Clasificación contra /login
Perfil nombrado ANTHROPIC_PROFILE Arriba, cualquiera que sea el modo de autenticación que tenga el perfil
Variables de federación ANTHROPIC_FEDERATION_RULE_ID y ANTHROPIC_ORGANIZATION_ID, ambas establecidas Arriba
Perfil activo El archivo active_config en su directorio de configuración, o un perfil nombrado default Arriba cuando su modo de autenticación es oidc_federation; debajo de una credencial /login que funciona cuando su modo de autenticación es user_oauth

Para las variables de federación, Claude Code también lee las otras variables en la referencia de WIF, como ANTHROPIC_IDENTITY_TOKEN_FILE, cuando intercambia su token de identidad. Para el formato del archivo de perfil, consulte la referencia de WIF.

Para confirmar qué fuente eligió Claude Code, ejecute /status. Una fila Profile nombra la fuente en lugar de la fila Login method. Cuando el perfil es la credencial en uso, las filas Organization y Email muestran su cuenta.

Cuando el inicio de sesión de un perfil user_oauth ha expirado y Claude Code no puede renovarlo, las solicitudes fallan con un error de inicio de sesión de perfil expirado.

Las características que necesitan su inicio de sesión de claude.ai, como conectores de claude.ai y /schedule, no están disponibles mientras una de estas fuentes está seleccionada. Para evitar que Claude Code seleccione una fuente:

  • Perfil nombrado o variables de federación: desestablezca ANTHROPIC_PROFILE, o desestablezca cualquiera de las variables de federación
  • Perfil activo: ejecute /logout para un perfil user_oauth cuya credencial actual escribió iniciando sesión en una cuenta de Console sin una clave API, ejecute ant auth logout para uno cuya credencial actual escribió ant auth login, o elimine el archivo del perfil de configs/ en su directorio de configuración para cualquier modo de autenticación

Generar un token de larga duración

Para canalizaciones de CI, scripts u otros entornos donde el inicio de sesión interactivo del navegador no está disponible, genere un token OAuth de un año con claude setup-token:

claude setup-token

El comando abre el mismo flujo de autorización del navegador que /login, y el token se imprime en la terminal después de que apruebe el acceso en el navegador. No guarda el token en ningún lugar; cópielo y establézcalo como la variable de entorno CLAUDE_CODE_OAUTH_TOKEN donde desee autenticarse:

macOS, Linux, WSL

export CLAUDE_CODE_OAUTH_TOKEN=your-token

Windows PowerShell

$env:CLAUDE_CODE_OAUTH_TOKEN = "your-token"

Windows CMD

set CLAUDE_CODE_OAUTH_TOKEN=your-token

Este token se autentica con su suscripción de Claude y requiere un plan Pro, Max, Team o Enterprise. Solo puede hacer solicitudes de modelo, por lo que no puede establecer sesiones de Remote Control u obtener conectores de claude.ai. Los servidores MCP que configura localmente siguen funcionando.

Bare mode no lee CLAUDE_CODE_OAUTH_TOKEN. Si su script pasa --bare, autentíquese con ANTHROPIC_API_KEY o un apiKeyHelper en su lugar.