648 648 

649```yaml theme={null}649```yaml theme={null}

650admin:650admin:

651 # Clés API statiques nommées pour les points de terminaison admin, envoyées en tant que x-api-key.651 # Named static API keys for the admin endpoints, sent as x-api-key.

652 # L'id apparaît dans le journal d'audit en tant que admin-key:<id> afin que chaque clé soit652 # The id appears in the audit log as admin-key:<id> so each key is

653 # attribuable. Tableau pour la rotation : ajoutez la nouvelle clé, mettez à jour les clients,653 # attributable. Array for rotation: add the new key, roll clients,

654 # supprimez l'ancienne.654 # remove the old.

655 write_keys:655 write_keys:

656 - { id: terraform, key: "${GATEWAY_ADMIN_WRITE_KEY_TF}" }656 - { id: terraform, key: "${GATEWAY_ADMIN_WRITE_KEY_TF}" }

657 - { id: ci, key: "${GATEWAY_ADMIN_WRITE_KEY_CI}" }657 - { id: ci, key: "${GATEWAY_ADMIN_WRITE_KEY_CI}" }

658 read_keys:658 read_keys:

659 - { id: reporting, key: "${GATEWAY_ADMIN_READ_KEY}" }659 - { id: reporting, key: "${GATEWAY_ADMIN_READ_KEY}" }

660 # Groupes IdP disposant d'un accès admin complet via le JWT de passerelle normal (pas de clé API).660 # IdP groups granted full admin via the normal gateway JWT (no API key).

661 admin_groups: [platform-finops]661 admin_groups: [platform-finops]

662 blocked_message: request an increase at https://go.example.com/claude-limits662 blocked_message: request an increase at https://go.example.com/claude-limits

663```663```

665| Champ | Requis | Description |665| Champ | Requis | Description |

666| - | - | - |666| - | - | - |

667| `write_keys` | Non | Tableau de `{id, key}`. Une `x-api-key` correspondant à l'une de ces clés peut lister, définir et supprimer les limites de dépenses. Les valeurs de clé doivent comporter au moins 32 caractères ; les `id` doivent être uniques dans `read_keys` et `write_keys`. |667| `write_keys` | Non | Tableau de `{id, key}`. Une `x-api-key` correspondant à l'une de ces clés peut lister, définir et supprimer les limites de dépenses. Les valeurs de clé doivent comporter au moins 32 caractères ; les `id` doivent être uniques dans `read_keys` et `write_keys`. |

668| `read_keys` | Non | Tableau de `{id, key}`. Lecture seule : tous les points de terminaison `GET`, y compris la liste des plafonds, la récupération d'un par ID, et la lecture de [`/effective`](/docs/fr/claude-apps-gateway-spend-limits#%2Feffective) et [`/audit`](/docs/fr/claude-apps-gateway-spend-limits#%2Faudit). |668| `read_keys` | Non | Tableau de `{id, key}`. Lecture seule : tous les endpoints `GET`, y compris la liste des plafonds, la récupération d'un plafond par ID, et la lecture de [`/effective`](/docs/fr/claude-apps-gateway-spend-limits#%2Feffective) et [`/audit`](/docs/fr/claude-apps-gateway-spend-limits#%2Faudit). |

669| `admin_groups` | Non | Noms de groupes IdP. Un JWT de passerelle dont la revendication `groups` inclut l'un de ces groupes dispose d'un accès admin complet, lecture et écriture, et audite en tant que `oidc:<sub>`. Utilisez ceci pour les administrateurs humains ; utilisez les clés API pour les machines. Une entrée vide dans cette liste arrête la passerelle au démarrage. Consultez [Valeurs de correspondance qui arrêtent la passerelle au démarrage](#matcher-values-that-stop-the-gateway-at-boot). |669| `admin_groups` | Non | Noms de groupes IdP. Un JWT de passerelle dont la revendication `groups` inclut l'un de ces groupes dispose d'un accès administrateur complet, en lecture et en écriture, et est audité en tant que `oidc:<sub>`. Utilisez ceci pour les administrateurs humains ; utilisez les clés API pour les machines. Une entrée vide dans cette liste arrête la passerelle au démarrage. Consultez [Valeurs de matcher qui arrêtent la passerelle au démarrage](#matcher-values-that-stop-the-gateway-at-boot). |

670| `blocked_message` | Non | Ajouté textuellement à l'erreur `429 billing_error` qu'un développeur bloqué voit. Écrivez l'instruction complète, comme une URL ou un canal Slack. Lorsqu'il n'est pas défini, la passerelle envoie uniquement le message par défaut. Consultez [Comment l'application fonctionne](/docs/fr/claude-apps-gateway-spend-limits#how-enforcement-works). |670| `blocked_message` | Non | Ajouté textuellement à l'erreur `429 billing_error` qu'un développeur bloqué voit. Écrivez l'instruction complète, comme une URL ou un canal Slack. Lorsqu'il n'est pas défini, la passerelle envoie uniquement le message par défaut. Consultez [Comment l'application fonctionne](/docs/fr/claude-apps-gateway-spend-limits#how-enforcement-works). |

671| `audit_retention_days` | Non | Par défaut `365`. Les lignes `admin_audit` plus anciennes sont supprimées. |671| `audit_retention_days` | Non | Par défaut `365`. Les lignes `admin_audit` plus anciennes sont supprimées. |

672| `spend_retention_months` | Non | Par défaut `13`. Les lignes du compteur `spend` plus anciennes que cela sont supprimées. La valeur par défaut conserve une année complète plus le mois partiel actuel pour les rapports d'une année sur l'autre. |672| `spend_retention_months` | Non | Par défaut `13`. Les lignes du compteur `spend` plus anciennes que cela sont supprimées. La valeur par défaut conserve une année complète plus le mois partiel actuel pour les rapports d'une année sur l'autre. |

673| `identity_retention_days` | Non | Par défaut `90`. TTL de dernière consultation pour les lignes `principal_emails`, qui contiennent l'e-mail, le nom d'affichage et les groupes de chaque développeur (PII). Délibérément plus court que la rétention des dépenses afin qu'une identité déprovisionée expire tandis que ses compteurs de dépenses anonymes restent. |673| `identity_retention_days` | Non | Par défaut `90`. TTL de dernière consultation pour les lignes `principal_emails`, qui contiennent l'e-mail, le nom d'affichage et les groupes de chaque développeur (PII). Délibérément plus court que la rétention des dépenses afin qu'une identité déprovisionnée expire tandis que ses compteurs de dépenses anonymes restent. |

674| `group_limit_mode` | Non | `min` (par défaut) ou `max`. Lorsqu'un développeur se trouve dans plusieurs groupes avec des plafonds, `min` applique le plus restrictif et `max` le moins restrictif. Utilisé à la fois par l'application et par `/effective`. |674| `group_limit_mode` | Non | `min` (par défaut) ou `max`. Lorsqu'un développeur se trouve dans plusieurs groupes avec des plafonds, `min` applique le plus restrictif et `max` le moins restrictif. Utilisé à la fois par l'application et par `/effective`. |

675 675 

676<h3 id="enforcement">676<h3 id="enforcement">

681 681 

682| Champ | Requis | Description |682| Champ | Requis | Description |

683| - | - | - |683| - | - | - |

684| `fail_closed_on_error` | Non | Par défaut `false`. L'application des dépenses échoue ouvertement en cas de panne Postgres, afin que l'inférence reste active. Définissez `true` pour échouer fermé : les développeurs au-delà du plafond sont bloqués, mais tout le monde l'est aussi si le magasin est inaccessible. Nécessite un bloc [`admin:`](#admin) : l'application des dépenses ne s'exécute que lorsque `admin` est configuré, et la passerelle refuse de démarrer si vous définissez ceci `true` sans un. |684| `fail_closed_on_error` | Non | Par défaut `false`. L'application des dépenses échoue en mode ouvert en cas de panne Postgres, afin que l'inférence reste active. Définissez `true` pour échouer en mode fermé : les développeurs au-delà du plafond sont bloqués, mais tout le monde l'est aussi si le magasin est inaccessible. Nécessite un bloc [`admin:`](#admin) : l'application des dépenses ne s'exécute que lorsque `admin` est configuré, et la passerelle refuse de démarrer si vous définissez ceci à `true` sans ce bloc. |

685 685 

686<h3 id="pricing">686<h3 id="pricing">

687 `pricing`687 `pricing`

688</h3>688</h3>

689 689 

690Le bloc `pricing` indique au compteur de dépenses quoi facturer au lieu du prix catalogue USD, afin que les plafonds et [`/effective`](/docs/fr/claude-apps-gateway-spend-limits#%2Feffective) reflètent vos tarifs contractuels. Les montants restent en USD et restent une estimation, pas une facture. Deux conditions préalables :690Le bloc `pricing` indique au compteur de dépenses quoi facturer au lieu du prix catalogue en USD, afin que les plafonds et [`/effective`](/docs/fr/claude-apps-gateway-spend-limits#%2Feffective) reflètent vos tarifs contractuels. Les montants restent en USD et restent une estimation, pas une facture. Deux prérequis :

691 691 

692* Claude Code v2.1.227 ou ultérieur sur le serveur de passerelle. Les versions antérieures rejettent la clé inconnue au démarrage.692* Claude Code v2.1.227 ou ultérieur sur le serveur de passerelle. Les versions antérieures rejettent la clé inconnue au démarrage.

693* Un bloc [`admin:`](#admin) ou, dans v2.1.268 ou ultérieur, un bloc [`managed:`](#managed) avec au moins une politique. La passerelle refuse de démarrer avec `pricing` défini et aucun bloc, car rien ne le lirait.693* Un bloc [`admin:`](#admin) ou, dans v2.1.268 ou ultérieur, un bloc [`managed:`](#managed) avec au moins une politique. La passerelle refuse de démarrer avec `pricing` défini et aucun de ces blocs, car rien ne le lirait.

694 694 

695```yaml theme={null}695```yaml theme={null}

696pricing:696pricing:

706 706 

707| Champ | Requis | Description |707| Champ | Requis | Description |

708| - | - | - |708| - | - | - |

709| `multiplier` | Non | Par défaut `1`. Le compteur multiplie chaque montant mesuré par ceci, qu'il soit au prix catalogue ou remplacé, donc `0.85` facture 85 % du prix. Doit être supérieur à 0 et au maximum 10, et une valeur supérieure à 1 est une [majoration](#mark-prices-up). |709| `multiplier` | Non | Par défaut `1`. Le compteur multiplie chaque montant mesuré par cette valeur, qu'il soit au prix catalogue ou remplacé, donc `0.85` facture 85 % du prix. Doit être supérieur à 0 et au maximum 10, et une valeur supérieure à 1 est une [majoration](#mark-prices-up). |

710| `overrides` | Non | Lignes de `{upstream, model, input, output, cache_read, cache_write}` en USD par million de jetons. Les quatre tarifs sont requis. Chacun doit être supérieur à 0 et au maximum 10000. |710| `overrides` | Non | Lignes de `{upstream, model, input, output, cache_read, cache_write}` en USD par million de tokens. Les quatre tarifs sont requis. Chacun doit être supérieur à 0 et au maximum 10000. |

711 711 

712Comment le compteur correspond à une ligne de remplacement :712Comment le compteur fait correspondre une ligne de remplacement :

713 713 

714* Une ligne remplace le prix catalogue pour les demandes que `upstream`, un [`upstreams[].name`](#upstreams), traite pour `model`. Cela inclut le tarif [mode rapide](/docs/fr/fast-mode#understand-the-cost-tradeoff) plus élevé, donc les demandes en mode rapide et standard sont mesurées aux mêmes quatre tarifs.714* Une ligne remplace le prix catalogue pour les requêtes que `upstream`, un [`upstreams[].name`](#upstreams), traite pour `model`. Cela inclut le tarif [mode rapide](/docs/fr/fast-mode#understand-the-cost-tradeoff) plus élevé, donc les requêtes en mode rapide et standard sont mesurées aux mêmes quatre tarifs.

715* Un ID intégré tel que `claude-sonnet-4-6`, correspondant comme [`models[].id`](#models), couvre chaque forme datée, forme Amazon Bedrock régionale, ou forme Google Cloud Agent Platform que le compteur évalue comme ce modèle. Toute autre chaîne, comme un alias ou un ARN de profil d'inférence, correspond à l'ID que le client a envoyé ou à la chaîne envoyée en amont, insensible à la casse.715* Un ID intégré tel que `claude-sonnet-4-6`, mis en correspondance comme [`models[].id`](#models), couvre chaque forme datée, forme Amazon Bedrock régionale, ou forme Google Cloud Agent Platform que le compteur évalue comme ce modèle. Toute autre chaîne, comme un alias ou un ARN de profil d'inférence, correspond à l'ID que le client a envoyé ou à la chaîne envoyée en amont, sans tenir compte de la casse.

716* Lorsque les lignes se chevauchent, le compteur choisit la ligne la plus spécifique plutôt que la première ligne : une ligne dont `model` est la chaîne de modèle exacte envoyée en amont, puis une ligne correspondant à l'ID exact que le client a envoyé, puis une ligne nommant le modèle intégré.716* Lorsque les lignes se chevauchent, le compteur choisit la ligne la plus spécifique plutôt que la première ligne : une ligne dont `model` est la chaîne de modèle exacte envoyée en amont, puis une ligne correspondant à l'ID exact que le client a envoyé, puis une ligne nommant le modèle intégré.

717* Un nom d'upstream inconnu échoue au démarrage, tout comme deux lignes pour un upstream qui nomment le même modèle, y compris deux orthographes d'un modèle intégré. La passerelle avertit au démarrage à propos d'une ligne qu'aucun modèle demandable ne peut utiliser.717* Un nom d'upstream inconnu fait échouer le démarrage, tout comme deux lignes pour un upstream qui nomment le même modèle, y compris deux orthographes d'un modèle intégré. La passerelle avertit au démarrage à propos d'une ligne qu'aucun modèle demandable ne peut utiliser.

718* Les demandes de recherche Web restent au prix catalogue de \$0,01 ; le multiplicateur s'y applique toujours.718* Les requêtes de recherche Web restent au prix catalogue de \$0,01 ; le multiplicateur s'y applique toujours.

719 719 

720Pour les tarifs par région, donnez à chaque région son propre upstream nommé et une ligne par upstream.720Pour les tarifs par région, donnez à chaque région son propre upstream nommé et une ligne par upstream.

721 721 

723 Majorer les prix723 Majorer les prix

724</h4>724</h4>

725 725 

726Avec v2.1.271 ou ultérieur sur le serveur de passerelle, vous pouvez définir `multiplier` au-dessus de 1, jusqu'à 10, pour mesurer plus que ce que le fournisseur facture, par exemple un tarif de rétrofacturation interne. Cet exemple mesure chaque demande à 120 % du prix :726Avec v2.1.271 ou ultérieur sur le serveur de passerelle, vous pouvez définir `multiplier` au-dessus de 1, jusqu'à 10, pour mesurer plus que ce que le fournisseur facture, par exemple un tarif de refacturation interne. Cet exemple mesure chaque requête à 120 % du prix :

727 727 

728```yaml theme={null}728```yaml theme={null}

729pricing:729pricing:

730 multiplier: 1.2730 multiplier: 1.2

731```731```

732 732 

733Avec un bloc [`admin:`](#admin), la majoration s'applique également aux limites de dépenses. Le compteur compte 120 % du prix, afin que les développeurs atteignent leurs plafonds plus tôt. La passerelle enregistre un avertissement au démarrage qui le dit.733Avec un bloc [`admin:`](#admin), la majoration s'applique également aux limites de dépenses. Le compteur compte 120 % du prix, afin que les développeurs atteignent leurs plafonds plus tôt. La passerelle journalise un avertissement au démarrage qui le signale.

734 734 

735Le multiplicateur ne change pas ce que le fournisseur en amont facture pour les demandes.735Le multiplicateur ne change pas ce que le fournisseur en amont facture pour les requêtes.

736 736 

737Si la passerelle [envoie également les tarifs aux clients connectés](#send-the-rates-to-signed-in-clients), les développeurs ont besoin de Claude Code v2.1.271 ou ultérieur pour voir la majoration. Les clients antérieurs ignorent un `multiplier` supérieur à 1 et affichent les coûts sans lui.737Si la passerelle [envoie également les tarifs aux clients connectés](#send-the-rates-to-signed-in-clients), les développeurs ont besoin de Claude Code v2.1.271 ou ultérieur pour voir la majoration. Les clients antérieurs ignorent un `multiplier` supérieur à 1 et affichent les coûts sans lui.

738 738 

742 Envoyer les tarifs aux clients connectés742 Envoyer les tarifs aux clients connectés

743</h4>743</h4>

744 744 

745Avec v2.1.268 ou ultérieur sur le serveur de passerelle, la passerelle place également les tarifs de `pricing` dans les politiques [`managed`](#managed) qu'elle sert, en tant que paramètre géré [`modelPricing`](/docs/fr/settings-reference#modelpricing). Les développeurs correspondant à une politique voient alors les tarifs `pricing` pour le premier upstream qui sert chaque ID de modèle dans `/usage`, la ligne d'état et OpenTelemetry. Un développeur qui ne correspond à aucune politique ne reçoit aucun paramètre géré, afin que ses chiffres restent au prix catalogue. Les clients appliquent le paramètre dans Claude Code v2.1.242 ou ultérieur.745Avec v2.1.268 ou ultérieur sur le serveur de passerelle, la passerelle place également les tarifs de `pricing` dans les politiques [`managed`](#managed) qu'elle sert, en tant que paramètre géré [`modelPricing`](/docs/fr/settings-reference#modelpricing). Les développeurs correspondant à une politique voient alors les tarifs `pricing` pour le premier upstream qui sert chaque ID de modèle dans `/usage`, la barre de statut et OpenTelemetry. Un développeur qui ne correspond à aucune politique ne reçoit aucun paramètre géré, afin que ses chiffres restent au prix catalogue. Les clients appliquent le paramètre dans Claude Code v2.1.242 ou ultérieur.

746 746 

747* Ce que la passerelle ajoute : à moins que le bloc `cli` d'une politique ne définisse déjà `modelPricing`, la passerelle ajoute le `multiplier` et, pour chaque ID de modèle qu'un client peut demander, la ligne de remplacement du premier upstream qui sert cet ID. Un tarif que seul un upstream de basculement facture reste sur la passerelle.747* Ce que la passerelle ajoute : à moins que le bloc `cli` d'une politique ne définisse déjà `modelPricing`, la passerelle ajoute le `multiplier` et, pour chaque ID de modèle qu'un client peut demander, la ligne de remplacement du premier upstream qui sert cet ID. Un tarif que seul un upstream de basculement facture reste sur la passerelle.

748* Exclure une politique : définissez `modelPricing` à `{}` dans le bloc `cli` de cette politique, et ses développeurs restent au prix catalogue.748* Exclure une politique : définissez `modelPricing` à `{}` dans le bloc `cli` de cette politique, et ses développeurs restent au prix catalogue.

749* Conserver les tarifs propres d'une politique : une politique dont le bloc `cli` définit `modelPricing` avec son propre `multiplier` ou `overrides` conserve ce `modelPricing` entièrement, et la passerelle n'ajoute aucun de ses propres tarifs.749* Conserver les tarifs propres d'une politique : une politique dont le bloc `cli` définit `modelPricing` avec son propre `multiplier` ou `overrides` conserve ce `modelPricing` entièrement, et la passerelle n'y ajoute aucun de ses propres tarifs.

750 750 

751<h3 id="models">751<h3 id="models">

752 `models`752 `models`

753</h3>753</h3>

754 754 

755Le bloc `models` est une liste de modèles optionnelle organisée par l'administrateur, servie à `/v1/models` et utilisée pour traduire les ID de modèles par upstream. Elle est requise pour les régions Amazon Bedrock non-US, les ARN de débit provisionné Amazon Bedrock et les noms de déploiement Microsoft Foundry.755Le bloc `models` est une liste de modèles optionnelle organisée par l'administrateur, servie à `/v1/models` et utilisée pour traduire les ID de modèles par upstream. Elle est requise pour les régions Amazon Bedrock hors US, les ARN de débit provisionné Amazon Bedrock et les noms de déploiement Microsoft Foundry.

756 756 

757```yaml theme={null}757```yaml theme={null}

758auto_include_builtin_models: true # false: expose only the list below758auto_include_builtin_models: true # false: expose only the list below

766 foundry: your-opus-deployment-name766 foundry: your-opus-deployment-name

767```767```

768 768 

769Chaque clé sous `upstream_model` doit correspondre au `name` d'un upstream configuré, qui par défaut est le nom du fournisseur. Une clé qui ne correspond à aucun upstream échoue au démarrage, donc omettez les lignes pour les fournisseurs que vous n'utilisez pas.769Chaque clé sous `upstream_model` doit correspondre au `name` d'un upstream configuré, qui par défaut est le nom du fournisseur. Une clé qui ne correspond à aucun upstream fait échouer le démarrage, donc omettez les lignes pour les fournisseurs que vous n'utilisez pas.

770 770 

771<h3 id="managed">771<h3 id="managed">

772 `managed`772 `managed`

773</h3>773</h3>

774 774 

775Le bloc `managed` définit les politiques d'accès basées sur les rôles basées sur les groupes IdP ou le domaine de courrier électronique. Les politiques sont évaluées dans l'ordre ; la première correspondance est sélectionnée, puis fusionnée sur la base de capture-tout `match: {}`. Elles sont servies par utilisateur à `GET /managed/settings` avec mise en cache ETag/304.775Le bloc `managed` définit des politiques d'accès basées sur les rôles, indexées sur les groupes IdP ou le domaine de messagerie. Les politiques sont évaluées dans l'ordre ; la première correspondance est sélectionnée, puis fusionnée sur la base fourre-tout `match: {}`. Elles sont servies par utilisateur à `GET /managed/settings` avec mise en cache ETag/304.

776 776 

777```yaml theme={null}777```yaml theme={null}

778managed:778managed:

788 availableModels: [claude-opus-4-8, claude-sonnet-4-6, claude-haiku-4-5]788 availableModels: [claude-opus-4-8, claude-sonnet-4-6, claude-haiku-4-5]

789```789```

790 790 

791Une capture-tout `match: {}`, conventionnellement listée en dernier, est traitée comme une couche de base. Chaque autre politique hérite de toute clé qu'elle ne définit pas de la capture-tout, afin que les entrées par rôle n'aient besoin de lister que ce qui diffère de la valeur par défaut de l'organisation. Les règles de fusion dépendent du type de clé :791Un fourre-tout `match: {}`, conventionnellement listé en dernier, est traité comme une couche de base. Chaque autre politique hérite du fourre-tout toute clé qu'elle ne définit pas, afin que les entrées par rôle n'aient besoin de lister que ce qui diffère de la valeur par défaut de l'organisation. Les règles de fusion dépendent du type de clé :

792 792 

793* **Listes d'autorisation** : `availableModels` et `permissions.allow`. La liste d'une politique spécifique remplace complètement celle de la base.793* **Listes d'autorisation** : `availableModels` et `permissions.allow`. La liste d'une politique spécifique remplace complètement celle de la base.

794* **Listes de refus et tableaux de hooks** : `permissions.deny`, `permissions.ask`, `disabledMcpjsonServers`, `deniedMcpServers`, `blockedMarketplaces` et chaque tableau d'événement de type `hooks`. Ceux-ci prennent l'union de la base et de la politique, afin qu'un hook de refus ou d'audit à l'échelle de l'organisation ne soit pas accidentellement supprimé par un remplacement par rôle.794* **Listes de refus et tableaux de hooks** : `permissions.deny`, `permissions.ask`, `disabledMcpjsonServers`, `deniedMcpServers`, `blockedMarketplaces` et chaque tableau de type d'événement `hooks`. Ceux-ci prennent l'union de la base et de la politique, afin qu'un hook de refus ou d'audit à l'échelle de l'organisation ne puisse pas être accidentellement supprimé par un remplacement par rôle.

795* **Clés de type enregistrement** : `env`, `modelOverrides` et `skillOverrides`. Ceux-ci fusionnent superficiellement, afin qu'un bloc `env` par rôle remplace les clés qu'il définit et hérite du reste de la base.795* **Clés de type enregistrement** : `env`, `modelOverrides` et `skillOverrides`. Celles-ci fusionnent superficiellement, afin qu'un bloc `env` par rôle remplace les clés qu'il définit et hérite du reste de la base.

796 796 

797`availableModels` est également appliqué côté serveur à `/v1/messages`, afin qu'un modèle refusé retourne `400` indépendamment de ce que le client envoie.797`availableModels` est également appliqué côté serveur à `/v1/messages`, afin qu'un modèle refusé retourne `400` indépendamment de ce que le client envoie.

798 798 

799La passerelle valide la valeur `model` elle-même avant de relayer une demande, afin qu'une valeur mal formée n'atteigne jamais un upstream. Elle rejette la demande avec un `400` dans deux cas :799La passerelle valide elle-même la valeur `model` avant de relayer une requête, afin qu'une valeur mal formée n'atteigne jamais un upstream. Elle rejette la requête avec un `400` dans deux cas :

800 800 

801* Lorsque la valeur est manquante ou vide, la passerelle rejette la demande avec le message `model is required`. Cette vérification nécessite une passerelle exécutant Claude Code v2.1.228 ou ultérieur.801* Lorsque la valeur est manquante ou vide, la passerelle rejette la requête avec le message `model is required`. Cette vérification nécessite une passerelle exécutant Claude Code v2.1.228 ou ultérieur.

802* Lorsque la valeur est présente mais n'est pas une chaîne, la passerelle rejette la demande avec le message `model must be a string`. Nécessite une passerelle exécutant Claude Code v2.1.221 ou ultérieur.802* Lorsque la valeur est présente mais n'est pas une chaîne, la passerelle rejette la requête avec le message `model must be a string`. Nécessite une passerelle exécutant Claude Code v2.1.221 ou ultérieur.

803 803 

804| Correspondance | Comportement |804| Matcher | Comportement |

805| - | - |805| - | - |

806| `match: {}` | Correspond à chaque utilisateur authentifié. Commencez par l'un de ceux-ci et ajoutez des politiques limitées aux groupes au-dessus plus tard. |806| `match: {}` | Correspond à chaque utilisateur authentifié. Commencez par l'un de ceux-ci et ajoutez plus tard des politiques limitées à des groupes au-dessus. |

807| `match: { groups: [a, b] }` | Correspond si la revendication `groups` du JWT contient l'un des groupes listés. Sensible à la casse : les groupes doivent correspondre à la casse exacte de l'IdP. |807| `match: { groups: [a, b] }` | Correspond si la revendication `groups` du JWT contient l'un des groupes listés. Sensible à la casse : les groupes doivent correspondre à la casse exacte de l'IdP. |

808| `match: { email_domain: example.com }` | Correspond à la partie après le dernier `@` dans la revendication `email` du JWT, insensible à la casse. Accepte un domaine par politique. |808| `match: { email_domain: example.com }` | Correspond à la partie après le dernier `@` dans la revendication `email` du JWT, sans tenir compte de la casse. Accepte un domaine par politique. |

809| `match: { groups: [a], email_domain: example.com }` | Les deux conditions doivent correspondre |809| `match: { groups: [a], email_domain: example.com }` | Les deux conditions doivent correspondre |

810 810 

811Un utilisateur authentifié qui ne correspond à aucune politique obtient les valeurs par défaut de la passerelle, ce qui signifie chaque modèle du catalogue et aucun paramètre géré. Ajoutez une capture-tout `match: {}` en dernier si vous voulez une politique par défaut garantie.811Un utilisateur authentifié qui ne correspond à aucune politique obtient les valeurs par défaut de la passerelle, ce qui signifie chaque modèle du catalogue et aucun paramètre géré. Ajoutez un fourre-tout `match: {}` en dernier si vous voulez une politique par défaut garantie.

812 812 

813<Note>813<Note>

814 La passerelle ne conserve aucun répertoire d'utilisateurs propre. Elle autorise chaque demande à partir du jeton IdP de l'utilisateur, en lisant l'appartenance au groupe à partir de la revendication `groups` du jeton et en évaluant les politiques par rapport à celui-ci. Il n'y a pas de liste à énumérer et aucun compte à pré-créer, et donc aucun point de terminaison SCIM, car il n'y a rien pour que SCIM se synchronise.814 La passerelle ne conserve aucun annuaire d'utilisateurs propre. Elle autorise chaque requête à partir du jeton IdP de l'utilisateur, en lisant l'appartenance aux groupes dans la revendication `groups` du jeton et en évaluant les politiques par rapport à celle-ci. Il n'y a pas de liste à énumérer ni de comptes à pré-créer, et donc aucun endpoint SCIM, car il n'y a rien dans quoi SCIM pourrait se synchroniser.

815 815 

816 Exécutez la gestion du cycle de vie des utilisateurs et des groupes à la source de vérité, qui est l'approvisionnement SCIM natif de votre IdP ou une plateforme de gouvernance des identités dédiée. L'appartenance et la déprovision gouvernées là-bas s'écoulent dans la passerelle automatiquement via le jeton. Si vous voulez l'approvisionnement SCIM des comptes Claude eux-mêmes, c'est une capacité [Claude for Enterprise](/docs/fr/admin-setup).816 Gérez le cycle de vie des utilisateurs et des groupes à la source de vérité, qui est le provisionnement SCIM natif de votre IdP ou une plateforme de gouvernance des identités dédiée. L'appartenance et le déprovisionnement gérés à cet endroit se propagent automatiquement dans la passerelle via le jeton. Si vous voulez le provisionnement SCIM des comptes Claude eux-mêmes, c'est une capacité de [Claude for Enterprise](/docs/fr/admin-setup).

817 817 

818 Deux horloges de propagation s'appliquent :818 Deux horloges de propagation s'appliquent :

819 819 

820 * **Contenu de la politique** : modifier une politique et redéployer atteint les clients connectés lors de leur prochain sondage de paramètres gérés, dans une heure, à part les [modifications qui s'appliquent uniquement au prochain lancement](/docs/fr/server-managed-settings#fetch-and-caching-behavior)820 * **Contenu de la politique** : modifier une politique et redéployer atteint les clients connectés lors de leur prochain sondage des paramètres gérés, en moins d'une heure, à l'exception des [modifications qui s'appliquent uniquement au prochain lancement](/docs/fr/server-managed-settings#fetch-and-caching-behavior)

821 * **Appartenance au groupe** : modifier l'appartenance au groupe d'un utilisateur change la politique qui le correspond. Cela prend effet lors de la prochaine remise en session, ce qui signifie le prochain renouvellement silencieux, limité par `session.ttl_hours`.821 * **Appartenance aux groupes** : modifier l'appartenance aux groupes d'un utilisateur change la politique qui lui correspond. Cela prend effet lors de la prochaine réémission de session, c'est-à-dire le prochain renouvellement silencieux, limité par `session.ttl_hours`.

822</Note>822</Note>

823 823 

824<h4 id="matcher-values-that-stop-the-gateway-at-boot">824<h4 id="matcher-values-that-stop-the-gateway-at-boot">

825 Valeurs de correspondance qui arrêtent la passerelle au démarrage825 Valeurs de matcher qui arrêtent la passerelle au démarrage

826</h4>826</h4>

827 827 

828Au démarrage, la passerelle vérifie le bloc `match` de chaque politique et la liste [`admin_groups`](#admin). L'une de ces valeurs arrête la passerelle avec une erreur qui nomme le champ :828Au démarrage, la passerelle vérifie le bloc `match` de chaque politique et la liste [`admin_groups`](#admin). L'une de ces valeurs arrête la passerelle avec une erreur qui nomme le champ :

830* Une liste `groups` vide830* Une liste `groups` vide

831* Une entrée vide dans `groups` ou dans `admin_groups`831* Une entrée vide dans `groups` ou dans `admin_groups`

832* Un `email_domain` vide832* Un `email_domain` vide

833* Un `email_domain` qui contient `@`, un espace ou une virgule. La passerelle supprime la valeur et supprime un `@` initial avant cette vérification. Écrivez un domaine nu, comme `example.com`.833* Un `email_domain` qui contient `@`, un espace ou une virgule. La passerelle supprime les espaces autour de la valeur et retire un `@` initial avant cette vérification. Écrivez un domaine nu, comme `example.com`.

834 834 

835Avant v2.1.232, la passerelle a démarré avec ces valeurs. Chaque valeur avait cet effet :835Avant v2.1.232, la passerelle démarrait avec ces valeurs. Chaque valeur avait cet effet :

836 836 

837* Un `email_domain` vide : la passerelle a ignoré la vérification du domaine, afin qu'une politique avec un `email_domain` vide et aucune liste `groups` corresponde à chaque utilisateur authentifié837* Un `email_domain` vide : la passerelle ignorait la vérification du domaine, de sorte qu'une politique avec un `email_domain` vide et sans liste `groups` correspondait à chaque utilisateur authentifié

838* Une liste `groups` vide : la politique ne correspondait à personne838* Une liste `groups` vide : la politique ne correspondait à personne

839* Un `email_domain` contenant `@`, un espace ou une virgule : la politique ne correspondait à personne839* Un `email_domain` contenant `@`, un espace ou une virgule : la politique ne correspondait à personne

840* Une entrée vide dans `groups` ou dans `admin_groups` : l'entrée correspondait à un utilisateur uniquement lorsque la revendication `groups` IdP de cet utilisateur contenait également une entrée vide. Dans `admin_groups`, cette correspondance accordait l'accès admin. Si votre liste `admin_groups` ne contenait jamais une entrée vide, personne n'a obtenu l'accès admin de cette façon.840* Une entrée vide dans `groups` ou dans `admin_groups` : l'entrée correspondait à un utilisateur uniquement lorsque la revendication `groups` IdP de cet utilisateur contenait également une entrée vide. Dans `admin_groups`, cette correspondance accordait l'accès administrateur. Si votre liste `admin_groups` n'a jamais contenu d'entrée vide, personne n'a obtenu l'accès administrateur de cette façon.

841 841 

842<h4 id="what-goes-in-cli">842<h4 id="what-goes-in-cli">

843 Ce qui va dans `cli`843 Ce qui va dans `cli`

844</h4>844</h4>

845 845 

846Chaque valeur `cli` est un document complet Claude Code `managed-settings.json`, le même schéma que vous déploieriez via MDM ou `/etc/claude-code/managed-settings.json`, exprimé ici en YAML. Le CLI applique le document livré au niveau géré, au-dessus des paramètres utilisateur et projet, à la place des paramètres gérés par le serveur. Il ignore donc les paramètres [restreints aux sources de politique au niveau du système d'exploitation](/docs/fr/server-managed-settings#current-limitations), comme `policyHelper` et `wslInheritsWindowsSettings`.846Chaque valeur `cli` est un document Claude Code `managed-settings.json` complet, le même schéma que vous déploieriez via MDM ou `/etc/claude-code/managed-settings.json`, exprimé ici en YAML. Le CLI applique le document livré au niveau géré, au-dessus des paramètres utilisateur et projet, à la place des paramètres gérés par le serveur. Il ignore donc les paramètres [restreints aux sources de politique au niveau du système d'exploitation](/docs/fr/server-managed-settings#current-limitations), comme `policyHelper` et `wslInheritsWindowsSettings`.

847 847 

848La passerelle valide chaque document par rapport au schéma de paramètres du CLI au démarrage, afin qu'une clé de niveau supérieur non reconnue échoue au démarrage avec une erreur nommant chaque clé contrevenante. Les parties délibérément ouvertes du schéma acceptent toujours des valeurs arbitraires, car les clients plus récents peuvent reconnaître des entrées que le schéma de la passerelle ne reconnaît pas. Ces clés ouvertes incluent `env`, `pluginConfigs` et les clés imbriquées sous `permissions`.848La passerelle valide chaque document par rapport au schéma de paramètres du CLI au démarrage, afin qu'une clé de niveau supérieur non reconnue fasse échouer le démarrage avec une erreur nommant chaque clé fautive. Les parties délibérément ouvertes du schéma acceptent toujours des valeurs arbitraires, car les clients plus récents peuvent reconnaître des entrées que le schéma de la passerelle ne reconnaît pas. Ces clés ouvertes incluent `env`, `pluginConfigs` et les clés imbriquées sous `permissions`.

849 849 

850Parce que la validation utilise le schéma fourni avec la version installée de la passerelle, placer une clé de paramètres de niveau supérieur introduite par une version plus récente de Claude Code dans la configuration gérée nécessite de mettre à niveau la passerelle en premier. Testez une nouvelle politique sur un client avant de la déployer.850Comme la validation utilise le schéma fourni avec la version installée de la passerelle, placer dans la configuration gérée une clé de paramètres de niveau supérieur introduite par une version plus récente de Claude Code nécessite de mettre d'abord à niveau la passerelle. Testez une nouvelle politique sur un client avant de la déployer.

851 851 

852La référence complète des clés se trouve dans [Paramètres Claude Code](/docs/fr/settings-reference#all-settings). Les clés que les opérateurs atteignent en premier :852La référence complète des clés se trouve dans [Paramètres Claude Code](/docs/fr/settings-reference#all-settings). Les clés que les opérateurs utilisent en premier :

853 853 

854```yaml theme={null}854```yaml theme={null}

855managed:855managed:

885 885 

886| Clé | Appliquée par | Effet |886| Clé | Appliquée par | Effet |

887| - | - | - |887| - | - | - |

888| `availableModels` | Passerelle + CLI | Liste d'autorisation des modèles. Également vérifiée à `/v1/messages`, afin qu'un client corrigé ne puisse pas la contourner. |888| `availableModels` | Passerelle + CLI | Liste d'autorisation des modèles. Également vérifiée à `/v1/messages`, afin qu'un client modifié ne puisse pas la contourner. |

889| `permissions.allow` / `.deny` | CLI | Règles d'outils et de commandes. Consultez [Permissions](/docs/fr/permissions). |889| `permissions.allow` / `.deny` | CLI | Règles d'outils et de commandes. Consultez [Permissions](/docs/fr/permissions). |

890| `permissions.disableBypassPermissionsMode` | CLI | Définissez à `disable` pour bloquer [`bypassPermissions`](/docs/fr/permission-modes#skip-all-checks-with-bypasspermissions-mode), le mode qui ignore les invites de permission, et l'indicateur `--dangerously-skip-permissions` |890| `permissions.disableBypassPermissionsMode` | CLI | Définissez à `disable` pour bloquer [`bypassPermissions`](/docs/fr/permission-modes#skip-all-checks-with-bypasspermissions-mode), le mode qui ignore les demandes de permission, et le flag `--dangerously-skip-permissions` |

891| `allowManagedPermissionRulesOnly` | CLI | Lorsque `true`, les paramètres gérés deviennent la seule source de paramètres des règles de permission. L'entrée [`allowManagedPermissionRulesOnly`](/docs/fr/settings-reference#allowmanagedpermissionrulesonly) liste chaque source que Claude Code ignore ensuite. |891| `allowManagedPermissionRulesOnly` | CLI | Lorsque `true`, les paramètres gérés deviennent la seule source de paramètres des règles de permission. L'entrée [`allowManagedPermissionRulesOnly`](/docs/fr/settings-reference#allowmanagedpermissionrulesonly) liste chaque source que Claude Code ignore alors. |

892| `env` | CLI | Variables d'environnement fusionnées dans le processus CLI. Utilisez pour la télémétrie, la mise à jour automatique et les remplacements de noms de modèles. |892| `env` | CLI | Variables d'environnement fusionnées dans le processus CLI. Utilisez-les pour la télémétrie, la mise à jour automatique et les remplacements de noms de modèles. |

893| `hooks` | CLI | Hooks à l'échelle de l'organisation [hooks](/docs/fr/hooks) |893| `hooks` | CLI | [Hooks](/docs/fr/hooks) à l'échelle de l'organisation |

894| `managedMcpServers` | CLI | Serveurs MCP distants [fournis à chaque développeur correspondant](/docs/fr/managed-mcp#provide-servers-through-managed-settings) aux côtés des serveurs qu'ils ajoutent eux-mêmes, `http` et `sse` uniquement. Consultez [Serveurs MCP dans une politique](#mcp-servers-in-a-policy). Nécessite Claude Code v2.1.259 ou ultérieur sur le serveur de passerelle et sur les clients. Les clients antérieurs ignorent la clé. |894| `managedMcpServers` | CLI | Serveurs MCP distants [fournis à chaque développeur correspondant](/docs/fr/managed-mcp#provide-servers-through-managed-settings) aux côtés des serveurs qu'il ajoute lui-même, `http` et `sse` uniquement. Consultez [Serveurs MCP dans une politique](#mcp-servers-in-a-policy). Nécessite Claude Code v2.1.259 ou ultérieur sur le serveur de passerelle et sur les clients. Les clients antérieurs ignorent la clé. |

895 895 

896Parce que ces paramètres arrivent sur le réseau, le CLI affiche à chaque développeur une boîte de dialogue d'approbation de sécurité avant d'appliquer les paramètres listés ci-dessous :896Comme ces paramètres arrivent par le réseau, le CLI affiche à chaque développeur une boîte de dialogue d'approbation de sécurité avant d'appliquer les paramètres listés ci-dessous :

897 897 

898* `hooks`898* `hooks`

899* Variables `env` qui nécessitent l'approbation du développeur, comme les variables de proxy et d'URL de base899* Les variables `env` qui nécessitent l'approbation du développeur, comme les variables de proxy et d'URL de base

900* Paramètres d'exécution de shell comme `apiKeyHelper` et `statusLine`900* Les paramètres d'exécution de shell comme `apiKeyHelper` et `statusLine`

901* Les paramètres binaires du sandbox `sandbox.bwrapPath`, `sandbox.socatPath` et `sandbox.ripgrep`901* Les paramètres binaires du sandbox `sandbox.bwrapPath`, `sandbox.socatPath` et `sandbox.ripgrep`

902* Les paramètres du sandbox qui interceptent le trafic, injectent des identifiants ou affaiblissent l'isolation, comme `sandbox.network.tlsTerminate` et les paramètres du port proxy. [Boîtes de dialogue d'approbation de sécurité](/docs/fr/server-managed-settings#security-approval-dialogs) les liste tous.902* Les paramètres du sandbox qui interceptent le trafic, injectent des identifiants ou affaiblissent l'isolation, comme `sandbox.network.tlsTerminate` et les paramètres de port du proxy. [Boîtes de dialogue d'approbation de sécurité](/docs/fr/server-managed-settings#security-approval-dialogs) les liste tous.

903 903 

904[Mémoire d'approbation](/docs/fr/server-managed-settings#approval-memory) couvre la durée d'une approbation et quand la boîte de dialogue réapparaît.904[Mémoire d'approbation](/docs/fr/server-managed-settings#approval-memory) explique combien de temps dure une approbation et quand la boîte de dialogue réapparaît.

905 905 

906Claude Code applique certaines variables `env` livrées sans afficher la boîte de dialogue d'approbation au développeur, comme les paramètres de sélection de modèle et les limites numériques. D'autres variables livrées peuvent nécessiter l'approbation du développeur avant de prendre effet ; une valeur de proxy, d'URL de base ou `OTEL_EXPORTER_OTLP_ENDPOINT` non vide le fait toujours. Lorsqu'une variable livrée a besoin d'approbation, la boîte de dialogue la nomme.906Claude Code applique certaines variables `env` livrées sans afficher la boîte de dialogue d'approbation au développeur, comme les paramètres de sélection de modèle et les limites numériques. D'autres variables livrées peuvent nécessiter l'approbation du développeur avant de prendre effet ; une valeur non vide de proxy, d'URL de base ou de `OTEL_EXPORTER_OTLP_ENDPOINT` la nécessite toujours. Lorsqu'une variable livrée nécessite une approbation, la boîte de dialogue la nomme.

907 907 

908[Variables d'environnement et boîte de dialogue d'approbation](/docs/fr/server-managed-settings#environment-variables-and-the-approval-dialog) a les détails, y compris quatre bascules de confidentialité dont la valeur livrée décide si elles ont besoin d'approbation. Avant v2.1.218, Claude Code appliquait moins de variables sans demander au développeur, afin que plus de variables livrées déclenchent la boîte de dialogue.908[Variables d'environnement et boîte de dialogue d'approbation](/docs/fr/server-managed-settings#environment-variables-and-the-approval-dialog) donne les détails, y compris quatre options de confidentialité dont la valeur livrée détermine si elles nécessitent une approbation. Avant v2.1.218, Claude Code appliquait moins de variables sans demander au développeur, de sorte que davantage de variables livrées déclenchaient la boîte de dialogue.

909 909 

910La configuration [télémétrie](#telemetry) de la passerelle pousse `OTEL_EXPORTER_OTLP_ENDPOINT`, afin que la définition de `telemetry.forward_to` déclenche la boîte de dialogue sur chaque client interactif. La boîte de dialogue protège la machine du développeur d'une passerelle compromise ou hostile, pas l'organisation du développeur.910La configuration de [télémétrie](#telemetry) de la passerelle pousse `OTEL_EXPORTER_OTLP_ENDPOINT`, donc définir `telemetry.forward_to` déclenche la boîte de dialogue sur chaque client interactif. La boîte de dialogue protège la machine du développeur contre une passerelle compromise ou hostile, et non l'organisation contre le développeur.

911 911 

912Une [exécution non interactive](/docs/fr/server-managed-settings#security-approval-dialogs), comme `claude -p` ou une session Agent SDK, ne peut pas afficher la boîte de dialogue. Elle applique les paramètres poussés pour cette exécution uniquement et ne les enregistre pas comme approuvés, afin que la prochaine session interactive du développeur affiche toujours la boîte de dialogue pour eux. Avant v2.1.207, une exécution non interactive enregistrait les paramètres comme approuvés et aucune session interactive ultérieure n'affichait la boîte de dialogue pour eux.912Une [exécution non interactive](/docs/fr/server-managed-settings#security-approval-dialogs), comme `claude -p` ou une session Agent SDK, ne peut pas afficher la boîte de dialogue. Elle applique les paramètres poussés pour cette exécution uniquement et ne les enregistre pas comme approuvés, de sorte que la prochaine session interactive du développeur affiche toujours la boîte de dialogue. Avant v2.1.207, une exécution non interactive enregistrait les paramètres comme approuvés et aucune session interactive ultérieure n'affichait la boîte de dialogue pour eux.

913 913 

914Si un développeur refuse, Claude Code quitte cette session plutôt que d'appliquer la politique. Lorsque vous poussez un nouveau hook, ou toute variable env qui déclenche la boîte de dialogue, à une politique large, chaque développeur correspondant voit donc la boîte de dialogue dans ses sessions interactives. Une session interactive en cours l'affiche lors du prochain sondage horaire, et sinon elle apparaît au prochain démarrage interactif du développeur.914Si un développeur refuse, Claude Code quitte cette session plutôt que d'appliquer la politique. Lorsque vous poussez un nouveau hook, ou toute variable env qui déclenche la boîte de dialogue, vers une politique large, chaque développeur correspondant voit donc la boîte de dialogue dans ses sessions interactives. Une session interactive en cours l'affiche lors du prochain sondage horaire, et sinon elle apparaît au prochain démarrage interactif du développeur.

915 915 

916La clé `cli` s'appelait `settings` dans les versions antérieures. Cette orthographe est toujours acceptée comme alias, mais les nouveaux déploiements doivent utiliser `cli`.916La clé `cli` s'appelait `settings` dans les versions antérieures. Cette orthographe est toujours acceptée comme alias, mais les nouveaux déploiements doivent utiliser `cli`.

917 917 

918<h4 id="context-window-in-terminal-sessions">

919 Fenêtre de contexte dans les sessions de terminal

920</h4>

921 

922Les sessions de terminal connectées via `/login` utilisent la fenêtre de contexte de 1M pour Opus 4.7 et ultérieur, Sonnet 5 et ultérieur, ainsi que les modèles Fable. L'ID de modèle n'a besoin d'aucun suffixe `[1m]`, et les sessions se compactent à environ 967K tokens. Avant Claude Code v2.1.287 sur la machine du développeur, Claude Code considérait que les modèles Opus et Fable avaient une fenêtre de 200K, sauf si l'ID de modèle se terminait par `[1m]`.

923 

924Pour que les sessions de terminal se compactent plutôt à la limite de 200K, définissez la [fenêtre de compaction automatique](/docs/fr/model-config#set-the-auto-compact-window) dans le `env` de la politique :

925 

926```yaml theme={null}

927managed:

928 policies:

929 - match: {}

930 cli:

931 env:

932 CLAUDE_CODE_AUTO_COMPACT_WINDOW: "200000"

933```

934 

935Claude Code applique cette variable sans afficher la boîte de dialogue d'approbation au développeur. La variable s'applique à chaque modèle, y compris les ID de modèles qui se terminent par `[1m]`.

936 

937Pour désactiver plutôt le contexte 1M, définissez [`CLAUDE_CODE_DISABLE_1M_CONTEXT: "1"`](/docs/fr/model-config#extended-context) dans le même bloc `env`. Claude Code considère alors que chaque modèle a une fenêtre de 200K. Dans les sessions interactives, chaque développeur approuve cette variable dans la [boîte de dialogue d'approbation](#what-goes-in-cli) avant qu'elle ne prenne effet.

938 

918<h4 id="mcp-servers-in-a-policy">939<h4 id="mcp-servers-in-a-policy">

919 Serveurs MCP dans une politique940 Serveurs MCP dans une politique

920</h4>941</h4>

921 942 

922Pour fournir des serveurs MCP aux clients Claude Code qu'une politique correspond, définissez [`managedMcpServers`](/docs/fr/managed-mcp#provide-servers-through-managed-settings) dans le bloc `cli` de cette politique. Vous avez besoin de Claude Code v2.1.259 ou ultérieur sur le serveur de passerelle et sur les clients.943Pour fournir des serveurs MCP aux clients Claude Code auxquels une politique correspond, définissez [`managedMcpServers`](/docs/fr/managed-mcp#provide-servers-through-managed-settings) dans le bloc `cli` de cette politique. Vous avez besoin de Claude Code v2.1.259 ou ultérieur sur le serveur de passerelle et sur les clients.

923 944 

924La passerelle vérifie chaque entrée au démarrage avec [les mêmes règles que Claude Code applique sur le client](/docs/fr/managed-mcp#what-an-entry-can-contain), et si une entrée échoue une vérification, la passerelle refuse de démarrer et nomme l'entrée.945La passerelle vérifie chaque entrée au démarrage avec [les mêmes règles que Claude Code applique sur le client](/docs/fr/managed-mcp#what-an-entry-can-contain), et si une entrée échoue à une vérification, la passerelle refuse de démarrer et nomme l'entrée.

925 946 

926Si vous écrivez une référence `${VAR}` dans `gateway.yaml`, la passerelle la résout à partir de son environnement au démarrage via [expansion de secret](#secret-expansion) avant d'exécuter les vérifications d'entrée, afin que chaque client correspondant reçoive la valeur littérale et puisse la lire. L'[orientation d'en-tête pour les serveurs fournis](/docs/fr/managed-mcp#provide-servers-through-managed-settings) s'applique à la valeur développée.947Si vous écrivez une référence `${VAR}` dans `gateway.yaml`, la passerelle la résout à partir de son environnement au démarrage via l'[expansion de secret](#secret-expansion) avant d'exécuter les vérifications d'entrée, de sorte que chaque client correspondant reçoit la valeur littérale et peut la lire. Les [recommandations sur les en-têtes pour les serveurs fournis](/docs/fr/managed-mcp#provide-servers-through-managed-settings) s'appliquent à la valeur développée.

927 948 

928La passerelle rejette l'orthographe `.mcp.json` `mcpServers` dans un bloc `cli`, et son erreur de démarrage nomme `managedMcpServers` comme clé à utiliser. Avant v2.1.259, la passerelle rejetait toute définition de serveur MCP dans un bloc `cli`.949La passerelle rejette l'orthographe `.mcp.json` `mcpServers` dans un bloc `cli`, et son erreur de démarrage nomme `managedMcpServers` comme clé à utiliser. Avant v2.1.259, la passerelle rejetait toute définition de serveur MCP dans un bloc `cli`.

929 950 

931 Superposition Claude Desktop952 Superposition Claude Desktop

932</h4>953</h4>

933 954 

934Si votre organisation déploie également [Claude Desktop](/docs/fr/desktop), la même passerelle sert les deux clients. Pointez `bootstrapUrl`, dans la [configuration gérée](https://claude.com/docs/third-party/claude-desktop/configuration) de Claude Desktop, sur `<listen.public_url>/user/bootstrap`. Claude Desktop dérive l'émetteur OAuth de cette URL, exécute la même connexion par code d'appareil contre cette passerelle et récupère sa configuration à partir de la réponse.955Si votre organisation déploie également [Claude Desktop](/docs/fr/desktop), la même passerelle sert les deux clients. Pointez `bootstrapUrl`, dans la [configuration gérée](https://claude.com/docs/third-party/claude-desktop/configuration) de Claude Desktop, vers `<listen.public_url>/user/bootstrap`. Claude Desktop dérive l'émetteur OAuth de cette URL, exécute la même connexion par code d'appareil auprès de cette passerelle et récupère sa configuration à partir de la réponse.

935 956 

936<Note>957<Note>

937 Nécessite Claude Code v2.1.203 ou ultérieur sur le serveur de passerelle, et un opt-in explicite : `/user/bootstrap` retourne 404 à moins que la politique correspondant à l'utilisateur ne porte une clé `desktop`. Un `desktop: {}` vide opte une politique, et une clé `desktop` sur la couche de base `match: {}` opte chaque politique qui l'hérite. Le journal d'audit enregistre chaque demande en tant que `desktop_bootstrap.serve` ou `desktop_bootstrap.denied`.958 Nécessite Claude Code v2.1.203 ou ultérieur sur le serveur de passerelle, et une activation explicite : `/user/bootstrap` retourne 404 à moins que la politique correspondant à l'utilisateur ne porte une clé `desktop`. Un `desktop: {}` vide active une politique, et une clé `desktop` sur la couche de base `match: {}` active chaque politique qui en hérite. Le journal d'audit enregistre chaque requête en tant que `desktop_bootstrap.serve` ou `desktop_bootstrap.denied`.

938</Note>959</Note>

939 960 

940La passerelle dérive une grande partie de la réponse du bloc `cli` de la politique correspondante et de la configuration de passerelle de niveau supérieur :961La passerelle dérive une grande partie de la réponse du bloc `cli` de la politique correspondante et de la configuration de passerelle de niveau supérieur :

941 962 

942* La liste des modèles, de `availableModels`963* La liste des modèles, à partir de `availableModels`. [Contexte étendu dans Claude Desktop](#extended-context-in-claude-desktop) couvre l'option de contexte 1M de chaque modèle

943* Outils désactivés, à partir des entrées `permissions.deny` de nom d'outil nu. Si vous définissez `disabledBuiltinTools` dans le bloc `desktop` de la politique, la passerelle sert l'union de votre valeur et de la liste dérivée, afin que vous puissiez désactiver plus d'outils de cette façon mais ne puissiez pas réactiver un que vous avez désactivé via `permissions.deny`964* Les outils désactivés, à partir des entrées `permissions.deny` constituées d'un simple nom d'outil. Si vous définissez `disabledBuiltinTools` dans le bloc `desktop` de la politique, la passerelle sert l'union de votre valeur et de la liste dérivée, de sorte que vous pouvez désactiver plus d'outils de cette façon mais ne pouvez pas réactiver un outil que vous avez désactivé via `permissions.deny`

944* La liste d'autorisation de sortie, de `sandbox.network.allowedDomains`. Si vous définissez `coworkEgressAllowedHosts` dans le bloc `desktop` de la politique, la passerelle utilise cette valeur à la place de la liste dérivée965* La liste d'autorisation de sortie, à partir de `sandbox.network.allowedDomains`. Si vous définissez `coworkEgressAllowedHosts` dans le bloc `desktop` de la politique, la passerelle utilise cette valeur à la place de la liste dérivée

945* Un point de terminaison OTLP qui pointe vers la passerelle elle-même, et les attributs d'identité de l'utilisateur connecté. La passerelle relaie les exportations qu'elle reçoit à ce point de terminaison vers vos destinations `forward_to`. Elle inclut le point de terminaison et les attributs lorsque vous définissez à la fois [`telemetry.forward_to`](#telemetry) et `listen.public_url`.966* Un endpoint OTLP qui pointe vers la passerelle elle-même, et les attributs d'identité de l'utilisateur connecté. La passerelle relaie les exportations qu'elle reçoit sur cet endpoint vers vos destinations `forward_to`. Elle inclut l'endpoint et les attributs lorsque vous définissez à la fois [`telemetry.forward_to`](#telemetry) et `listen.public_url`.

946 967 

947 Claude Desktop exporte chaque signal avec un encodage : `http/protobuf`, ou `http/json` lorsque vous définissez `OTEL_EXPORTER_OTLP_PROTOCOL` ou l'une de ses variantes par signal à `http/json` dans le `env` de la politique. Avant Claude Code v2.1.261 sur le serveur de passerelle, la réponse définissait `http/json` indépendamment, afin qu'un collecteur qui accepte uniquement protobuf rejette les exportations de Claude Desktop968 Claude Desktop exporte chaque signal avec un seul encodage : `http/protobuf`, ou `http/json` lorsque vous définissez `OTEL_EXPORTER_OTLP_PROTOCOL` ou l'une de ses variantes par signal à `http/json` dans le `env` de la politique. Avant Claude Code v2.1.261 sur le serveur de passerelle, la réponse définissait `http/json` dans tous les cas, de sorte qu'un collecteur qui accepte uniquement protobuf rejetait les exportations de Claude Desktop

948 969 

949Pour définir `disabledBuiltinTools`, `coworkEgressAllowedHosts` ou le paramètre `managedMcpServers` propre de Claude Desktop dans le bloc `desktop` d'une politique, vous avez besoin de Claude Code v2.1.232 ou ultérieur sur le serveur de passerelle. Le `managedMcpServers` de Claude Desktop prend une valeur de tableau plutôt qu'un objet.970Pour définir `disabledBuiltinTools`, `coworkEgressAllowedHosts` ou le paramètre `managedMcpServers` propre à Claude Desktop dans le bloc `desktop` d'une politique, vous avez besoin de Claude Code v2.1.232 ou ultérieur sur le serveur de passerelle. Le `managedMcpServers` de Claude Desktop prend une valeur de tableau plutôt qu'un objet.

950 971 

951La passerelle omet les clés sans équivalent Claude Desktop, comme `hooks` et les règles de permission limitées comme `Bash(npm *)`, de la réponse d'amorçage.972La passerelle omet de la réponse d'amorçage les clés sans équivalent Claude Desktop, comme `hooks` et les règles de permission ciblées comme `Bash(npm *)`.

952 973 

953Ajoutez le bloc `desktop` optionnel aux côtés de `cli` pour définir les paramètres de Claude Desktop directement. Écrivez les paramètres de la [référence de configuration gérée](https://claude.com/docs/third-party/claude-desktop/configuration) de Claude Desktop en tant que noms de clés plats. Laissez de côté les clés que Claude Desktop lit uniquement à partir de fichiers MDM ou locaux, comme `bootstrapUrl` ; la passerelle les rejette au démarrage. Avant v2.1.232, la passerelle acceptait une liste fixe de 11 clés de porte de fonctionnalité, comme `chatTabEnabled` et `disableAutoUpdates`, et rejetait chaque autre clé au démarrage. Avant v2.1.227, la passerelle rejetait également `chatTabEnabled` et `chatAdvancedFileAnalysisEnabled` au démarrage.974Ajoutez le bloc `desktop` optionnel aux côtés de `cli` pour définir directement les paramètres de Claude Desktop. Écrivez les paramètres de la [référence de configuration gérée](https://claude.com/docs/third-party/claude-desktop/configuration) de Claude Desktop sous forme de noms de clés plats. Laissez de côté les clés que Claude Desktop lit uniquement depuis MDM ou des fichiers locaux, comme `bootstrapUrl` ; la passerelle les rejette au démarrage. Avant v2.1.232, la passerelle acceptait une liste fixe de 11 clés de feature flag, comme `chatTabEnabled` et `disableAutoUpdates`, et rejetait toute autre clé au démarrage. Avant v2.1.227, la passerelle rejetait également `chatTabEnabled` et `chatAdvancedFileAnalysisEnabled` au démarrage.

954 975 

955```yaml theme={null}976```yaml theme={null}

956managed:977managed:

964 banner: { text: "Contractor build: internal use only" }985 banner: { text: "Contractor build: internal use only" }

965```986```

966 987 

967Chaque clé est optionnelle ; Claude Desktop applique sa propre valeur par défaut pour toute clé que vous omettez. La passerelle valide chaque bloc `desktop` au démarrage par rapport au schéma de configuration que Claude Desktop lui-même utilise, afin qu'une erreur apparaisse au démarrage de la passerelle en tant qu'erreur nommant la clé plutôt que d'atteindre chaque bureau connecté. La passerelle échoue au démarrage lorsqu'un bloc contient :988Chaque clé est optionnelle ; Claude Desktop applique sa propre valeur par défaut pour toute clé que vous omettez. La passerelle valide chaque bloc `desktop` au démarrage par rapport au schéma de configuration que Claude Desktop utilise lui-même, de sorte qu'une erreur apparaît au démarrage de la passerelle sous la forme d'une erreur nommant la clé plutôt que d'atteindre chaque poste Desktop connecté. La passerelle échoue au démarrage lorsqu'un bloc contient :

968 989 

969* Une clé inconnue990* Une clé inconnue

970* Une clé reconnue dont la valeur Claude Desktop rejetterait ou supprimerait silencieusement, comme une valeur vide ou une sous-clé mal orthographiée à l'intérieur d'une entrée imbriquée. Avant v2.1.260, la passerelle supprimait silencieusement un champ mal orthographié à l'intérieur d'un objet imbriqué d'une entrée `managedMcpServers` ou `orgPluginSettings` au lieu d'échouer au démarrage.991* Une clé reconnue dont Claude Desktop rejetterait ou supprimerait silencieusement la valeur, comme une valeur vide ou une sous-clé mal orthographiée dans une entrée imbriquée. Avant v2.1.260, la passerelle supprimait silencieusement un champ mal orthographié dans un objet imbriqué d'une entrée `managedMcpServers` ou `orgPluginSettings` au lieu d'échouer au démarrage.

971* Une clé que la passerelle calcule elle-même : la connexion d'inférence, la liste des modèles et le relais OTLP. Configurez ceux-ci via [`upstreams`](#upstreams), [`models`](#models) et la section [`telemetry`](#telemetry) `forward_to`.992* Une clé que la passerelle calcule elle-même : la connexion d'inférence, la liste des modèles et le relais OTLP. Configurez-les via [`upstreams`](#upstreams), [`models`](#models) et le `forward_to` de la section [`telemetry`](#telemetry).

972* Un alias hérité d'une clé actuelle. Dans l'erreur de démarrage, la passerelle nomme la clé canonique à écrire.993* Un alias hérité d'une clé actuelle. Dans l'erreur de démarrage, la passerelle nomme la clé canonique à écrire.

973 994 

974Si vous utilisez une valeur ou une forme d'entrée dépréciée, comme une entrée `managedMcpServers` sans `transport`, la passerelle démarre et enregistre un avertissement qui nomme le remplacement.995Si vous utilisez une valeur ou une forme d'entrée dépréciée, comme une entrée `managedMcpServers` sans `transport`, la passerelle démarre et journalise un avertissement qui nomme le remplacement.

975 996 

976La passerelle valide un bloc `desktop` par rapport au schéma fourni avec sa version installée, comme elle le fait pour le bloc `cli`. Pour livrer un paramètre introduit par une version plus récente de Claude Desktop, mettez à niveau la passerelle en premier. Par exemple, `userPluginMarketplacesEnabled` et `userPluginUploadsEnabled` nécessitent Claude Code v2.1.260 ou ultérieur sur le serveur de passerelle et Claude Desktop 1.37937.0 ou ultérieur sur les machines des membres.997La passerelle valide un bloc `desktop` par rapport au schéma fourni avec sa version installée, comme elle le fait pour le bloc `cli`. Pour livrer un paramètre introduit par une version plus récente de Claude Desktop, mettez d'abord à niveau la passerelle. Par exemple, `userPluginMarketplacesEnabled` et `userPluginUploadsEnabled` nécessitent Claude Code v2.1.260 ou ultérieur sur le serveur de passerelle et Claude Desktop 1.37937.0 ou ultérieur sur les machines des membres.

977 998 

978`blockReadsOutsideWorkingDirectories`, `disableBypassPermissionsMode`, `configRecheckIntervalMinutes` et `sshClientPath` nécessitent Claude Code v2.1.281 ou ultérieur sur le serveur de passerelle. Tout comme la valeur `required` de `microsoftAuthBroker` et le champ `continuousAccessEvaluation` d'une entrée Microsoft 365 `managedMcpServers`. Les versions de Claude Desktop qui précèdent la valeur `required` la lisent comme `disabled`, donc définissez `required` uniquement après que chaque membre's Claude Desktop la supporte. La [référence de configuration gérée](https://claude.com/docs/third-party/claude-desktop/configuration) de Claude Desktop liste la version qui lit en premier chaque clé.999`blockReadsOutsideWorkingDirectories`, `disableBypassPermissionsMode`, `configRecheckIntervalMinutes` et `sshClientPath` nécessitent Claude Code v2.1.281 ou ultérieur sur le serveur de passerelle. C'est aussi le cas de la valeur `required` de `microsoftAuthBroker` et du champ `continuousAccessEvaluation` d'une entrée `managedMcpServers` Microsoft 365. Les versions de Claude Desktop antérieures à la valeur `required` la lisent comme `disabled`, donc définissez `required` uniquement lorsque le Claude Desktop de chaque membre la prend en charge. La [référence de configuration gérée](https://claude.com/docs/third-party/claude-desktop/configuration) de Claude Desktop indique la version qui lit chaque clé pour la première fois.

979 1000 

980Si vous définissez `orgPluginSettings` dans le bloc `desktop` d'une politique, la passerelle la sert sous la forme de tableau que Claude Desktop 1.15200.0 et ultérieur lit. Les anciens bureaux ignorent le tableau et n'appliquent aucune politique d'outil de plugin, donc mettez à jour les membres à 1.15200.0 ou ultérieur avant de vous y fier.1001Si vous définissez `orgPluginSettings` dans le bloc `desktop` d'une politique, la passerelle le sert sous la forme de tableau que lisent Claude Desktop 1.15200.0 et ultérieur. Les versions de Desktop plus anciennes ignorent le tableau et n'appliquent aucune politique d'outil de plugin, donc mettez à jour les membres vers 1.15200.0 ou ultérieur avant de vous y fier.

981 1002 

982La passerelle remplit les clés qu'un bloc `desktop` d'une politique ne définit pas à partir du bloc `desktop` de la capture-tout `match: {}`, de la même manière qu'elle remplit le bloc `cli` d'une politique à partir de la base. Si vous définissez `disabledBuiltinTools` ou `builtinToolPolicy` à la fois dans la base et dans une politique par rôle, la passerelle conserve la restriction de la base :1003La passerelle complète les clés que le bloc `desktop` d'une politique ne définit pas à partir du bloc `desktop` du fourre-tout `match: {}`, de la même manière qu'elle complète le bloc `cli` d'une politique à partir de la base. Si vous définissez `disabledBuiltinTools` ou `builtinToolPolicy` à la fois dans la base et dans une politique par rôle, la passerelle conserve la restriction de la base :

983 1004 

984* `disabledBuiltinTools` : la passerelle utilise l'union de la liste de la base et de la liste de la politique1005* `disabledBuiltinTools` : la passerelle utilise l'union de la liste de la base et de la liste de la politique

985* `builtinToolPolicy` : si vous définissez un outil à une valeur autre que `allow` dans la base, la passerelle conserve cette valeur même si vous définissez `allow` pour le même outil dans une politique par rôle1006* `builtinToolPolicy` : si vous définissez un outil à une valeur autre que `allow` dans la base, la passerelle conserve cette valeur même si vous définissez `allow` pour le même outil dans une politique par rôle

986 1007 

987Pour chaque autre clé, si vous la définissez dans la politique par rôle, la passerelle utilise la valeur de la politique par rôle. La passerelle remplace un tableau ou un objet imbriqué comme `banner` entièrement, afin que si vous définissez `banner.text` dans une politique par rôle, la passerelle supprime le `banner.backgroundColor` de la base.1008Pour toute autre clé, si vous la définissez dans la politique par rôle, la passerelle utilise la valeur de la politique par rôle. La passerelle remplace entièrement un tableau ou un objet imbriqué comme `banner`, donc si vous définissez `banner.text` dans une politique par rôle, la passerelle supprime le `banner.backgroundColor` de la base.

1009 

1010Si vous ne déployez pas Claude Desktop, laissez complètement `desktop` hors de vos politiques ; la passerelle retourne alors 404 depuis `/user/bootstrap` pour chaque utilisateur.

1011 

1012<h4 id="extended-context-in-claude-desktop">

1013 Contexte étendu dans Claude Desktop

1014</h4>

1015 

1016Si vous servez [Claude Desktop](#claude-desktop-overlay) depuis la passerelle, son sélecteur de modèles propose une option de contexte 1M pour chaque modèle listé pouvant s'exécuter avec une fenêtre de contexte de 1M. Cela inclut Claude Opus 4.6 et ultérieur, Claude Sonnet 4.6 et ultérieur, ainsi que les modèles Fable. L'option est la variante `[1m]` du modèle, décrite dans [Contexte étendu](/docs/fr/model-config#extended-context). Vous avez besoin de Claude Code v2.1.284 ou ultérieur sur le serveur de passerelle.

1017 

1018Une entrée [`models`](#models) n'obtient pas d'option 1M lorsque :

1019 

1020* Un upstream pouvant servir l'entrée la mappe vers un modèle sans prise en charge de 1M, y compris un upstream que la passerelle n'atteint qu'en cas de basculement

1021* Ni son `id` ni aucune de ses valeurs `upstream_model` ne nomme un modèle Claude, comme un alias personnalisé routé vers un ARN de profil d'inférence d'application

1022 

1023Pour modifier ce que propose le sélecteur, utilisez l'une de ces options :

1024 

1025* **Démarrer les utilisateurs sur l'option 1M** : définissez `modelPrefer1mContext: true` dans le bloc `desktop` de la politique. Les utilisateurs qui n'ont pas encore choisi de modèle démarrent sur l'option 1M lorsque le premier modèle listé en possède une. Les utilisateurs qui ont déjà choisi un modèle conservent leur choix.

1026* **Proposer l'option manuellement** : faites-le si votre serveur de passerelle exécute une version antérieure à v2.1.284, ou si une entrée ne nomme aucun modèle Claude. Listez le modèle deux fois dans `models`, une fois avec son ID simple et une fois avec `[1m]` ajouté, toutes deux avec le même mappage `upstream_model`. Claude Desktop affiche la paire comme un seul modèle avec une option 1M. La passerelle sert une entrée `[1m]` sans la vérifier, donc n'en ajoutez une que pour un modèle que vos upstreams servent en 1M.

1027 

1028Cet exemple propose l'option manuellement pour un alias personnalisé routé vers un profil d'inférence d'application, et y fait démarrer les nouveaux utilisateurs :

1029 

1030```yaml theme={null}

1031models:

1032 - id: corp-sonnet

1033 upstream_model:

1034 bedrock: arn:aws:bedrock:us-east-2:123456789012:application-inference-profile/sonnet-5-prod

1035 - id: corp-sonnet[1m]

1036 upstream_model:

1037 bedrock: arn:aws:bedrock:us-east-2:123456789012:application-inference-profile/sonnet-5-prod

1038 

1039managed:

1040 policies:

1041 - match: {}

1042 desktop:

1043 modelPrefer1mContext: true

1044```

1045 

1046<h5 id="remove-the-1m-option">

1047 Supprimer l'option 1M

1048</h5>

1049 

1050Pour supprimer l'option du sélecteur, définissez `CLAUDE_CODE_DISABLE_1M_CONTEXT: "1"` dans le bloc `env` sous la clé `cli` de la politique. Si vous avez également listé une entrée dont l'`id` se termine par `[1m]`, la passerelle la sert toujours, donc supprimez également cette entrée.

988 1051 

989Si vous ne déployez pas Claude Desktop, laissez `desktop` complètement hors de vos politiques ; la passerelle retourne alors 404 de `/user/bootstrap` pour chaque utilisateur.1052La variable atteint aussi les sessions de terminal des développeurs auxquels correspond la politique. Pour ce qu'elle y modifie, consultez [Contexte étendu](/docs/fr/model-config#extended-context).

990 1053 

991<h4 id="precedence-with-other-managed-sources">1054<h4 id="precedence-with-other-managed-sources">

992 Précédence avec d'autres sources gérées1055 Priorité avec d'autres sources gérées

993</h4>1056</h4>

994 1057 

995Si un appareil a également une politique livrée par MDM ou un `managed-settings.json` local, les paramètres livrés par la passerelle sont classés en premier. [Précédence au sein du niveau géré](/docs/fr/managed-settings#precedence-within-the-managed-tier) sur la page des paramètres gérés dit quand les sources locales s'appliquent, et a les [clés que Claude Code lit à partir de chaque source admin](/docs/fr/managed-settings#keys-read-from-every-admin-source) indépendamment de la source qu'il a sélectionnée, comme les clés de verrouillage du sandbox, `forceRemoteSettingsRefresh` et le `env` par variable fusionner. Un [`policyHelper`](/docs/fr/settings-reference#policyhelper) configuré dans un profil MDM ou le fichier de paramètres gérés s'exécute uniquement lorsque la passerelle ne livre aucun paramètre ; l'entrée dit ce que sa sortie remplace.1058Si un appareil dispose également d'une politique livrée par MDM ou d'un `managed-settings.json` local, les paramètres livrés par la passerelle sont prioritaires. [Priorité au sein du niveau géré](/docs/fr/managed-settings#precedence-within-the-managed-tier), sur la page des paramètres gérés, indique quand les sources locales s'appliquent, et présente les [clés que Claude Code lit depuis chaque source d'administration](/docs/fr/managed-settings#keys-read-from-every-admin-source) quelle que soit la source sélectionnée, comme les clés de verrouillage du sandbox, `forceRemoteSettingsRefresh` et la fusion `env` par variable. Un [`policyHelper`](/docs/fr/settings-reference#policyhelper) configuré dans un profil MDM ou dans le fichier de paramètres gérés s'exécute uniquement lorsque la passerelle ne livre aucun paramètre ; l'entrée indique ce que sa sortie remplace.

996 1059 

997Les hôtes d'intégration tels que [Claude Desktop](/docs/fr/desktop) peuvent fournir une politique via l'option SDK `managedSettings`. [Paramètres parents à partir d'hôtes d'intégration](/docs/fr/managed-settings#parent-settings-from-embedding-hosts) dit quand Claude Code l'applique, et [Restreindre les paramètres parents](/docs/fr/claude-apps-gateway#restrict-parent-settings) liste les paramètres de direction d'autorisation qui s'appliquent toujours sans les verrous `allowManaged*Only`.1060Les hôtes d'intégration tels que [Claude Desktop](/docs/fr/desktop) peuvent fournir une politique via l'option SDK `managedSettings`. [Paramètres parents des hôtes d'intégration](/docs/fr/managed-settings#parent-settings-from-embedding-hosts) indique quand Claude Code l'applique, et [Restreindre les paramètres parents](/docs/fr/claude-apps-gateway#restrict-parent-settings) liste les paramètres de type autorisation qui s'appliquent toujours sans les verrous `allowManaged*Only`.

998 1061 

999Les politiques de passerelle s'appliquent à chaque invocation de Claude Code sur la machine, y compris les exécutions non interactives `claude -p` et les sessions générées par le SDK Agent. Si la passerelle est inaccessible au démarrage, les sessions connectées quittent avec une erreur plutôt que de s'exécuter sans leur politique.1062Les politiques de passerelle s'appliquent à chaque invocation de Claude Code sur la machine, y compris les exécutions non interactives `claude -p` et les sessions lancées par l'Agent SDK. Si la passerelle est inaccessible au démarrage, les sessions connectées se terminent avec une erreur plutôt que de s'exécuter sans leur politique.

1000 1063 

1001<h3 id="telemetry">1064<h3 id="telemetry">

1002 `telemetry`1065 `telemetry`

1003</h3>1066</h3>

1004 1067 

1005Le CLI envoie des métriques, des journaux et, lorsqu'ils sont activés, des traces à la passerelle, qui les relaie textuellement à chaque destination configurée. Les exportations utilisent OpenTelemetry Protocol (OTLP) sur HTTP. Pour ignorer le relais et faire exporter les sessions directement à votre collecteur, [nommez le collecteur dans une politique](#export-directly-to-your-collector). Consultez [Surveillance de l'utilisation](/docs/fr/monitoring-usage) pour les métriques et événements que le CLI émet.1068Le CLI envoie des métriques, des logs et, lorsqu'elles sont activées, des traces à la passerelle, qui les relaie textuellement à chaque destination configurée. Les exportations utilisent OpenTelemetry Protocol (OTLP) sur HTTP. Pour ignorer le relais et faire exporter les sessions directement vers votre collecteur, [nommez le collecteur dans une politique](#export-directly-to-your-collector). Consultez [Surveillance de l'utilisation](/docs/fr/monitoring-usage) pour les métriques et événements que le CLI émet.

1006 1069 

1007Dans les sessions connectées via `/login`, le CLI horodate chaque exportation avec l'identité de l'utilisateur authentifié, lue à partir du JWT émis par la passerelle : les attributs `user.id`, `user.email` et `user.groups`. L'attribution des coûts et de l'utilisation par développeur fonctionne donc sans configuration côté développeur.1070Dans les sessions connectées via `/login`, le CLI marque chaque exportation avec l'identité de l'utilisateur authentifié, lue à partir du JWT émis par la passerelle : les attributs `user.id`, `user.email` et `user.groups`. L'attribution des coûts et de l'utilisation par développeur fonctionne donc sans configuration côté développeur.

1008 1071 

1009[Claude Desktop](#claude-desktop-overlay) et les sessions Cowork connectées via la passerelle horodatent leur télémétrie avec `user.email` et `user.groups` aux côtés de `enduser.id`, afin que vous puissiez couvrir l'utilisation du terminal, du bureau et de Cowork avec une requête sur `user.email` ou `user.groups`. `user.groups` est la liste des groupes IdP séparés par des virgules.1072[Claude Desktop](#claude-desktop-overlay) et les sessions Cowork connectées via la passerelle marquent leur télémétrie avec `user.email` et `user.groups` aux côtés de `enduser.id`, afin que vous puissiez couvrir l'utilisation du terminal, de Desktop et de Cowork avec une seule requête sur `user.email` ou `user.groups`. `user.groups` est la liste des groupes IdP séparés par des virgules.

1010 1073 

1011La télémétrie du bureau et de Cowork porte également `enduser.sub`, la revendication `sub` que votre fournisseur d'identité émet pour l'utilisateur, qui reste la même lorsque l'e-mail d'un utilisateur change. Les sessions de terminal horodatent la même valeur sous `user.id`, afin qu'une requête qui correspond à `enduser.sub` par rapport au terminal `user.id` couvre l'utilisation du terminal, du bureau et de Cowork d'un utilisateur ensemble. Sur les exportations du bureau et de Cowork, `user.id` est un identifiant anonyme, pas le sujet.1074La télémétrie de Desktop et de Cowork porte également `enduser.sub`, la revendication `sub` que votre fournisseur d'identité émet pour l'utilisateur, qui reste la même lorsque l'e-mail d'un utilisateur change. Les sessions de terminal marquent la même valeur sous `user.id`, de sorte qu'une requête qui fait correspondre `enduser.sub` avec le `user.id` du terminal couvre ensemble l'utilisation du terminal, de Desktop et de Cowork d'un utilisateur. Sur les exportations de Desktop et de Cowork, `user.id` est un identifiant anonyme, pas le sujet.

1012 1075 

1013Comme toutes les données OpenTelemetry de Claude Code, ces attributs vont uniquement aux destinations que votre organisation configure, jamais à Anthropic.1076Comme toutes les données OpenTelemetry de Claude Code, ces attributs vont uniquement aux destinations que votre organisation configure, jamais à Anthropic.

1014 1077 

1015Si la liste de groupes d'un utilisateur est plus longue que 255 caractères une fois codée en pourcentage, ou si un nom de groupe contient une virgule ou un signe égal, la passerelle laisse `user.groups` hors de la télémétrie du bureau et de Cowork de cet utilisateur plutôt que de la tronquer. Les sessions de terminal de cet utilisateur portent toujours la liste complète.1078Si la liste de groupes d'un utilisateur dépasse 255 caractères une fois encodée en pourcentage, ou si un nom de groupe contient une virgule ou un signe égal, la passerelle omet `user.groups` de la télémétrie Desktop et Cowork de cet utilisateur plutôt que de la tronquer. Les sessions de terminal de cet utilisateur portent toujours la liste complète.

1016 1079 

1017La passerelle laisse `enduser.sub` hors quand le sujet est plus long que 255 caractères une fois codé en pourcentage, ou contient un espace, un caractère en dehors de l'ASCII imprimable, ou l'un de `,` `;` `=` `\` `"` `%`. La télémétrie du bureau et de Cowork de cet utilisateur conserve ses autres attributs.1080La passerelle omet `enduser.sub` lorsque le sujet dépasse 255 caractères une fois encodé en pourcentage, ou contient un espace, un caractère en dehors de l'ASCII imprimable, ou l'un de `,` `;` `=` `\` `"` `%`. La télémétrie Desktop et Cowork de cet utilisateur conserve ses autres attributs.

1018 1081 

1019Vous avez besoin de Claude Code v2.1.265 ou ultérieur sur le serveur de passerelle pour `user.email` et `user.groups` sur la télémétrie du bureau et de Cowork, et Claude Desktop 1.24012 ou ultérieur sur la machine de chaque développeur pour `user.groups`.1082Vous avez besoin de Claude Code v2.1.265 ou ultérieur sur le serveur de passerelle pour `user.email` et `user.groups` sur la télémétrie Desktop et Cowork, et de Claude Desktop 1.24012 ou ultérieur sur la machine de chaque développeur pour `user.groups`.

1020 1083 

1021Vous avez besoin de Claude Code v2.1.274 ou ultérieur sur le serveur de passerelle pour `enduser.sub`.1084Vous avez besoin de Claude Code v2.1.274 ou ultérieur sur le serveur de passerelle pour `enduser.sub`.

1022 1085 

1036```1099```

1037 1100 

1038<Warning>1101<Warning>

1039 Chaque destination opte pour `metrics`, `logs` et `traces` indépendamment, et la valeur par défaut est les métriques uniquement. Les signaux diffèrent en sensibilité :1102 Chaque destination active `metrics`, `logs` et `traces` indépendamment, et la valeur par défaut est les métriques uniquement. Les signaux diffèrent en sensibilité :

1040 1103 

1041 * **Métriques** : compteurs agrégés tels que les comptages de jetons, les comptages de demandes et la latence1104 * **Métriques** : compteurs agrégés tels que le nombre de tokens, le nombre de requêtes et la latence

1042 * **Journaux et traces** : peuvent porter des commandes Bash complètes, des entrées d'outils et des chemins de fichiers, couvrant tout ce que Claude Code fait sur la machine d'un développeur1105 * **Logs et traces** : peuvent contenir des commandes Bash complètes, des entrées d'outils et des chemins de fichiers, couvrant tout ce que Claude Code fait sur la machine d'un développeur

1043 1106 

1044 Activez les journaux et les traces uniquement sur les destinations avec les contrôles d'accès et la politique de rétention que les données justifient.1107 Activez les logs et les traces uniquement sur les destinations disposant des contrôles d'accès et de la politique de rétention que ces données justifient.

1045</Warning>1108</Warning>

1046 1109 

1047Chaque URL `forward_to` doit utiliser `https://`, avec une exception pour un collecteur sur l'interface de bouclage de la passerelle elle-même :1110Chaque URL `forward_to` doit utiliser `https://`, avec une exception pour un collecteur sur l'interface de bouclage de la passerelle elle-même :

1048 1111 

1049* `http://localhost:<port>` passe la validation de configuration, mais le [garde SSRF](/docs/fr/claude-apps-gateway-deploy#threat-model-summary) bloque chaque exportation avec `ECONNREFUSED_SSRF` à moins que vous ne définissiez `CLAUDE_GATEWAY_ALLOW_LOOPBACK=1` dans l'environnement de la passerelle1112* `http://localhost:<port>` passe la validation de configuration, mais la [protection SSRF](/docs/fr/claude-apps-gateway-deploy#threat-model-summary) bloque chaque exportation avec `ECONNREFUSED_SSRF` à moins que vous ne définissiez `CLAUDE_GATEWAY_ALLOW_LOOPBACK=1` dans l'environnement de la passerelle

1050* `http://127.0.0.1:<port>` ou `http://[::1]:<port>` échoue au démarrage à moins que cette variable ne soit définie1113* `http://127.0.0.1:<port>` ou `http://[::1]:<port>` fait échouer le démarrage à moins que cette variable ne soit définie

1051 1114 

1052Pour un collecteur en cluster, exposez-le sur HTTPS à sa propre adresse interne, ou exécutez-le en tant que sidecar avec la variable définie.1115Pour un collecteur dans le cluster, exposez-le en HTTPS à sa propre adresse interne, ou exécutez-le en tant que sidecar avec la variable définie.

1053 1116 

1054Lorsque `HTTPS_PROXY` est défini, la passerelle envoie les exportations via ce proxy.1117Lorsque `HTTPS_PROXY` est défini, la passerelle envoie les exportations via ce proxy.

1055 1118 

1056Pour atteindre un collecteur interne directement, ajoutez-le à `NO_PROXY` par nom d'hôte ou par un domaine avec un point initial comme `.internal.example.com`, ce qui nécessite Claude Code v2.1.277 ou ultérieur sur le serveur de passerelle. Assurez-vous que la passerelle peut atteindre le collecteur sans le proxy. Une entrée sans point initial correspond uniquement à ce nom exact, pas aux noms en dessous. Les plages CIDR ne correspondent pas.1119Pour atteindre directement un collecteur interne, ajoutez-le à `NO_PROXY` par nom d'hôte ou par un domaine avec un point initial comme `.internal.example.com`, ce qui nécessite Claude Code v2.1.277 ou ultérieur sur le serveur de passerelle. Assurez-vous que la passerelle peut atteindre le collecteur sans le proxy. Une entrée sans point initial correspond uniquement à ce nom exact, pas aux noms situés en dessous. Les plages CIDR ne correspondent pas.

1057 1120 

1058Avec [sortie proxy uniquement](#proxy-only-egress) activée, autorisez le collecteur dans le proxy à la place, car toute entrée `NO_PROXY` désactive la sortie proxy uniquement.1121Avec la [sortie uniquement via proxy](#proxy-only-egress) activée, autorisez plutôt le collecteur dans le proxy, car toute entrée `NO_PROXY` désactive la sortie uniquement via proxy.

1059 1122 

1060La télémétrie est désactivée dans le CLI par défaut. Lorsque vous définissez à la fois `telemetry.forward_to` et `listen.public_url`, la passerelle l'active pour les clients connectés en poussant six variables d'environnement via `/managed/settings` :1123La télémétrie est désactivée par défaut dans le CLI. Lorsque vous définissez à la fois `telemetry.forward_to` et `listen.public_url`, la passerelle l'active pour les clients connectés en poussant six variables d'environnement via `/managed/settings` :

1061 1124 

1062* `CLAUDE_CODE_ENABLE_TELEMETRY=1`1125* `CLAUDE_CODE_ENABLE_TELEMETRY=1`

1063* `OTEL_METRICS_EXPORTER`, `OTEL_LOGS_EXPORTER` et `OTEL_TRACES_EXPORTER`, chacun défini à `otlp` si au moins une destination `forward_to` active ce signal et à `none` sinon1126* `OTEL_METRICS_EXPORTER`, `OTEL_LOGS_EXPORTER` et `OTEL_TRACES_EXPORTER`, chacune définie à `otlp` si au moins une destination `forward_to` active ce signal et à `none` sinon

1064* `OTEL_EXPORTER_OTLP_ENDPOINT=<public_url>`1127* `OTEL_EXPORTER_OTLP_ENDPOINT=<public_url>`

1065* `OTEL_EXPORTER_OTLP_PROTOCOL=http/protobuf`1128* `OTEL_EXPORTER_OTLP_PROTOCOL=http/protobuf`

1066 1129 

1067Lorsque vous [ajoutez vos propres étiquettes](#add-your-own-labels), la passerelle pousse également `OTEL_RESOURCE_ATTRIBUTES`.1130Lorsque vous [ajoutez vos propres étiquettes](#add-your-own-labels), la passerelle pousse également `OTEL_RESOURCE_ATTRIBUTES`.

1068 1131 

1069Avant Claude Code v2.1.265 sur le serveur de passerelle, la passerelle poussait les trois sélecteurs d'exportateur en tant que `otlp`, y compris pour les signaux qu'aucune destination n'a activés.1132Avant Claude Code v2.1.265 sur le serveur de passerelle, la passerelle poussait les trois sélecteurs d'exportateur avec la valeur `otlp`, y compris pour les signaux qu'aucune destination n'avait activés.

1070 1133 

1071Le point de terminaison poussé est construit à partir de l'URL publique, afin que les métriques et les journaux n'aient besoin d'aucune configuration OTEL de la part des développeurs ou des politiques.1134L'endpoint poussé est construit à partir de l'URL publique, de sorte que les métriques et les logs n'ont besoin d'aucune configuration OTEL de la part des développeurs ou des politiques.

1072 1135 

1073Les développeurs connectés via `/login` ne peuvent pas rediriger les exportations avec leur propre configuration OTEL :1136Les développeurs connectés via `/login` ne peuvent pas rediriger les exportations avec leur propre configuration OTEL :

1074 1137 

1075* **Variables définies localement** : Claude Code applique les variables poussées au niveau géré, afin que chacune remplace la valeur qu'un développeur définit pour elle localement.1138* **Variables définies localement** : Claude Code applique les variables poussées au niveau géré, de sorte que chacune remplace la valeur qu'un développeur définit localement.

1076* **Points de terminaison configurés localement** : avec l'exportation OTLP/HTTP activée, le CLI ignore tout point de terminaison configuré localement, que la passerelle ait poussé ou non les variables de télémétrie. Ses exportations vont à la passerelle à moins qu'une politique [nomme votre collecteur comme point de terminaison](#export-directly-to-your-collector).1139* **Endpoints configurés localement** : avec l'exportation OTLP/HTTP activée, le CLI ignore tout endpoint configuré localement, que la passerelle ait poussé ou non les variables de télémétrie. Ses exportations vont à la passerelle, à moins qu'une politique [ne nomme votre collecteur comme endpoint](#export-directly-to-your-collector).

1077 1140 

1078Sans destination `forward_to` pour un signal, la passerelle l'accepte et le rejette. Si les développeurs exportent déjà la télémétrie Claude Code vers l'un de vos collecteurs, ajoutez-le en tant que destination `forward_to`, avec les journaux ou les traces activés s'ils les exportent, afin qu'il continue à recevoir leurs données après qu'ils se connectent. Pour ignorer le relais à la place, [nommez le collecteur dans une politique](#export-directly-to-your-collector).1141Sans destination `forward_to` pour un signal, la passerelle l'accepte et l'ignore. Si des développeurs exportent déjà la télémétrie Claude Code vers l'un de vos collecteurs, ajoutez-le en tant que destination `forward_to`, avec les logs ou les traces activés s'ils les exportent, afin qu'il continue à recevoir leurs données après leur connexion. Pour plutôt ignorer le relais, [nommez le collecteur dans une politique](#export-directly-to-your-collector).

1079 1142 

1080[Traces](/docs/fr/monitoring-usage#traces-beta) nécessitent également `CLAUDE_CODE_ENHANCED_TELEMETRY_BETA=1` sur chaque client. Définissez-le dans le bloc `env` d'une politique gérée, car la passerelle ne le pousse pas. Les développeurs l'approuvent dans la même [boîte de dialogue d'approbation de sécurité](#managed) que le point de terminaison poussé déclenche déjà.1143Les [traces](/docs/fr/monitoring-usage#traces-beta) nécessitent également `CLAUDE_CODE_ENHANCED_TELEMETRY_BETA=1` sur chaque client. Définissez-la dans le bloc `env` d'une politique gérée, car la passerelle ne la pousse pas. Les développeurs l'approuvent dans la même [boîte de dialogue d'approbation de sécurité](#managed) que l'endpoint poussé déclenche déjà.

1081 1144 

1082Définissez-le à `1` uniquement dans les politiques dont vous voulez que les groupes soient tracés. Une politique qui ne le définit pas hérite de la valeur de votre politique de capture-tout `match: {}` si cette politique en définit une, selon les [règles de fusion](#managed). Pour empêcher les clients d'un groupe d'envoyer des traces même lorsqu'un développeur définit la variable localement, définissez-la à `0` dans la politique de ce groupe.1145Définissez-la à `1` uniquement dans les politiques dont vous voulez tracer les groupes. Une politique qui ne la définit pas hérite de la valeur de votre politique fourre-tout `match: {}` si celle-ci en définit une, selon les [règles de fusion](#managed). Pour empêcher les clients d'un groupe d'envoyer des traces même lorsqu'un développeur définit la variable localement, définissez-la à `0` dans la politique de ce groupe.

1083 1146 

1084Les encodages OTLP protobuf et JSON sont relayés, et tout backend compatible OpenTelemetry fonctionne comme destination.1147Les encodages OTLP protobuf et JSON sont tous deux relayés, et tout backend compatible OpenTelemetry fonctionne comme destination.

1085 1148 

1086<h4 id="add-your-own-labels">1149<h4 id="add-your-own-labels">

1087 Ajouter vos propres étiquettes1150 Ajouter vos propres étiquettes

1100 deployment.environment.name: prod1163 deployment.environment.name: prod

1101```1164```

1102 1165 

1103La passerelle refuse de démarrer lorsqu'une étiquette viole l'une de ces règles, et l'erreur de démarrage nomme l'étiquette :1166La passerelle refuse de démarrer lorsqu'une étiquette enfreint l'une de ces règles, et l'erreur de démarrage nomme l'étiquette :

1104 1167 

1105* Les noms utilisent uniquement des lettres, des chiffres, `.`, `_` et `-`1168* Les noms utilisent uniquement des lettres, des chiffres, `.`, `_` et `-`

1106* Les noms ne sont pas réservés. Comparés dans n'importe quelle casse de lettre, les noms réservés sont tout ce qui commence par `user.`, `enduser.` ou `identity.`, plus `service.name`, `service.version`, `claude.deployment_mode`, `host.arch`, `os.type`, `os.version` et `wsl.version`1169* Les noms ne sont pas réservés. Comparés sans tenir compte de la casse, les noms réservés sont tout ce qui commence par `user.`, `enduser.` ou `identity.`, plus `service.name`, `service.version`, `claude.deployment_mode`, `host.arch`, `os.type`, `os.version` et `wsl.version`

1107* Les valeurs sont des ASCII imprimables non vides sans espace et aucun de `, ; = \ " %`1170* Les valeurs sont en ASCII imprimable non vide, sans espace et sans aucun de `, ; = \ " %`

1108* Les valeurs sont au maximum 255 caractères tels que la passerelle les compte après codage en pourcentage, donc `/`, `:` et `@` comptent chacun comme trois1171* Les valeurs comptent au maximum 255 caractères tels que la passerelle les compte après encodage en pourcentage, donc `/`, `:` et `@` comptent chacun pour trois

1109* Les valeurs sont du texte, donc citez un nombre, `true` ou `false`1172* Les valeurs sont du texte, donc mettez entre guillemets un nombre, `true` ou `false`

1110 1173 

1111Vous avez besoin de Claude Code v2.1.281 ou ultérieur sur le serveur de passerelle pour définir `telemetry.resource_attributes`. Une passerelle antérieure refuse de démarrer lorsqu'elle trouve la clé. Mettez à niveau chaque réplica avant d'ajouter la clé, et supprimez la clé avant de revenir à une version antérieure.1174Vous avez besoin de Claude Code v2.1.281 ou ultérieur sur le serveur de passerelle pour définir `telemetry.resource_attributes`. Une passerelle antérieure refuse de démarrer lorsqu'elle trouve la clé. Mettez à niveau chaque réplica avant d'ajouter la clé, et supprimez la clé avant de revenir à une version antérieure.

1112 1175 

1113Les sessions de terminal connectées via `/login` reçoivent les étiquettes en tant que `OTEL_RESOURCE_ATTRIBUTES`, poussées avec les autres [variables de télémétrie](#telemetry). Si vous définissez `OTEL_RESOURCE_ATTRIBUTES` dans le bloc `env` d'une politique, les sessions de terminal que cette politique correspond obtiennent cette valeur à la place des étiquettes. Claude Desktop reçoit les étiquettes de la passerelle aux côtés de `user.email` et des autres attributs d'identité.1176Les sessions de terminal connectées via `/login` reçoivent les étiquettes sous la forme de `OTEL_RESOURCE_ATTRIBUTES`, poussée avec les autres [variables de télémétrie](#telemetry). Si vous définissez `OTEL_RESOURCE_ATTRIBUTES` dans le bloc `env` d'une politique, les sessions de terminal auxquelles correspond cette politique obtiennent cette valeur à la place des étiquettes. Claude Desktop reçoit les étiquettes de la passerelle aux côtés de `user.email` et des autres attributs d'identité.

1114 1177 

1115Claude Code copie également chaque étiquette sur chaque point de données de métrique, afin que vous puissiez filtrer les métriques par elle dans un backend qui n'indexe pas les attributs de ressource. Pour désactiver cette copie, consultez [Contrôle de la cardinalité des métriques](/docs/fr/monitoring-usage#metrics-cardinality-control).1178Claude Code copie également chaque étiquette sur chaque point de données de métrique, afin que vous puissiez filtrer les métriques par celle-ci dans un backend qui n'indexe pas les attributs de ressource. Pour désactiver cette copie, consultez [Contrôle de la cardinalité des métriques](/docs/fr/monitoring-usage#metrics-cardinality-control).

1116 1179 

1117<h4 id="export-directly-to-your-collector">1180<h4 id="export-directly-to-your-collector">

1118 Exporter directement vers votre collecteur1181 Exporter directement vers votre collecteur

1119</h4>1182</h4>

1120 1183 

1121Pour faire envoyer les sessions connectées via `/login` la télémétrie directement à votre collecteur au lieu de passer par le relais, définissez `OTEL_EXPORTER_OTLP_ENDPOINT` à l'URL de base `https://` du collecteur dans le bloc `env` d'une [politique gérée](#managed). Claude Code ajoute `/v1/metrics`, `/v1/logs` ou `/v1/traces` à l'URL que vous définissez, comme `https://otel-collector.example.com:4318`, et exporte chaque signal là-bas sur OTLP/HTTP. Nécessite Claude Code v2.1.265 ou ultérieur sur la machine de chaque développeur. Les clients antérieurs exportent via le relais.1184Pour que les sessions connectées via `/login` envoient la télémétrie directement à votre collecteur au lieu de passer par le relais, définissez `OTEL_EXPORTER_OTLP_ENDPOINT` sur l'URL de base `https://` du collecteur dans le bloc `env` d'une [politique gérée](#managed). Claude Code ajoute `/v1/metrics`, `/v1/logs` ou `/v1/traces` à l'URL que vous définissez, comme `https://otel-collector.example.com:4318`, et y exporte chaque signal via OTLP/HTTP. Nécessite Claude Code v2.1.265 ou ultérieur sur la machine de chaque développeur. Les clients antérieurs exportent via le relais.

1122 1185 

1123Pour vous authentifier auprès du collecteur, définissez `OTEL_EXPORTER_OTLP_HEADERS` dans le même bloc `env`. Les sessions n'envoient jamais le jeton de session de passerelle du développeur à un collecteur nommé de cette façon.1186Pour vous authentifier auprès du collecteur, définissez `OTEL_EXPORTER_OTLP_HEADERS` dans le même bloc `env`. Les sessions n'envoient jamais le jeton de session de passerelle du développeur à un collecteur nommé de cette façon.

1124 1187 

1125Lorsque vous ajoutez ou modifiez ce point de terminaison dans une politique, Claude Code demande à chaque développeur de l'approuver dans la [boîte de dialogue d'approbation de sécurité](#managed) avant de l'appliquer dans une session interactive.1188Lorsque vous ajoutez ou modifiez cet endpoint dans une politique, Claude Code demande à chaque développeur de l'approuver dans la [boîte de dialogue d'approbation de sécurité](#managed) avant de l'appliquer dans une session interactive.

1126 1189 

1127Claude Code vérifie le point de terminaison avant d'exporter un signal directement, et conserve ce signal sur le relais lorsqu'une vérification échoue. Les vérifications incluent :1190Claude Code vérifie l'endpoint avant d'exporter directement un signal, et conserve ce signal sur le relais lorsqu'une vérification échoue. Les vérifications incluent :

1128 1191 

1129* Le point de terminaison provient de la passerelle elle-même. Si vous définissez la même variable dans un profil MDM ou un `managed-settings.json` local, les exportations restent sur le relais.1192* L'endpoint provient de la passerelle elle-même. Si vous définissez la même variable dans un profil MDM ou un `managed-settings.json` local, les exportations restent sur le relais.

1130* L'URL utilise `https://`, ou `http://` à une adresse de bouclage1193* L'URL utilise `https://`, ou `http://` vers une adresse de bouclage

1131* L'URL se résout en un chemin se terminant par `/v1/<signal>`, sans requête ni fragment. Claude Code construit ce chemin lui-même à partir de la variable générique. Il utilise une variable par signal comme `OTEL_EXPORTER_OTLP_METRICS_ENDPOINT` telle qu'écrite, donc incluez le chemin complet là-bas.1194* L'URL se résout en un chemin se terminant par `/v1/<signal>`, sans chaîne de requête ni fragment. Claude Code construit lui-même ce chemin à partir de la variable générique. Il utilise telle quelle une variable par signal comme `OTEL_EXPORTER_OTLP_METRICS_ENDPOINT`, donc incluez-y le chemin complet.

1132* L'URL n'est pas l'hôte propre de la passerelle. Un point de terminaison adressé à la passerelle conserve le chemin du relais et son jeton de session.1195* L'URL n'est pas l'hôte de la passerelle elle-même. Un endpoint adressé à la passerelle conserve le chemin du relais et son jeton de session.

1133* Ni vous ni le développeur n'avez configuré [`otelHeadersHelper`](/docs/fr/settings-reference#otelheadershelper) dans aucune source de paramètres. Avec un helper configuré, chaque signal reste sur le relais.1196* Ni vous ni le développeur n'avez configuré [`otelHeadersHelper`](/docs/fr/settings-reference#otelheadershelper) dans une quelconque source de paramètres. Avec un helper configuré, chaque signal reste sur le relais.

1134 1197 

1135Le point de terminaison que vous nommez change uniquement où les exportations vont. Vous choisissez toujours quels signaux exportent du tout avec les sélecteurs `OTEL_*_EXPORTER`.1198L'endpoint que vous nommez change uniquement la destination des exportations. Vous choisissez toujours quels signaux sont exportés avec les sélecteurs `OTEL_*_EXPORTER`.

1136 1199 

1137Le point de terminaison seul n'active pas l'exportation, donc définissez également les variables qui le font, à moins que la passerelle ne les pousse déjà :1200L'endpoint seul n'active pas l'exportation, donc définissez également les variables qui l'activent, à moins que la passerelle ne les pousse déjà :

1138 1201 

1139* Si la passerelle [pousse déjà les variables de télémétrie](#telemetry), elles couvrent l'activation, les sélecteurs et le protocole, et votre point de terminaison explicite remplace la valeur `<public_url>` poussée. Définissez un sélecteur `OTEL_*_EXPORTER` à `otlp` vous-même uniquement pour un signal qu'aucune destination `forward_to` n'active.1202* Si la passerelle [pousse déjà les variables de télémétrie](#telemetry), elles couvrent l'activation, les sélecteurs et le protocole, et votre endpoint explicite remplace la valeur `<public_url>` poussée. Définissez vous-même un sélecteur `OTEL_*_EXPORTER` à `otlp` uniquement pour un signal qu'aucune destination `forward_to` n'active.

1140* Si ce n'est pas le cas, définissez également `CLAUDE_CODE_ENABLE_TELEMETRY=1`, les sélecteurs `OTEL_*_EXPORTER` et `OTEL_EXPORTER_OTLP_PROTOCOL=http/protobuf`.1203* Si ce n'est pas le cas, définissez également `CLAUDE_CODE_ENABLE_TELEMETRY=1`, les sélecteurs `OTEL_*_EXPORTER` et `OTEL_EXPORTER_OTLP_PROTOCOL=http/protobuf`.

1141 1204 

1142Lorsque le développeur se déconnecte, ou se connecte à une passerelle différente, les exportations vers le collecteur s'arrêtent et Claude Code rejette chaque lot restant plutôt que de l'envoyer.1205Lorsque le développeur se déconnecte, ou se connecte à une autre passerelle, les exportations vers le collecteur s'arrêtent et Claude Code abandonne chaque lot restant plutôt que de l'envoyer.

1143 1206 

1144<h4 id="when-a-destination-fails">1207<h4 id="when-a-destination-fails">

1145 Quand une destination échoue1208 Quand une destination échoue

1146</h4>1209</h4>

1147 1210 

1148La passerelle ne met pas en mémoire tampon, ne réessaie pas ou ne stocke pas la télémétrie, afin qu'elle rejette une exportation qui n'atteint pas une destination plutôt que de la livrer tard. Chaque destination réussit ou échoue par elle-même, et le client exportateur reçoit une réponse de succès de toute façon, afin qu'une livraison échouée n'apparaisse que dans le journal de la passerelle.1211La passerelle ne met pas en mémoire tampon, ne réessaie pas et ne stocke pas la télémétrie, de sorte qu'elle abandonne une exportation qui n'atteint pas une destination plutôt que de la livrer en retard. Chaque destination réussit ou échoue indépendamment, et le client exportateur reçoit une réponse de succès dans tous les cas, de sorte qu'une livraison échouée n'apparaît que dans le journal de la passerelle.

1149 1212 

1150Après cinq livraisons consécutives échouées à une destination, la passerelle met en pause le transfert vers elle en étirements de 30 secondes, enregistrant chaque pause, jusqu'à ce qu'une livraison réussisse. Toute réponse d'erreur, délai d'attente ou erreur de connexion compte comme une livraison échouée, sauf `400`, `413`, `415`, `422` et `431`, qui signifient que le collecteur a refusé la charge utile de cette exportation comme mal formée ou trop grande.1213Après cinq livraisons consécutives échouées vers une destination, la passerelle suspend le transfert vers celle-ci par périodes de 30 secondes, en journalisant chaque pause, jusqu'à ce qu'une livraison réussisse. Toute réponse d'erreur, délai d'expiration ou erreur de connexion compte comme une livraison échouée, sauf `400`, `413`, `415`, `422` et `431`, qui signifient que le collecteur a refusé le payload de cette exportation comme mal formé ou trop volumineux.

1151 1214 

1152Une charge utile refusée n'avance ni ne réinitialise le compteur d'échecs : la passerelle continue de transférer vers la destination et enregistre un avertissement nommant celle-ci et le statut, au premier refus de la destination et tous les centièmes après.1215Un payload refusé ne fait ni avancer ni réinitialiser le compteur d'échecs : la passerelle continue de transférer vers la destination et journalise un avertissement nommant celle-ci et le statut, au premier refus de la destination puis tous les cent refus.

1153 1216 

1154<h3 id="http-tuning">1217<h3 id="http-tuning">

1155 Réglage HTTP1218 Réglage HTTP

1159 1222 

1160| Bloc | Clé | Par défaut | Description |1223| Bloc | Clé | Par défaut | Description |

1161| - | - | - | - |1224| - | - | - | - |

1162| `access_control` | `allow_cidrs` / `deny_cidrs` | vide | Inbound IP allow/deny par adresse client, après résolution `trusted_proxies`. `deny_cidrs` est vérifié en premier ; un client qu'il correspond est rejeté même si `allow_cidrs` correspond également. Si `allow_cidrs` est non vide, la passerelle est par défaut refusée. `/healthz` et `/readyz` sont exempts de `allow_cidrs`. Lorsqu'un proxy de confiance envoie une entrée `X-Forwarded-For` qui n'est pas une adresse IP, le client réel est inconnu et la passerelle enregistre un avertissement une fois nommant ce qu'il faut vérifier. Lorsque l'une ou l'autre liste s'applique à la demande, elle la refuse avec `403` et la raison d'audit `xff_unparseable`. Lorsqu'aucune ne s'applique, elle sert la demande et utilise l'adresse propre du proxy comme adresse IP client pour les limites de débit par IP et l'audit. |1225| `access_control` | `allow_cidrs` / `deny_cidrs` | vide | Autorisation/refus des IP entrantes par adresse client, après résolution de `trusted_proxies`. `deny_cidrs` est vérifié en premier ; un client auquel il correspond est rejeté même si `allow_cidrs` correspond également. Si `allow_cidrs` n'est pas vide, la passerelle refuse par défaut. `/healthz` et `/readyz` sont exemptés de `allow_cidrs`. Lorsqu'un proxy de confiance envoie une entrée `X-Forwarded-For` qui n'est pas une adresse IP, le client réel est inconnu et la passerelle journalise une fois un avertissement indiquant ce qu'il faut vérifier. Lorsque l'une ou l'autre liste s'applique à la requête, elle la refuse avec `403` et la raison d'audit `xff_unparseable`. Lorsqu'aucune ne s'applique, elle sert la requête et utilise l'adresse propre du proxy comme IP client pour les limites de débit par IP et l'audit. |

1163| `limits` | `max_request_bytes` | 32 MiB | Corps de demande entrante max ; les demandes surdimensionnées obtiennent `413` avant que le corps ne soit mis en mémoire tampon. Augmentez pour les demandes de fichiers ou d'images volumineux. |1226| `limits` | `max_request_bytes` | 32 MiB | Taille max du corps de requête entrante ; les requêtes trop volumineuses obtiennent `413` avant que le corps ne soit mis en mémoire tampon. Augmentez-la pour les requêtes contenant des fichiers ou images volumineux. |

1164| `limits` | `max_request_header_bytes` | non défini | Lorsqu'il est défini, les en-têtes surdimensionnés retournent `431` |1227| `limits` | `max_request_header_bytes` | non défini | Lorsqu'il est défini, les en-têtes trop volumineux retournent `431` |

1165| `limits` | `max_url_length` | non défini | Lorsqu'il est défini, une URL trop longue retourne `414` |1228| `limits` | `max_url_length` | non défini | Lorsqu'il est défini, une URL trop longue retourne `414` |

1166| `timeouts` | `upstream_ttfb_ms` | 120000 | Attente max pour les en-têtes de réponse en amont (temps jusqu'au premier octet). Le corps de la réponse s'écoule ensuite sans plafond mural. S'applique au chemin d'amont Anthropic direct ; sur tous les autres fournisseurs, la passerelle attend jusqu'à une heure pour que la réponse commence. |1229| `timeouts` | `upstream_ttfb_ms` | 120000 | Attente max des en-têtes de réponse de l'upstream (temps jusqu'au premier octet). Le corps de la réponse est ensuite diffusé sans limite de durée. S'applique au chemin direct vers l'upstream Anthropic ; sur tous les autres fournisseurs, la passerelle attend jusqu'à une heure que la réponse commence. |

1167| `rate_limits` | `device_authorization.max` / `.window_seconds` | 30 / 600 | Limite de débit par IP sur le point de terminaison d'autorisation d'appareil non authentifié. Augmentez pour une grande organisation derrière une adresse IP de sortie partagée ou NAT. [Déploiements à grande échelle](/docs/fr/claude-apps-gateway-deploy#large-rollouts) montre comment le dimensionner. Ces limites s'appliquent uniquement au flux de connexion par octroi d'appareil, pas à l'inférence `/v1/messages`. Consultez [Résistance à la force brute du code utilisateur](/docs/fr/claude-apps-gateway-deploy#user-code-brute-force-resistance). |1230| `rate_limits` | `device_authorization.max` / `.window_seconds` | 30 / 600 | Limite de débit par IP sur l'endpoint d'autorisation d'appareil non authentifié. Augmentez-la pour une grande organisation derrière une IP de sortie partagée ou un NAT. [Déploiements à grande échelle](/docs/fr/claude-apps-gateway-deploy#large-rollouts) montre comment la dimensionner. Ces limites s'appliquent uniquement au flux de connexion par octroi d'appareil, pas à l'inférence `/v1/messages`. Consultez [Résistance à la force brute du code utilisateur](/docs/fr/claude-apps-gateway-deploy#user-code-brute-force-resistance). |

1168| `rate_limits` | `device_verify.max` / `.window_seconds` | 10 / 600 | Limite de débit par IP sur les soumissions `user_code` à `/device`. C'est ce qui empêche quelqu'un de deviner le code d'un autre développeur. [Déploiements à grande échelle](/docs/fr/claude-apps-gateway-deploy#large-rollouts) montre jusqu'où l'augmenter. |1231| `rate_limits` | `device_verify.max` / `.window_seconds` | 10 / 600 | Limite de débit par IP sur les soumissions de `user_code` à `/device`. C'est ce qui empêche quelqu'un de deviner le code d'un autre développeur. [Déploiements à grande échelle](/docs/fr/claude-apps-gateway-deploy#large-rollouts) montre jusqu'où l'augmenter. |

1169 1232 

1170Si vous laissez les deux listes `access_control` vides, ce qui est la valeur par défaut, la passerelle sert n'importe quelle adresse client, afin que seul votre réseau restreigne qui peut l'atteindre. C'est important car une passerelle peut pousser [des paramètres gérés](#managed) qui exécutent des commandes sur les machines des développeurs.1233Si vous laissez les deux listes `access_control` vides, ce qui est la valeur par défaut, la passerelle sert n'importe quelle adresse client, de sorte que seul votre réseau restreint qui peut l'atteindre. C'est important car une passerelle peut pousser des [paramètres gérés](#managed) qui exécutent des commandes sur les machines des développeurs.

1171 1234 

1172Tandis que `allow_cidrs` est vide, la passerelle avertit à deux endroits, sans changer la façon dont elle répond à aucune demande :1235Tant que `allow_cidrs` est vide, la passerelle avertit à deux endroits, sans changer la façon dont elle répond à une requête :

1173 1236 

1174* **Au démarrage** : un avertissement dans le journal opérationnel recommande d'autoriser uniquement les plages privées `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`, `100.64.0.0/10`, `127.0.0.0/8`, `::1/128` et `fc00::/7`, plus toute autre plage interne à partir de laquelle vos développeurs se connectent. Si vous liez la passerelle à une adresse de bouclage et ne définissez ni `trusted_proxies` ni `public_url`, comme dans le développement local, l'avertissement n'apparaît pas.1237* **Au démarrage** : un avertissement dans le journal opérationnel recommande d'autoriser uniquement les plages privées `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`, `100.64.0.0/10`, `127.0.0.0/8`, `::1/128` et `fc00::/7`, plus toute autre plage interne depuis laquelle vos développeurs se connectent. Si vous liez la passerelle à une adresse de bouclage et ne définissez ni `trusted_proxies` ni `public_url`, comme en développement local, l'avertissement n'apparaît pas.

1175* **À l'exécution** : la première fois qu'une demande arrive d'une adresse en dehors de ces plages privées, la passerelle enregistre un avertissement et émet un événement d'audit [`access.public_client`](/docs/fr/claude-apps-gateway-deploy#logs) portant l'adresse IP du client. Les deux se déclenchent une fois par processus. Les adresses lien-local, `169.254.0.0/16` et `fe80::/10`, ne comptent pas comme publiques. La passerelle répond à `/healthz` et `/readyz` avant cette vérification, afin que les sondes de santé à partir de plages publiques ne la déclenchent pas.1238* **À l'exécution** : la première fois qu'une requête arrive d'une adresse en dehors de ces plages privées, la passerelle journalise un avertissement et émet un [événement d'audit `access.public_client`](/docs/fr/claude-apps-gateway-deploy#logs) contenant l'IP du client. Les deux se déclenchent une fois par processus. Les adresses lien-local, `169.254.0.0/16` et `fe80::/10`, ne comptent pas comme publiques. La passerelle répond à `/healthz` et `/readyz` avant cette vérification, de sorte que les sondes de santé depuis des plages publiques ne la déclenchent pas.

1176 1239 

1177Les deux signaux utilisent l'adresse client telle que la passerelle la résout. Si un équilibreur de charge, un port-forward ou un tunnel relaie le trafic et n'est pas listé dans `listen.trusted_proxies`, la passerelle voit l'adresse du relais, qui est généralement privée, afin que ni l'avertissement à l'exécution ni une liste d'autorisation privée ne l'attrape.1240Les deux signaux utilisent l'adresse client telle que la passerelle la résout. Si un équilibreur de charge, une redirection de port ou un tunnel relaie le trafic et n'est pas listé dans `listen.trusted_proxies`, la passerelle voit l'adresse du relais, qui est généralement privée, de sorte que ni l'avertissement à l'exécution ni une liste d'autorisation privée ne détectent le trafic relayé par celui-ci.

1178 1241 

1179Derrière un tel front-end, définissez [`listen.trusted_proxies`](#listen) en premier afin que la passerelle voie les adresses client réelles, et gardez la passerelle et tout ce qui se trouve devant elle inaccessible à partir d'Internet public indépendamment.1242Derrière un tel front-end, définissez d'abord [`listen.trusted_proxies`](#listen) afin que la passerelle voie les adresses client réelles, et gardez dans tous les cas la passerelle et tout ce qui se trouve devant elle inaccessibles depuis l'Internet public.

1180 1243 

1181<h3 id="load_test_mode">1244<h3 id="load_test_mode">

1182 `load_test_mode`1245 `load_test_mode`

1183</h3>1246</h3>

1184 1247 

1185Le bloc `load_test_mode` vous permet de tester la charge d'une passerelle sans appeler un fournisseur de modèles. Pendant qu'il est activé, la passerelle construit et signe chaque demande de fournisseur comme d'habitude, la rejette au lieu de l'envoyer, et diffuse une réponse en conserve via son chemin de réponse normal. La réponse est du texte de remplissage qui commence par une phrase disant qu'elle est en conserve.1248Le bloc `load_test_mode` vous permet de tester la charge d'une passerelle sans appeler de fournisseur de modèles. Lorsqu'il est activé, la passerelle construit et signe chaque requête au fournisseur comme d'habitude, l'abandonne au lieu de l'envoyer, et diffuse une réponse préenregistrée via son chemin de réponse normal. La réponse est un texte de remplissage qui commence par une phrase indiquant qu'elle est préenregistrée.

1186 1249 

1187Nécessite Claude Code v2.1.282 ou ultérieur sur le serveur de passerelle. Une passerelle antérieure refuse de démarrer lorsqu'elle trouve la clé. Mettez à niveau chaque réplica avant d'ajouter le bloc, et supprimez le bloc avant de revenir à une version antérieure.1250Nécessite Claude Code v2.1.282 ou ultérieur sur le serveur de passerelle. Une passerelle antérieure refuse de démarrer lorsqu'elle trouve la clé. Mettez à niveau chaque réplica avant d'ajouter le bloc, et supprimez le bloc avant de revenir à une version antérieure.

1188 1251 

1189L'exemple ci-dessous active le mode avec les valeurs par défaut, une réponse d'environ 750 jetons de texte diffusée sur environ 10 secondes :1252L'exemple ci-dessous active le mode avec les valeurs par défaut, une réponse d'environ 750 tokens de texte diffusée sur environ 10 secondes :

1190 1253 

1191```yaml theme={null}1254```yaml theme={null}

1192load_test_mode:1255load_test_mode:

1197 1260 

1198| Champ | Requis | Description |1261| Champ | Requis | Description |

1199| - | - | - |1262| - | - | - |

1200| `enabled` | Oui | `true` active le mode. `false` conserve vos nombres dans le fichier avec le mode désactivé. La passerelle refuse de démarrer si le bloc est présent sans lui. |1263| `enabled` | Oui | `true` active le mode. `false` conserve vos valeurs dans le fichier avec le mode désactivé. La passerelle refuse de démarrer si le bloc est présent sans ce champ. |

1201| `reply_tokens` | Non | Par défaut `750`. Environ combien de jetons de texte chaque réponse en conserve porte, un nombre entier de 1 à 100000. |1264| `reply_tokens` | Non | Par défaut `750`. Nombre approximatif de tokens de texte que contient chaque réponse préenregistrée, un nombre entier de 1 à 100000. |

1202| `reply_seconds` | Non | Par défaut `9.5`. Combien de temps une réponse diffusée prend, de 0 à 600. `0` envoie la réponse entière à la fois. Une réponse à une demande non diffusée revient toujours à la fois. |1265| `reply_seconds` | Non | Par défaut `9.5`. Durée d'une réponse diffusée, de 0 à 600. `0` envoie la réponse entière d'un coup. Une réponse à une requête sans streaming revient toujours d'un coup. |

1203 1266 

1204Un test de charge dans ce mode couvre la passerelle, votre Postgres et tout ce qui se trouve devant la passerelle. Il ne couvre pas les limites, la vitesse ou le chemin réseau du fournisseur.1267Un test de charge dans ce mode couvre la passerelle, votre Postgres et tout ce qui se trouve devant la passerelle. Il ne couvre pas les limites, la vitesse ni le chemin réseau du fournisseur.

1205 1268 

1206Aucune demande de modèle n'est envoyée au fournisseur, afin que le CPU d'une réplica par demande soit une estimation et se lit plus bas que la production, qui chiffre également son trafic vers le fournisseur. Confirmez un nombre de réplicas avec un petit pilote contre le vrai fournisseur. Avant v2.1.283, l'estimation se lit beaucoup plus bas.1269Aucune requête de modèle n'est envoyée au fournisseur, de sorte que le CPU par requête d'un réplica est une estimation et apparaît inférieur à celui de la production, qui chiffre également son trafic vers le fournisseur. Confirmez un nombre de réplicas avec un petit pilote auprès du vrai fournisseur. Avant v2.1.283, l'estimation apparaissait bien plus basse.

1207 1270 

1208Tandis que le mode est activé, une demande peut porter un en-tête `x-load-test-user` contenant un nombre entier de jusqu'à sept chiffres. La passerelle compte chaque nombre comme un développeur séparé, avec l'e-mail et les groupes du développeur dont le jeton est venu avec la demande.1271Lorsque le mode est activé, une requête peut porter un en-tête `x-load-test-user` contenant un nombre entier d'au plus sept chiffres. La passerelle compte chaque nombre comme un développeur distinct, avec l'e-mail et les groupes du développeur dont le jeton accompagnait la requête.

1209 1272 

1210Donnez au déploiement de test de charge sa propre base de données vide, car la passerelle refuse de démarrer avec le mode activé par rapport à une base de données dans laquelle un développeur a déjà dépensé quelque chose.1273Donnez au déploiement de test de charge sa propre base de données vide, car la passerelle refuse de démarrer avec le mode activé sur une base de données dans laquelle un développeur a déjà dépensé quoi que ce soit.

1211 1274 

1212<Warning>1275<Warning>

1213 Ne jamais activer ceci pour une passerelle que les développeurs utilisent. Chaque demande obtient la réponse en conserve et aucun modèle n'est appelé. La passerelle enregistre un avertissement `load_test_mode is on` au démarrage et marque chaque événement d'audit [`inference`](/docs/fr/claude-apps-gateway-deploy#logs) avec `load_test: true` tandis que le mode est activé.1276 N'activez jamais ce mode sur une passerelle que les développeurs utilisent. Chaque requête obtient la réponse préenregistrée et aucun modèle n'est appelé. La passerelle journalise un avertissement `load_test_mode is on` au démarrage et marque chaque [événement d'audit](/docs/fr/claude-apps-gateway-deploy#logs) `inference` avec `load_test: true` tant que le mode est activé.

1214</Warning>1277</Warning>

1215 1278 

1216<h2 id="complete-example">1279<h2 id="complete-example">