Elige un modo de permisos

Modos disponibles

Acciones que ningún modo aprueba automáticamente

• Herramientas coincidentes por una regla de pregunta explícita
• Herramientas de conector que su organización estableció en ask, en sesiones donde esa configuración llega a Claude Code
• Herramientas que requieren interacción del usuario: la herramienta integrada AskUserQuestion y herramientas MCP marcadas requiresUserInteraction
• Eliminaciones reconocidas de rm y rmdir en rutas críticas, que ninguna regla de permitir ni "allow" de un hook PreToolUse aprueba, y comandos Bash marcados con Dangerous rm operation not ruled out
• Las salvaguardas de mensajería entre sesiones
• Lecturas fuera de los directorios de trabajo mientras permissions.blockReadsOutsideWorkingDirectories está activado: los comandos Bash reconocidos de lectura de archivos generan avisos incluso en modo automático y modo bypassPermissions, y también lo hace cualquier reintento sin sandbox que necesita aprobación para ejecutarse fuera del sandbox. Requiere Claude Code v2.1.257 o posterior. Un comando que el analizador de shell no puede rastrear, como uno que cambia de directorio más de una vez o ejecuta un subshell, genera avisos de la misma manera incluso cuando no nombra ninguna ruta externa. Este aviso no se aplica cuando el comando se ejecuta en el sandbox y el sandbox aplica el bloqueo.
• Escrituras fuera de los directorios de trabajo mientras permissions.blockWritesOutsideWorkingDirectories está activado: Claude Code rechaza las llamadas a Write, Edit y NotebookEdit allí, aparte de algunos de sus propios archivos. La clave no limita los comandos de shell, las herramientas MCP ni los programas que ejecutan los hooks, así que usa sandboxing para limitar dónde escriben los comandos de shell. Requiere Claude Code v2.1.314 o posterior.

Configuraciones comunes

Qué modo inicia una sesión

1. La bandera --permission-mode o --dangerously-skip-permissions
2. permissions.defaultMode en un archivo de configuración Si estableces "auto" en .claude/settings.json o .claude/settings.local.json, el valor no entra en vigor, y Claude Code luego usa el valor predeterminado integrado en lugar de un defaultMode de ~/.claude/settings.json. Si estableces "bypassPermissions" en esos dos archivos, tampoco entra en vigor, y la sesión comienza en modo Manual. Los otros valores se aplican desde cualquier archivo de configuración.
3. El valor predeterminado integrado

• En una terminal, una vez, en la parte superior de la sesión
• En la extensión de VS Code, como una tarjeta en la pantalla de nueva conversación que permanece hasta que la descartes

Llamadas a herramientas denegadas en ejecuciones de claude -p y del Agent SDK

• Agrega reglas de permiso: Claude ejecuta las llamadas que enumeres. Pasa --allowedTools "Bash(npm test)" a claude -p, o establece la opción de herramientas permitidas de tu SDK.
• Comienza en modo automático: un modelo clasificador revisa las llamadas, así que no necesitas enumerar nada de antemano. Pasa --permission-mode auto a claude -p, o establece la opción de modo de permisos de tu SDK.

claude -p "Run the test suite and fix any failures" --permission-mode auto

const options = {
  permissionMode: "auto"
};

from claude_agent_sdk import ClaudeAgentOptions

options = ClaudeAgentOptions(permission_mode="auto")

Comienza en un modo de permisos diferente

{
  "permissions": {
    "defaultMode": "default"
  }
}

Modos de permisos con la configuración HIPAA

• Cambiar a modo automático: presiona Shift+Tab o usa el control de tu interfaz
• Comenzar en modo automático: pasa --permission-mode auto, o establece permissions.defaultMode en auto en tu configuración de usuario, o en la configuración administrada para toda tu organización. Consulta Comienza en un modo de permisos diferente
• Eliminar el modo automático: establece permissions.disableAutoMode en "disable" en la configuración administrada
• Bloquear bypassPermissions: establece permissions.disableBypassPermissionsMode en "disable" en la configuración administrada

Cambiar modos de permisos

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

Aprobar automáticamente ediciones de archivos con modo acceptEdits

• Rutas fuera de ese alcance
• Escrituras en rutas protegidas
• Eliminaciones rm y rmdir reconocidas como eliminaciones de rutas críticas
• touch con cualquier cosa más allá de rutas de archivo simples, por ejemplo una opción, un glob o un prefijo como timeout 5 o LANG=C
• Todos los demás comandos Bash excepto el conjunto integrado de solo lectura

claude --permission-mode acceptEdits

Analiza antes de editar con el modo plan

• Sesiones interactivas de terminal con bypass permissions disponible: ni el clasificador ni una solicitud de permiso se aplican a los comandos de planificación. Omite todas las comprobaciones con el modo bypassPermissions cubre las pocas cosas que aún piden confirmación allí.
• Modo automático disponible y el ajuste useAutoModeDuringPlan activado, como lo está de forma predeterminada: el clasificador revisa los comandos de shell distintos de las eliminaciones de rutas críticas en lugar de pedirte confirmación. Los comandos aprobados se ejecutan y los rechazados se bloquean.
• Modo automático no disponible, o useAutoModeDuringPlan desactivado: los comandos fuera del conjunto integrado de solo lectura solicitan aprobación, incluso cuando el modo de permitir automáticamente del sandbox está habilitado.

claude --permission-mode plan

Revisa y aprueba un plan

• Yes, and use auto mode: aprueba e inicia en modo automático. Si el modo automático no está disponible para tu sesión, por ejemplo porque tu organización lo desactivó, esta opción dice Yes, auto-accept edits. Si iniciaste la sesión con bypass permissions habilitado, la opción dice en cambio Yes, and switch to BYPASS PERMISSIONS (no further prompts) for this session.
• Yes, manually approve edits: aprueba y revisa cada edición individualmente.
• No, keep planning: permanece en el modo plan y dile a Claude qué cambiar.

Establece el modo plan como predeterminado

Elimina las solicitudes de permiso con el modo automático

• Plan: todos los planes.
• Organización: en Team y Enterprise, el modo automático está disponible de forma predeterminada. Los administradores pueden desactivarlo para la organización configurando permissions.disableAutoMode como "disable" en la configuración administrada.
• Modelo: en la API de Anthropic y en Claude Platform on AWS, Claude Opus 4.6 o posterior, Sonnet 4.6 o posterior, Haiku 5.5 o un modelo Fable. En Amazon Bedrock, Google Cloud’s Agent Platform, Microsoft Foundry y las sesiones con sesión iniciada de Claude apps gateway, solo Claude Sonnet 5 o posterior, Opus 4.7 o posterior, Haiku 5.5 y los modelos Fable. Los modelos anteriores, incluidos Sonnet 4.5, Opus 4.5, Haiku 4.5 y los modelos claude-3, no son compatibles con ningún proveedor.
• Proveedor: disponible de forma predeterminada en la API de Anthropic, Claude Platform on AWS, Amazon Bedrock, Google Cloud’s Agent Platform, Microsoft Foundry y las sesiones con sesión iniciada de Claude apps gateway.

Modo automático en Bedrock, Agent Platform o Foundry

• Sesiones interactivas de la terminal y de VS Code: para iniciarlas en un modo de permisos distinto del automático, configura permissions.defaultMode como se describe en Iniciar en un modo de permisos diferente, o elige uno en el indicador de modo de la extensión de VS Code. En qué modo se inicia una sesión enumera las versiones de Claude Code que las inician en modo automático.
• Ejecuciones de claude -p y del Agent SDK: para iniciar una en modo automático, pasa --permission-mode auto a claude -p, o pasa permissionMode: "auto" en TypeScript o permission_mode="auto" en Python. Si no pasas ningún modo de permisos, consulta Llamadas a herramientas denegadas en ejecuciones de claude -p y del Agent SDK, que también cubre versiones anteriores de Claude Code.

Revisión del clasificador del lado del servidor

• Una conexión directa a la API de Anthropic: en sesiones interactivas de la terminal y en sesiones de -p, del Agent SDK, de la extensión de VS Code y de la aplicación de escritorio, sea cual sea tu plan o tipo de cuenta, a medida que Anthropic lo implementa. Comprueba tu tipo de sesión con estas versiones mínimas de Claude Code:
  • En sesiones interactivas de la terminal, pedírselo al servidor requiere Claude Code v2.1.271 o posterior en los planes Pro, Max, Ultra y Team. En los planes Enterprise y las cuentas de la API de Claude, esas sesiones requieren v2.1.278 o posterior.
  • En sesiones de -p y de la extensión de VS Code, pedírselo al servidor requiere Claude Code v2.1.278 o posterior
  • En sesiones del Agent SDK y de la aplicación de escritorio, pedírselo al servidor requiere Claude Code v2.1.281 o posterior
  • A partir de v2.1.282, una sesión que no obtiene feature flags, por ejemplo porque desactivaste la telemetría, se lo pide al servidor de forma predeterminada en cualquier tipo de sesión
• Un proveedor de nube, o un gateway o proxy de LLM: en Claude Platform on AWS, Amazon Bedrock, Google Cloud’s Agent Platform y Microsoft Foundry, y siempre que apuntes ANTHROPIC_BASE_URL a un gateway o proxy de LLM, sea cual sea tu plan. Pedírselo al servidor de forma predeterminada requiere Claude Code v2.1.278 o posterior.
• Una sesión con sesión iniciada de Claude apps gateway: requiere Claude Code v2.1.280 o posterior
• Una sesión en la nube en un entorno alojado por Anthropic: sea cual sea tu plan, cuando la inicias desde la web, la aplicación móvil o la aplicación de escritorio con Cloud seleccionado. Las sesiones iniciadas por una tarea programada en la nube se lo piden al servidor a medida que Anthropic lo implementa.

• El servidor no revisa la sesión: una respuesta se completa sin resultados de revisión, o el servidor responde que no revisa esta sesión. Las causas más comunes son un gateway o proxy de LLM que descarta la solicitud de revisión o los resultados, y una plataforma, región o credencial que aún no tiene comprobaciones del lado del servidor. Claude Code recurre a sus propias solicitudes al clasificador. Una vez que esa alternativa se mantiene durante el resto de la sesión, muestra un aviso sobre los cargos por solicitudes al clasificador en las cuentas donde esas solicitudes se facturan.
• El servidor no da ningún veredicto para una acción: Claude Code deniega la acción en lugar de ejecutarla sin revisión. En cualquier conexión, esto ocurre cuando la respuesta termina antes de que lleguen los resultados de la revisión o los resultados llegan en un formato que Claude Code no puede leer. Un gateway o proxy de LLM que acorta las respuestas o reescribe los resultados puede causar cualquiera de los dos. En una conexión directa a la API de Anthropic, también ocurre cuando la comprobación del servidor falla para la acción, por ejemplo, por tiempo de espera agotado. The server returned no safety verdict explica el mensaje de denegación, qué sucede cuando las denegaciones se repiten y qué hacer. Si un hook o un mod cambia la entrada de una acción después de la revisión del servidor, Claude Code puede denegar la acción sin veredicto. En las sesiones interactivas de la terminal y de VS Code con una conexión directa a la API de Anthropic, el texto de la denegación incluye a hook changed this call's input after auto mode reviewed it. Su entrada de error explica qué hacer.

Modelo clasificador predeterminado

Elige el modelo clasificador

{
  "env": {
    "CLAUDE_CODE_AUTO_MODE_MODEL": "claude-sonnet-4-6"
  }
}

Cuando tu modelo no revisa

Comprueba qué modelo usó el clasificador

claude --permission-mode auto --debug-file classifier-debug.log

• Tu modelo después de model=: la variable surtió efecto
• Un modelo distinto después de model=: busca ignoring CLAUDE_CODE_AUTO_MODE_MODEL en el registro, que indica el motivo y cualquier paso que debas seguir
• No hay ninguna línea así: lee Auto mode server en /status en el prompt de Claude Code:
  • Enabled: el servidor está configurado para revisar las llamadas de esta sesión.
  • Disabled: esta comprobación aún no ha probado tu modelo. Asegúrate de que el modo de permisos sea auto y de que ninguna regla de permisos coincida con curl, y luego vuelve a ejecutar la comprobación con el sandbox desactivado.

Qué bloquea el clasificador de forma predeterminada

• Descargar y ejecutar código, como curl | bash
• Enviar datos sensibles a endpoints externos
• Despliegues y migraciones de producción
• Eliminación masiva en almacenamiento en la nube
• Otorgar permisos de IAM o de repositorio
• Modificar infraestructura compartida
• Destruir de forma irreversible archivos que existían antes de la sesión
• Force push
• Hacer commit o push de un cambio que, al ejecutarse, enviaría secretos o datos sensibles fuera del repositorio, o ampliaría lo que expone un despliegue. Esto abarca un workflow de CI o una configuración de despliegue que pasa un secreto a un destino que aún no lo recibe, un script o paso de configuración que lee un almacén de secretos y envía los datos fuera, y un cambio de configuración que amplía lo que publica un despliegue, como un ajuste de registro de paquetes, visibilidad, artefactos o sourcemaps. La comprobación se aplica en cualquier rama, se aplica incluso cuando el repositorio es público, y se activa cuando se hace commit o push del cambio, tanto si ese commit o push desencadena el pipeline como si no; para superarla hay que nombrar el efecto de la ejecución, no solo el commit o el push
• git reset --hard, git checkout -- ., git restore ., git clean -fd, git stash drop o git stash clear, que el clasificador presume que descartarían cambios sin commit
• git commit --amend cuando el commit en HEAD no se creó en esta sesión
• A partir de v2.1.198, git commit --amend cuando ya se hizo push del commit en HEAD. No se bloquea una simple reformulación del mensaje: --amend -m sin nada nuevo en el área de preparación, sobre un commit que Claude creó durante esta sesión
• terraform destroy, pulumi destroy, cdk destroy o terragrunt destroy, y aplicar un plan que destruye recursos
• Escribir en un gestor de secretos, o cambiar registros DNS o certificados TLS
• Fusionar un pull request que ninguna persona ha aprobado, aprobar el propio pull request de Claude o desactivar comprobaciones de CI
• Publicar un comentario que es en sí mismo un comando para la automatización, como atlantis apply o el /deploy o /merge de un bot
• Activar, desactivar, escalar gradualmente o eliminar un feature flag de producción
• Aplicar cambios de infraestructura a un alcance de IaC protegido, o drenar y eliminar nodos de un clúster
• Escrituras en un clúster de cómputo compartido que van más allá del recurso que nombraste, como un selector de etiquetas o --all que alcanza trabajos de otros usuarios
• Crear recursos de Kubernetes que se ejecutan en todos los nodos o interceptan el tráfico del clúster, como DaemonSets y webhooks de admisión
• Shells interactivos o redirecciones de puertos hacia un destino remoto sensible
• Abrir un túnel o un reverse shell que haga accesible un servicio local desde internet pública
• Imprimir una credencial o un token activo en la transcripción o en un archivo
• Acceder a una ubicación incluida como ubicación de datos sensibles en tu entorno, copiar datos desde una de ellas o enviar datos de una de ellas a un público que la entrada excluye
• Desviar la instalación de un paquete de tu registro interno de paquetes hacia un registro público. Esto se aplica cuando un registro interno o mirror figura en tu entorno o cuando le has dicho a Claude en la conversación que existe uno
• Ejecutar un comando con un flag que desactiva una protección de seguridad, como --insecure
• Lanzar un bucle de agente autónomo que se ejecuta sin aprobación humana ni sandbox, como uno iniciado con --dangerously-skip-permissions o --no-sandbox. Esto incluye ejecutar un agente de terceros o un harness de evaluación con el aislamiento y la aprobación por acción desactivados, como un runner iniciado con --yes-always
• Acciones del navegador de Claude in Chrome que podrían enviar contenido de la página, cookies o credenciales fuera del origen
• Eliminar archivos en /tmp, $TMPDIR u otro directorio compartido de uso temporal o de caché mediante comodín, glob o filtro de antigüedad en lugar de una ruta específica con nombre
• Incluir detalles sensibles en contenido enviado, subido, publicado o escrito para otras personas o sistemas compartidos, cuando tu propio mensaje no autorizó esos detalles para ese destinatario. Los cuerpos de pull requests e issues, los mensajes de commit y los comentarios cuentan como este tipo de contenido saliente cuando el repositorio está fuera del límite de confianza o es público, incluidos los repositorios públicos de tu propia organización; las rutas de archivos internas, los nombres en clave, los datos de respuestas de API en vivo como correos electrónicos o identificadores de cuenta, y los identificadores de infraestructura cuentan como detalles sensibles. Los datos personales en vivo de una respuesta de API en el cuerpo de un pull request o un issue, como una dirección de correo electrónico, un identificador de cuenta u organización, o una métrica de uso, requieren que nombres esos detalles y el destinatario, sin importar la visibilidad del repositorio ni el límite de confianza
• Enviar pulsaciones de teclas al propio panel de tmux de Claude Code para controlar su propia interfaz, lo que el clasificador trata como que Claude cambia sus propios permisos o supervisión
• Comentar, eliminar o forzar que pase una prueba o aserción que protege el comportamiento de seguridad, como la autenticación, el control de acceso, la validación de entradas o el sandboxing
• Eliminar o desmantelar un recurso con estado que Claude no creó en la sesión, cuando no se aplica ninguna regla de eliminación más específica y no nombraste ese recurso
• Redirigir una URL base de API, un endpoint de proxy, un receptor de webhooks o un mirror de registro a un host de terceros que no encaja con la tarea, incluso en archivos de ejemplo como .env.example
• Cambiar adónde van los push con git remote set-url o git remote add, a menos que hayas nombrado el nuevo remoto
• Hacer push de secretos o de datos personales o confiados a un repositorio que se sabe que es público, o hacer push allí de material confidencial que no forma parte del trabajo propio de ese repositorio. El tema propio de un repositorio de dotfiles es la única excepción para datos personales o confiados, y el contenido de un repositorio privado que llega a cualquier superficie pública se bloquea de la misma manera. Cuando no está establecida la visibilidad de un repositorio, el clasificador no bloquea solo por eso; en su lugar, juzga el contenido según las demás reglas
• Abrir un pull request contra otro repositorio u organización, hacer fork con gh repo fork o hacer push a un repositorio de terceros, a menos que hayas nombrado ese destino externo
• Que contenido de un almacén local sensible, o de un archivo cuyo nombre, ruta o tipo lo marque como sensible, entre en un commit, un push, el texto de un pull request o issue, un gist o paste, o la publicación de un paquete, a menos que hayas nombrado tanto el origen como el destino. Las transcripciones de sesiones y los registros de conversaciones, las carpetas ocultas de credenciales y configuración como claves SSH, credenciales de la nube, perfiles de navegador e historial del shell, y las exportaciones de datos de usuario cuentan, y que el repositorio sea privado no lo exime
• Escribir en las transcripciones de sesiones de Claude Code, los archivos de historial .jsonl en ~/.claude/projects/ o en tu directorio de configuración configurado, ya sea directamente o mediante un comando de shell. La regla también cubre las líneas de metadatos que Claude Code agrega a cada entrada de la transcripción para sus propias comprobaciones. Leer una transcripción no se bloquea
• Una eliminación forzada recursiva como rm -rf "$VAR" o Remove-Item -Recurse -Force $dir cuyo destino es una variable de shell que no se asigna en la conversación que ve el clasificador, o un glob con raíz en una variable así. Sin esa asignación, el clasificador no puede saber qué eliminaría el comando. El bloqueo se levanta cuando nombras la ruta exacta que se elimina, o cuando Claude vuelve a ejecutar la eliminación con la ruta literal resuelta escrita en el comando. Las eliminaciones cuyo destino el clasificador puede resolver no se ven afectadas. Un glob directamente bajo la variable, como en rm -rf "$VAR"/*, es en cambio una ruta crítica. Para un destino de Remove-Item que es un * solo o termina en /* o \*, consulta Remove-Item en PowerShell: Claude Code deniega ese comando directamente.

• Solicitar credenciales al endpoint de metadatos de instancias de la nube, como 169.254.169.254, o autenticar explícitamente una llamada a la nube, a un clúster o a un registro con la propia identidad de cuenta de servicio o de nodo de la máquina
• Llegar a un host público por una ruta distinta de una solicitud directa, como un túnel, un reverse shell o una configuración de resolvedor o proxy reescrita para apuntar al exterior
• Leer credenciales que pertenecen al host y no a tu tarea, como certificados de nodo o la autenticación del registro de contenedores del nodo
• Conectarse a contenedores, pods o VMs hermanos que Claude no inició, o al nodo bajo el contenedor, o escanearlos

• Publicar o escribir un enlace a un servicio público de paste, diagramas o intercambio de datos en un mensaje, en el texto de un pull request o issue, en un documento o en cualquier otro lugar donde el enlace se abrirá u obtendrá, cuando la propia URL lleva el contenido que se comparte, a menos que hayas nombrado ese servicio

• Operaciones con archivos locales en tu directorio de trabajo
• Instalar dependencias declaradas en tus lock files o manifiestos
• Leer .env y enviar credenciales a su API correspondiente
• Solicitudes HTTP de solo lectura
• Hacer push a cualquier rama del repositorio en el que estás trabajando, incluida la rama predeterminada. No se incluye una rama no predeterminada cuyo nombre la marca como destino de despliegue o publicación, como production o gh-pages: el clasificador juzga un push allí según sus propios criterios. El contenido de un push se sigue comprobando con las demás reglas del clasificador, y las reglas permissions.deny aún pueden bloquear comandos de push tal como están escritos en todos los modos. La protección de ramas del propio remoto sigue aplicándose.
• Eliminar exactamente los trabajos que Claude creó antes en la misma sesión
• Leer, revisar o escribir código relacionado con la seguridad, configuraciones y modelos de amenazas como parte de tu tarea
• Mensajes entre agentes que trabajan juntos en la misma sesión multiagente
• Enviar datos a los dominios, buckets y servicios de confianza que enumeras en environment. Esto cubre solo el flujo de datos, no las operaciones destructivas ni de credenciales sobre la misma infraestructura
• Navegación de Claude in Chrome a un dominio interno de confianza, a localhost o a una URL que nombraste

La primera lectura fuera de los directorios de trabajo

• Yes, and keep allowing any reads outside the working directories: la lectura se ejecuta, las lecturas posteriores fuera de los directorios de trabajo se ejecutan como antes, y Claude Code registra tu respuesta para que la solicitud no vuelva a aparecer
• No, and block reads outside the working directories from now on: la lectura se rechaza, y Claude Code configura permissions.blockReadsOutsideWorkingDirectories como true en tu configuración de usuario, lo que hace que las herramientas de archivos rechacen esas lecturas en esta sesión y en todas las posteriores, y en todos los modos de permisos. Para levantar el bloqueo, elimina el ajuste de todos los archivos de configuración que lo establezcan y luego reinicia cada sesión en ejecución. Para un solo directorio en esta sesión, usa /add-dir.
• No, and ask again next time: la lectura se rechaza, y la siguiente lectura fuera de los directorios de trabajo vuelve a pedir permiso
• Yes, but ask again next time: la lectura se ejecuta, no se guarda nada, y la siguiente lectura fuera de los directorios de trabajo vuelve a pedir permiso

Límites que estableces en la conversación

Aprobaciones que estableces en la conversación

• Nombra la acción y sus detalles: tu mensaje tiene que nombrar la acción y el elemento específico que la hace peligrosa, como la rama de un force push. Nombrar solo el verbo no levanta nada, así que “puedes hacer force push” deja el bloqueo en su lugar.
• Espera que cubra una sola acción: una aprobación cubre la acción destructiva que nombraste, así que una acción posterior vuelve a bloquearse a menos que hayas otorgado la aprobación como permanente. Para dejar de aprobar un patrón habitual una acción a la vez, agrégalo a autoMode.allow.
• Algunos bloqueos se mantienen: el orden de precedencia del clasificador establece a qué bloqueos puede llegar tu aprobación. Para ejecutar un paso que no levantará, sal del modo automático y responde la solicitud de permiso.

Cuando el modo automático recurre a otra opción

• Una acción bloqueada: Claude Code muestra una notificación y enumera la acción en /permissions en la pestaña Recently blocked, donde puedes aprobar la acción para que Claude pueda reintentarla.
• Bloqueos repetidos: si el clasificador bloquea una acción 3 veces seguidas o 20 veces en total, el modo automático se pausa y Claude Code vuelve a pedir permiso. Aprobar la acción solicitada reanuda el modo automático. Consulta Umbrales de bloqueos repetidos para ver cómo se cuentan los bloqueos.
• Sin veredicto del clasificador: cuando una comprobación de seguridad independiente del modo automático rechaza la propia solicitud del clasificador, o la respuesta del clasificador no se puede analizar, Claude Code bloquea la acción sin la notificación ni la entrada en Recently blocked. Consulta Auto mode cannot determine the safety of an action para ver el mensaje que muestra cada caso y qué hacer.
• Sin veredicto del servidor: con la revisión del clasificador del lado del servidor, Claude Code deniega una acción para la que el servidor no da veredicto, y puede detener el turno después de diez respuestas seguidas sin veredicto. Consulta The server returned no safety verdict.
• Un cambio de modo durante una comprobación: si cambias de modo de permisos mientras hay una comprobación del clasificador pendiente, Claude Code descarta un veredicto que el nuevo modo no habría solicitado. En su lugar, se te pide aprobación, o la acción se deniega automáticamente en el modo dontAsk.

Umbrales de bloqueos repetidos

Cómo evalúa las acciones el modo automático

Permitir solo herramientas preaprobadas con modo dontAsk

• Las eliminaciones reconocidas con rm y rmdir dirigidas a rutas críticas, como rm -rf / y rm -rf ~
• Las lecturas desde una ruta de red

claude --permission-mode dontAsk

Omitir todas las comprobaciones con modo bypassPermissions

• El aviso de aprobación isolatePeerMachines para mensajes a sus sesiones más allá de esta máquina aún aparece.
• Cuando no se aplica ningún valor crossSessionInbound, Claude Code retiene un mensaje entrante de otra de sus sesiones para su aprobación, y entrega sin preguntar solo cuando la sesión de envío se identifica a sí misma como también omitiendo avisos de permisos. Si deja el modo de permisos mientras se retienen mensajes, Claude Code reaaplica las reglas entrantes y entrega cualquier mensaje retenido que ahora aceptan.

claude --permission-mode bypassPermissions

• Si acepta: Claude Code establece skipDangerousModePermissionPrompt en true en ~/.claude/settings.json, por lo que las sesiones posteriores omiten el diálogo. Para ver el diálogo nuevamente, elimine la clave de ese archivo o establézcala en false. La referencia skipDangerousModePermissionPrompt enumera los otros archivos de configuración donde usted u su organización pueden establecerla.
• Si rechaza: Claude Code sale.

• Si no hay ninguna aceptación registrada, claude --bg --permission-mode bypassPermissions se rechaza. Acepta primero el diálogo en una sesión interactiva.
• Si skipDangerousModePermissionPrompt está establecido solo en .claude/settings.local.json, la sesión en segundo plano se inicia con la solicitud de omisión ignorada:
  • Si se ignora --allow-dangerously-skip-permissions, bypassPermissions queda fuera de su ciclo de Shift+Tab.
  • Si se ignora --permission-mode bypassPermissions o --dangerously-skip-permissions, la sesión se inicia en modo Manual en su lugar.
  Agrega "skipDangerousModePermissionPrompt": true a ~/.claude/settings.json y luego inicia una nueva sesión en segundo plano.

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

Omisión de permisos ignorada en una sesión en segundo plano

Bypass permissions was requested at launch and ignored · if that was you, ~/.claude/settings.json needs "skipDangerousModePermissionPrompt": true

claude agents muestra la advertencia de omisión de permisos que las sesiones interactivas omiten

Rutas protegidas

• Para la carpeta .claude/ del proyecto: Sí, y permitir que Claude edite archivos en la carpeta .claude de este proyecto para esta sesión
• Para ~/.claude/: Sí, y permitir que Claude edite archivos en su carpeta ~/.claude para esta sesión

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude, con algunas excepciones, como:
  • Los propios git worktrees de Claude en .claude/worktrees/
  • Los propios archivos de plan de la sesión actual en ~/.claude/plans/, o en el plansDirectory que configures
  • El directorio temporal propio de una sesión en segundo plano en ~/.claude/jobs/<id>/tmp/
  • Los archivos markdown en el directorio de memoria automática del proyecto, como ~/.claude/projects/<project>/memory/, en una sesión iniciada sin --restricted
  • Los archivos markdown en un directorio de memoria de subagente, como .claude/agent-memory/, en una sesión iniciada sin --restricted
• Un directorio que cargó con --plugin-dir, porque Claude Code recarga y ejecuta el código de un mod desde él cuando un archivo cambia
• ~/.claude/dev-mods/, o dev-mods/ en el directorio al que apunta CLAUDE_CONFIG_DIR, donde Claude guarda los mods que escribe para ti

• .gitconfig, .gitmodules
• .bashrc, .bash_profile, .bash_login, .bash_aliases, .bash_logout, .zshrc, .zprofile, .zshenv, .zlogin, .zlogout, .profile, .envrc
• .npmrc, .yarnrc, .yarnrc.yml, .pnp.cjs, .pnp.loader.mjs, .pnpmfile.cjs, bunfig.toml, .bunfig.toml
• .bazelrc, .bazelversion, .bazeliskrc
• .pre-commit-config.yaml, lefthook.yml, lefthook.yaml, .lefthook.yml, .lefthook.yaml
• gradle-wrapper.properties, maven-wrapper.properties
• .devcontainer.json
• .ripgreprc, pyrightconfig.json
• .mcp.json, .claude.json
• remote-settings.json, la copia almacenada de la configuración administrada por el servidor de tu organización, y los archivos de firma, sincronización y consentimiento que Claude Code guarda junto con ella, en ~/.claude o en el directorio al que apunta CLAUDE_CONFIG_DIR
• Un archivo que pasaste a --settings, --mcp-config o --agents al iniciar la sesión
• El archivo al que apunta tu archivo de configuración de usuario, de proyecto o local cuando el propio archivo de configuración es un enlace simbólico, por ejemplo hacia un repositorio de dotfiles. En los modos que enrutan escrituras en rutas protegidas al clasificador, una escritura en este archivo te pide confirmación en su lugar, incluso cuando coincide una regla de permitir. Si la ruta propia del archivo también es la de un archivo de configuración, como .claude/settings.json en otra carpeta, la escritura va al clasificador como ocurre con otras escrituras en rutas protegidas

Rutas críticas

• Reglas de denegación: una regla de denegación que coincide con el comando lo bloquea, aunque un mod que instalaste aún puede aprobar algunas de esas llamadas
• Sandboxing: el sandboxing hace que el sistema operativo limite en qué rutas pueden escribir los comandos Bash. Los comandos ejecutados en el sandbox aún pueden eliminar tu directorio de trabajo
• Modo estricto del sandbox: de forma predeterminada, un comando ejecutado en el sandbox puede reintentarse fuera del sandbox, y una regla de permiso o el modo bypassPermissions puede aprobar ese reintento sin solicitud de permiso. El modo estricto del sandbox desactiva el reintento

Qué rutas son críticas

• La raíz del sistema de archivos
• Directorios de nivel superior, lo que significa cualquier hijo directo de la raíz, como /usr, /etc o /data
• Tu directorio home. En Windows, su nombre corto 8.3 también cuenta, como C:\Users\LONGNA~1
• Raíces de unidad de Windows y sus directorios de nivel superior, como C:\ y C:\Windows. Formas de escritura como \\?\C:\ y \\localhost\C$ cuentan como C:\
• Su directorio de trabajo y sus padres
• Sus directorios de trabajo adicionales y sus padres, pero solo cuando la eliminación es un glob bajo uno de ellos, como rm -rf <dir>/*. rm -rf <dir> en el directorio en sí no desencadena esta verificación

Otros objetivos que cuentan como rutas críticas

Eliminaciones dentro de comandos anidados y scripts en línea

• Comandos anidados: una subshell con (...), un grupo de llaves con { ...; }, sustitución de comandos con $(...) o comillas invertidas, o sustitución de procesos con <(...). Claude Code encuentra una eliminación de ruta crítica ya sea que esté dentro de la forma anidada, como en (rm -rf ~) o echo "$(rm -rf ~)", o en otro lugar del mismo comando.
• Scripts en línea: un script pasado con -c a sh, bash, zsh o un shell POSIX similar, como en bash -c 'rm -rf ~'.
  • Cuando el script está entre comillas dobles, el shell que lo invoca expande sus variables antes de que el shell interno reciba el script. En find . -name '*.tmp' -exec sh -c "rm -rf \"$1\"/*" _ {} \;, el comando se expande a una eliminación desde la raíz del sistema de archivos una vez por coincidencia, y Claude Code lo trata como una eliminación de ruta crítica.
  • Un script entre comillas simples que vincula $1 a un valor real, como hace sh -c 'rm -rf "$1"/*' _ {}, no se marca.

Reescribir un comando marcado

• Un glob o barra diagonal final bajo una variable como $DIR: proteja cada expansión para que el shell se detenga con un error cuando la variable no esté configurada o esté vacía, como en rm -rf "${DIR:?}"/*, o use una ruta literal. Una eliminación cuyas expansiones están todas protegidas de esa manera pasa esta verificación, por lo que en modo bypassPermissions se ejecuta sin un aviso a menos que otra verificación de ruta crítica la marque.
• Un glob o barra diagonal final bajo una variable que normalmente está configurada, como $HOME: use una ruta literal.
• Una variable asignada desde una sustitución de impresión de directorio: use una ruta literal. Una protección "${D:?}" no borra esta verificación, porque la variable no está vacía.
• Un objetivo que es solo salida de sustitución de comando: ejecute la sustitución por su cuenta primero, luego elimine las rutas literales que imprime. El aviso le dice a Claude que haga lo mismo.

La solicitud Dangerous rm operation not ruled out

Dangerous rm operation not ruled out — the shell may read this command differently than it was parsed

This command could not be checked for dangerous rm operations: the shell may read it differently than it was parsed.

La solicitud de unidad montada

Rutas que reciben la solicitud de unidad montada

Desactivar la solicitud de unidad montada

export CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1
claude

• Variable en un archivo de configuración: Claude Code ignora la variable en el bloque env de un archivo de configuración, sea cual sea el tipo de archivo de configuración, así que establece la variable donde inicias claude
• Sesión iniciada sin la variable: vuelve a iniciar claude desde un entorno donde la variable esté establecida, ya que una sesión en ejecución no la detecta

Eliminaciones que siguen pidiendo confirmación con la solicitud de unidad montada desactivada

• Objetivo fuera de tus directorios de trabajo: rm -rf /Volumes/USB/other mientras trabajas en /Volumes/USB/project recibe una solicitud de permiso. Para evitar esa solicitud, agrega a la sesión un directorio que contenga el objetivo
• Objetivo con un *: rm -rf build/* recibe una solicitud de permiso. Aprueba esa solicitud para ejecutar el comando, o pídele a Claude que nombre cada objetivo sin un *
• Objetivo que es una ruta crítica: /mnt en sí y tu directorio de trabajo en sí siguen siendo rutas críticas, así que rm -rf sobre cualquiera de ellos recibe una solicitud de permiso. Aprueba esa solicitud para permitir que el rm se ejecute

Eliminaciones de rutas críticas en cada modo de permisos

Límites de tiempo y denegaciones en modos auto y bypassPermissions

• Si la cuenta regresiva se agota antes de que responda, Claude Code deniega el comando y le dice a Claude qué hacer en su lugar, para que una sesión desatendida siga funcionando.
• Presione cualquier tecla mientras el aviso está abierto para detener la cuenta regresiva y mantener el aviso esperando su respuesta.
• Después de que tres de estos avisos se agoten sin respuesta en una sesión, Claude Code deja de mostrarlos y deniega las eliminaciones de rutas críticas posteriores inmediatamente. Enviar un nuevo mensaje reinicia el contador.

• bypassPermissions: la solicitud de permiso de la terminal no tiene límite de tiempo, y el panel de chat de VS Code te pregunta
• auto: decide el clasificador, en la terminal, el panel de chat de VS Code, las ejecuciones con -p y las sesiones de Agent SDK

{
  "claudeCode.environmentVariables": [
    { "name": "CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT", "value": "1" }
  ]
}

Desactivar la solicitud de eliminación de ruta crítica en modo bypassPermissions

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

$env:CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS = "1"
claude --permission-mode bypassPermissions

set CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

Avisos de inicio sobre la solicitud de eliminación de ruta crítica

• is set, so dangerous rm commands can run without a prompt: las eliminaciones pueden ejecutarse sin solicitud de permiso una vez que se han cargado la configuración administrada y los hooks de plugins. Si las eliminaciones siguen recibiendo una solicitud de permiso o una denegación, consulta Por qué la solicitud de eliminación de ruta crítica sigue activa
• has no effect in this session: las eliminaciones mantienen su solicitud de permiso o denegación habitual durante toda la sesión. Para cambiarlo, busca tu caso en Por qué la solicitud de eliminación de ruta crítica sigue activa
• has no effect while the Windows registry cannot be read for managed settings: las eliminaciones mantienen su solicitud de permiso o denegación habitual, y la variable surte efecto sin reiniciar si una lectura posterior del registro de Windows tiene éxito. Si las eliminaciones siguen recibiendo una solicitud de permiso o una denegación, consulta Por qué la solicitud de eliminación de ruta crítica sigue activa

Por qué la solicitud de eliminación de ruta crítica sigue activa

• Otra cosa gestiona las solicitudes de permiso: un --permission-prompt-tool o un callback canUseTool de Agent SDK sin --permission-prompts none, un hook PermissionRequest con cualquier matcher, o un mod que gestiona ese evento. Quita el hook, mod, herramienta o callback y reinicia claude
• El panel de chat de la extensión de VS Code o la aplicación de escritorio ejecuta la sesión: inicia claude en una terminal, como la terminal integrada de un IDE
• Una regla cubre Bash, Edit o Read: una regla de denegación o ask que se dirige a una de estas herramientas, al iniciar o cuando Claude Code la lee durante la sesión, aunque la quites después. Quita la regla y reinicia claude. Para dejar fuera una herramienta, usa --tools en lugar de una regla de denegación
• permissions.blockReadsOutsideWorkingDirectories está activado: quita el ajuste de cada archivo de configuración que lo establezca en true y luego reinicia claude
• claude se ejecuta dentro de otra sesión: un claude iniciado desde la herramienta Bash de una sesión o desde un hook, incluso con la variable en su línea de comandos. Inicia claude desde tu propio shell. No confíes en este límite de sesiones anidadas como barrera de seguridad
• Un hook PreToolUse responde ask para una eliminación: cambia lo que devuelve el hook
• Claude Code inicia la sesión por ti: las sesiones en segundo plano, los compañeros de un equipo de agentes en paneles divididos y las sesiones que crea un servidor de Remote Control se inician sin la variable. Inicia claude desde tu propio shell
• No se puede leer la configuración administrada: Claude Code no ha leído correctamente las fuentes de tu configuración administrada. Si la configuración administrada por el servidor sigue sin cargarse, consulta Remote managed settings failed to load. Para cualquier otro fallo que no sea una consulta al registro de Windows, pide a quien administra esa fuente que lo corrija
• No se puede consultar el registro de Windows: en Windows y en WSL, la variable necesita una respuesta del registro de Windows, incluso cuando WSL no lo usa para la configuración. La consulta puede fallar durante toda la sesión en un Windows que no esté en inglés, en WSL con la interoperabilidad desactivada o en un contenedor sobre un kernel de WSL2. Si la interoperabilidad está desactivada, actívala. De lo contrario, ejecuta esas eliminaciones tú mismo

Remove-Item en PowerShell

• Rutas del sistema: la raíz del sistema de archivos y sus directorios de nivel superior, raíces de unidad y sus directorios de nivel superior, y su directorio de inicio. Claude Code deniega el comando en todos los modos, sin solicitarle.
• Comodines: un * desnudo, o cualquier objetivo que termine en /* o \*, incluido un glob bajo una variable de shell como $dir/*. Claude Code deniega el comando en todos los modos, sin solicitarle, antes de que el clasificador lo vea.
• Su directorio de trabajo o uno de sus padres, con -Recurse: Claude Code trata el comando como cualquier otro que necesita aprobación en su modo de permisos, por lo que le solicita en modos que solicitan, lo envía al clasificador en modo auto y lo deniega en modo dontAsk. El modo bypassPermissions omite esta verificación.

Véase también

• Permisos: reglas de permitir, solicitar y denegar; políticas administradas
• Configurar modo automático: indique al clasificador qué infraestructura confía su organización
• Hooks: lógica de permisos personalizada mediante hooks PreToolUse y PermissionRequest
• Seguridad: salvaguardas y mejores prácticas
• Sandboxing: aislamiento del sistema de archivos y red para comandos Bash
• Modo no interactivo: ejecutar Claude Code con la bandera -p