Perguntas frequentes sobre a Compliance API

Para uma organização Claude Enterprise, o proprietário principal habilita a Compliance API em claude.ai > Organization settings > API, e a habilitação se propaga da organização pai para todas as organizações vinculadas. Para uma organização Claude Console independente elegível (uma sem organização pai), um administrador da organização a habilita na página Compliance (platform.claude.com/settings/security) no Claude Console. Uma organização Claude Console vinculada a uma organização pai não habilita a Compliance API por conta própria; ela é habilitada a partir da organização pai. Consulte Configurar a Compliance API para ver as etapas.

Sim. Para uma organização Claude Console independente, um administrador da organização pode desativar o botão Compliance API na página Compliance (platform.claude.com/settings/security) no Claude Console, o mesmo lugar onde ele é ativado. Enquanto a Compliance API estiver desativada, nenhum evento de atividade é registrado para sua organização, portanto o Activity Feed não recebe novos eventos. Se sua organização estiver inscrita no Access Transparency, desativar a Compliance API também interrompe a entrega de eventos do Access Transparency. A atividade que não é registrada enquanto a Compliance API está desativada não pode ser recuperada posteriormente. Reativar a Compliance API retoma o registro a partir desse ponto; a atividade que já foi registrada não é excluída.

Não. Desativar a Compliance API impede que novos eventos de atividade sejam registrados, mas não exclui eventos que já foram capturados enquanto ela estava ativada. O registro é retomado a partir do ponto em que a Compliance API é reativada.

Sim. Quando a Compliance API é desativada (ou reativada) no Claude Console, a alteração é registrada como uma atividade org_compliance_api_settings_updated no Activity Feed, de modo que sua trilha de auditoria mostra quem alterou a configuração e quando. Essa atividade é uma exceção à interrupção do registro: a desativação é registrada mesmo que nenhuma outra atividade seja registrada enquanto a Compliance API está desativada.

Isso é esperado. Uma organização pai Claude Enterprise centraliza a identidade em todas as organizações vinculadas; ela não executa cargas de trabalho e não aparece no Claude Console de forma alguma. O Claude Console só mostra as organizações Claude Console vinculadas abaixo da organização pai.

Para chamar a Compliance API, você cria um de dois tipos de chave:

• Para acesso completo à Compliance API (Activity Feed mais chats, arquivos, projetos, sessões, usuários, metadados da organização e configurações da organização), o proprietário principal da organização pai (ou um proprietário de organização, para uma chave restrita apenas à sua própria organização) cria uma Compliance Access Key no claude.ai.
• Para acesso apenas ao Activity Feed, um administrador da organização em sua organização Claude Console cria uma chave de Admin API no Claude Console. A Compliance API já deve estar habilitada para a organização, e o administrador deve criar a chave de Admin API enquanto a Compliance API estiver habilitada para que ela carregue o escopo read:compliance_activities.

Não. Uma chave de API do Claude (sk-ant-api03-...) autentica chamadas aos modelos Claude na Claude API; ela não autentica chamadas a /v1/compliance/*. A Compliance API aceita apenas Compliance Access Keys (sk-ant-api01-...) e chaves de Admin API (sk-ant-admin01-...). Consulte De qual chave você precisa? para ver o mapeamento completo.

O único escopo da Compliance API de uma chave de Admin API é read:compliance_activities, que autoriza apenas o Activity Feed. Todos os outros endpoints da Compliance API exigem um escopo que somente uma Compliance Access Key criada no claude.ai pode ter. Chamar um endpoint de conteúdo ou de diretório com uma chave de Admin API retorna um 403 indicando o escopo que aquela família de endpoints exige: read:compliance_user_data para chats, arquivos, projetos, anexos de projetos, sessões, usuários e membros de grupos, e read:compliance_org_data para organizações, funções, grupos e configurações efetivas da organização. Por exemplo, listar chats retorna a seguinte resposta.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['api:admin', 'read:compliance_activities'] Needed one of: ['read:compliance_user_data', 'read:org_audit']"
  }
}

Para acessar endpoints de conteúdo, o proprietário principal da sua organização pai (ou um proprietário de organização, apenas para sua própria organização) deve criar uma Compliance Access Key com read:compliance_user_data (e delete:compliance_user_data para exclusões), ou read:compliance_org_data para endpoints de organização, função, grupo e configurações efetivas. Uma organização Claude Console independente (uma sem organização pai) não pode criar uma Compliance Access Key, portanto os endpoints de conteúdo não estão disponíveis para ela; ela pode consultar apenas o Activity Feed. Consulte Tratar erros da Compliance API para ver o catálogo completo por endpoint.

O Activity Feed retém 6 anos de atividade da organização, e novos eventos podem ser consultados dentro de 1 minuto após ocorrerem. O feed retrocede no máximo até o ponto em que a Compliance API foi habilitada pela primeira vez para sua organização: o registro não é retroativo, e a atividade anterior à habilitação não é preenchida retroativamente. A retenção do Activity Feed é independente da política de retenção de conteúdo da sua organização: o conteúdo de chats, arquivos e projetos segue as regras de retenção configuradas para sua organização (indefinida por padrão), a menos que um usuário o exclua antes.

Não. O Activity Feed registra quem fez o quê e quando (autenticação, criação de chats, uploads de arquivos, alterações em projetos, ações administrativas e eventos de recursos semelhantes), mas não captura o texto do prompt nem as respostas do modelo dentro de chats ou mensagens.

Para recuperar corpos de mensagens e conteúdos de arquivos, use os endpoints de chat, mensagem e arquivo com uma Compliance Access Key que carregue read:compliance_user_data. A mesma chave e escopo recuperam transcrições de sessões nas máquinas dos usuários (como sessões do Cowork e do Claude Code) por meio dos endpoints de sessões locais, e transcrições de sessões do Cowork na nuvem por meio dos endpoints de sessões remotas. Esses endpoints servem apenas conteúdo do Claude Enterprise; cargas de trabalho do Claude Console, e cargas de trabalho da Claude API autenticadas com uma chave de API, expõem eventos administrativos e de recursos por meio do Activity Feed, mas não expõem texto de prompts nem respostas do modelo por meio da Compliance API.

Sim. Sessões do Cowork no Claude Desktop executadas nas máquinas dos usuários, sessões do Claude Code (no terminal, no Claude Desktop ou em uma extensão de IDE), sessões no aplicativo desktop Claude Science, sessões do Claude for Microsoft 365 (no Excel, PowerPoint, Word e Outlook) e chats na extensão de navegador Claude in Chrome são capturados enquanto os usuários estão conectados com sua conta Claude Enterprise e estão disponíveis por meio dos endpoints de sessões locais. Sessões do Cowork iniciadas no claude.ai na web ou no celular, que são executadas na nuvem em ambientes gerenciados pela Anthropic, estão disponíveis por meio dos endpoints de sessões remotas. Cada família tem um endpoint de listagem que retorna os metadados da sessão e um endpoint de mensagens que retorna a transcrição da sessão (prompts do usuário, respostas do assistente e chamadas de ferramentas e seus resultados). A família local adiciona um terceiro endpoint que recupera os metadados de uma sessão. Todos esses endpoints usam sua Compliance Access Key existente com read:compliance_user_data; nenhuma nova chave ou escopo é necessário.

As sessões locais são capturadas à medida que suas solicitações chegam à Claude API, portanto nada é instalado no dispositivo, e a atividade no dispositivo que nunca chega à API não é capturada. Sessões do Claude Code autenticadas com uma chave de API do Claude Console, sessões do Claude Code executadas por meio de uma plataforma de nuvem de terceiros (Amazon Bedrock, Google Cloud ou Microsoft Foundry) e sessões na nuvem do Claude Code, que são executadas em infraestrutura de nuvem em vez da máquina do usuário, não são capturadas. Essas sessões na nuvem não são sessões remotas, embora ambas sejam executadas na nuvem; os endpoints de sessões remotas retornam apenas sessões do Cowork. Cada execução de uma tarefa agendada do Cowork na nuvem é uma sessão remota: o endpoint de listagem de sessões remotas a retorna como uma sessão pertencente a um agente (agent_id é definido, e started_by_user identifica a pessoa que iniciou a execução), e o endpoint de mensagens retorna sua transcrição, mas nenhum deles retorna o nome ou o agendamento da tarefa. As rotinas do Claude Code executadas na nuvem são sessões na nuvem do Claude Code, portanto os endpoints de sessão não as retornam. Organizações com prontidão para HIPAA habilitada obtêm dados de sessões locais apenas para Cowork e Claude Code, armazenados por 30 dias, e sessões para as quais a "zero data retention" (retenção zero de dados), ou ZDR, está em vigor são excluídas.

Os endpoints de sessões locais e remotas são estáveis para sessões do Cowork, Claude Code e Claude for Microsoft 365; a cobertura de sessões do Claude Science e do Claude in Chrome está em beta.

As transcrições de sessões locais e remotas carregam prompts do usuário, respostas do assistente e chamadas e resultados de ferramentas. Para sessões locais (nas máquinas dos usuários), isso é o que foi pedido ao Claude e o que ele retornou, não o que aconteceu no dispositivo.

Consulte Sessões nas máquinas dos usuários e Sessões na nuvem para ver os endpoints e parâmetros.

O registro OpenTelemetry do Cowork e o monitoramento do Claude Code se sobrepõem aos endpoints de sessões, mas atendem a necessidades diferentes: o OTEL transmite telemetria por evento para a infraestrutura que você executa à medida que a atividade acontece, enquanto a Compliance API permite recuperar transcrições retidas por sessão da Anthropic posteriormente. O OTEL também pode capturar prompts e respostas, mas a Anthropic recomenda a Compliance API para recuperar o conteúdo de sessões do Cowork e do Claude Code. Para uma tabela comparando sessões locais, sessões remotas e OTEL, consulte a introdução de Recuperar transcrições de sessões.

Os eventos OTEL e os registros da Compliance API compartilham identificadores de organização e de usuário, portanto você pode uni-los.

Não. Exclusões realizadas por meio da Compliance API são imediatas, permanentes e irrecuperáveis. O conteúdo de um chat que um usuário exclui no claude.ai também não pode ser recuperado: a Compliance API ainda retorna o chat e suas mensagens, com deleted_at preenchido, mas não o conteúdo deles. Uma sessão remota que um usuário exclui também não pode ser recuperada, e os endpoints de sessões remotas deixam de retorná-la. Extraia qualquer conteúdo que você precise reter (para retenção legal ou arquivamento) enquanto ele ainda estiver disponível. Consulte Planejar a retenção de conteúdo para saber quando exportar conteúdo para seu próprio arquivo.

A Compliance API tem limites de cobertura conhecidos: o Activity Feed registra eventos de recursos, mas não texto de prompts ou respostas; cargas de trabalho do Claude Console e da Claude API autenticadas com uma chave de API não expõem nenhum conteúdo de mensagem; e o conteúdo removido pela sua política de retenção, excluído por um usuário no claude.ai ou excluído permanentemente por meio da Compliance API não é recuperável. Para ver os limites de cobertura completos e o contrato de entrega, consulte Garantias de entrega e completude.

As transcrições de sessão têm seus próprios limites. As sessões locais são capturadas apenas à medida que suas solicitações chegam à Claude API, portanto a atividade no dispositivo que nunca chega à API não é capturada. Sessões do Claude Code autenticadas com uma chave de API do Claude Console, sessões do Claude Code executadas por meio de uma plataforma de nuvem de terceiros (Amazon Bedrock, Google Cloud ou Microsoft Foundry) e sessões na nuvem do Claude Code (incluindo rotinas do Claude Code executadas na nuvem), que são executadas em infraestrutura de nuvem em vez da máquina do usuário, também não são capturadas; organizações com prontidão para HIPAA habilitada obtêm dados de sessões locais apenas para Cowork e Claude Code, armazenados por 30 dias; e sessões para as quais a retenção zero de dados está em vigor são excluídas. Nenhuma transcrição de sessão, local ou remota, inclui blocos de pensamento ou definições de ferramentas. Organizações que usam chaves de criptografia gerenciadas pelo cliente recebem transcrições de sessões locais normalmente. Enquanto a chave não puder ser usada, o endpoint de mensagens retorna 503 Service Unavailable em vez do conteúdo da transcrição, e os metadados da sessão continuam sendo listados.

Nenhum endpoint da Compliance API lista as tarefas agendadas do Cowork ou as rotinas do Claude Code de uma organização.

Una os registros Activity ao seu SIEM por actor.user_id, actor.email_address, actor.ip_address, actor.user_agent e created_at. Consulte Projetar sua integração de conformidade para ver a tabela de chaves de junção e os padrões de consumo.

Sim. Uma organização pai Claude Enterprise pode ter muitas organizações vinculadas, incluindo uma combinação de organizações claude.ai e organizações Claude Console (por exemplo, organizações Claude Console separadas de produção e de homologação). Identidade, SSO e SCIM são compartilhados em toda a organização pai; faturamento, membros, projetos e chaves de API permanecem separados para cada organização. A habilitação da Compliance API acontece no nível da organização pai e se propaga para todas as organizações vinculadas, e uma Compliance Access Key que cobre a organização pai e carrega read:compliance_org_data pode enumerar todas as organizações abaixo da organização pai por meio de GET /v1/compliance/organizations.

As atividades são retornadas da mais recente para a mais antiga, com empates em created_at resolvidos pelo ID da atividade. Para alcançar o presente, percorra as páginas adiante por before_id até que has_more seja false; o first_id dessa resposta final é seu novo cursor e você chegou ao presente. O loop completo, incluindo o preenchimento inicial e as condições de segurança para a persistência do cursor, está em Leituras incrementais orientadas por cursor.

Para testar apenas o Activity Feed, você não precisa de uma organização Claude Enterprise: um administrador da organização pode habilitar a Compliance API em uma organização de teste Claude Console independente elegível e consultar o feed com uma nova chave de Admin API. Se a página Compliance (platform.claude.com/settings/security) dessa organização no Claude Console mostrar um erro de página não encontrada, ou não mostrar a seção Compliance API, a organização não é elegível para habilitação por autoatendimento.

Para testar todos os endpoints, configure uma organização sandbox Claude Enterprise vinculada a uma organização Claude Console sob a mesma organização pai. Isso permite que o sandbox exercite tanto o Activity Feed (por meio de uma chave de Admin API) quanto os endpoints de chat, arquivo, projeto e sessão (por meio de uma Compliance Access Key).

1. Provisione a organização Claude Enterprise. Entre em contato com seu representante da Anthropic para configurar uma organização sandbox Claude Enterprise. Em uma organização Claude Enterprise existente, o proprietário principal pode habilitar a Compliance API diretamente no claude.ai.
2. Crie a organização Claude Console. Crie você mesmo uma organização Claude Console em platform.claude.com usando o mesmo endereço de e-mail.
3. Vincule as duas organizações. Faça login como proprietário principal da organização Claude Enterprise, acesse claude.ai > Organization settings > Identity and access e use Merge Organizations para vincular as duas sob uma organização pai compartilhada.

Depois de vinculadas, siga Configurar a Compliance API para criar chaves e começar a consultar. As organizações de teste usam o mesmo processo de habilitação que as organizações de produção.