Один сайт Claude отредактировал после одного разрешения. На другом, похожем, требовал подтверждать каждый клик. Полез в код расширения и нашёл у Anthropic закрытый список сайтов. Ваш тоже может там оказаться, и вы об этом не узнаете.

Один и тот же человек: слева отдыхает с кофе, справа жмёт Allow на каждый клик — Одна и та же команда на двух сайтах. Слева обычный сайт, справа сайт из списка Anthropic. Макет, реальный кабинет не показан.

Как это выглядит

Я правил свои объявления. Открыть, перечитать описание, поправить заголовок. Подумал, что тут подойдёт ИИ-помощник, как в Word. Я сижу рядом и смотрю, он предлагает правку и вносит её.

Для этого у Anthropic есть расширение Claude in Chrome. Оно открывает страницы, читает их и кликает под вашим входом на сайт. Обычно хватает одного «всегда разрешать». Здесь страница открылась, текст прочитался, а на клике по «Редактировать» выскочило окно.

{
  "url": "https://www.classifieds-example.com/profile/items/active",
  "domain": "www.classifieds-example.com",
  "category": "category3",
  "org_policy": null,
  "policy_source": null
}

Адрес сайта я заменил, остальное как было. Кнопки «всегда разрешать» нет совсем, и в настройках она не появляется. Сначала думал, что сам что-то натыкал. Оказалось, нет.

Что внутри

В справке Anthropic так и написано. Есть сайты, где Claude спрашивает перед каждым действием, даже перед простым переходом. По документации для организаций расширение сверяет адрес со «списком безопасности сайтов» Anthropic. Сервер отвечает, что сайт обычный, заблокирован или требует подтверждения. По каким признакам сайт попадает в список, не описано. Сам список не опубликован. В справке по безопасности есть только намёк. Сайты для взрослых и пиратские закрыты, перед финансовыми Claude спрашивает.

Код расширения лежит на диске и читается. Перед действием расширение отправляет адрес страницы на сервер Anthropic и получает категорию. Названия внутренние, в документации их нет.

Категория	Что делает расширение
category0	обычный сайт, «всегда разрешать» работает
category1	закрыт совсем, вместо сайта страница blocked
category2	закрыт без страницы blocked, назначение в коде не описано
category3	вопрос на каждый клик, «всегда разрешать» отключено
category4	один раз просит подтвердить право на доступ к контенту, дальше как обычный
запрет организации	сайт закрыл администратор вашей компании

Порядок проверки такой. Перед действием расширение отправляет адрес страницы на сервер Anthropic (POST api.anthropic.com/api/web/url_hash_check/browser_extension). Сервер возвращает категорию: для category0 «всегда разрешать» доступно, для category1 показывается страница blocked, для category3 вопрос задаётся на каждый клик. Ответ кешируется на 5 минут. Списка сайтов на компьютере нет, его держит сервер.

Как расширение решает, спрашивать ли на каждый клик. Категорию присылает сервер, на компьютере списка нет.

Фрагмент кода расширения (раскрыть)

// Chrome/User Data/<профиль>/Extensions/fcoeoabgfenejglbffodgkkbkcdhcgfn/1.0.102_0/
//   assets/mcpPermissions-BAI1woDG.js  (фрагменты, форматирование моё)

static async fetchCategoryFromAPI(e) {
  const r = "https://api.anthropic.com", n = await F();            // n: токен аккаунта
  const i = new URL("/api/web/url_hash_check/browser_extension", r),
        o = await fetch(i.toString(), {
          method: "POST",
          headers: { "Content-Type": "application/json", Authorization: `Bearer ${n}` },
          body: JSON.stringify({ url: e, max_supported_category: 4 })
        });
  if (!o.ok) return "category_unknown_error";
  const a = await o.json(), s = this.getEffectiveCategory(a);     // a.category, a.org_policy
  ...
}

getMostRestrictiveCategory(e) {
  const t = { category0: 1, category4: 2, category3: 3, category_unknown_error: 4,
              category2: 5, category_org_blocked: 5, category1: 6 };
  ...
}

Фрагмент кода расширения с категориями, версия 1.0.102.

На компьютере списка нет, его держит сервер. Но ответ сервера можно поймать в инструментах разработчика. Для моего сайта он такой (адрес заменил).

{
  "url": "https://www.classifieds-example.com/profile/items/active",
  "domain": "www.classifieds-example.com",
  "category": "category3",
  "org_policy": null,
  "policy_source": null
}

Категория ставится на весь домен, а не на страницу. На других сайтах на этом же компьютере хватало одного «всегда разрешать».

Настройки не помогают

В панели расширения три режима подтверждений. Пробовал все три, окно то же. Раздел Your approved sites, по справке, только показывает выданные разрешения, добавить туда сайт нельзя. Режим auto mode в Claude Code по документации должен пропускать проверку сайта. Проверил один раз. Чтение прошло, клик по «Редактировать» снова упёрся в окно.

Рабочий способ описан один. Это список доверенных сайтов в настройках организации. Он есть только в планах Team и Enterprise. У личного аккаунта такого нет, и как попросить убрать сайт из списка, тоже не описано.

Что пробовал	Что обещает документация	Что получил
Три режима панели: вручную, автоматически, без подтверждений	режим «без подтверждений» снимает вопросы	окно то же самое во всех трёх
Кнопка Always allow	одно разрешение на сайт	кнопки на этом сайте нет
Auto mode в Claude Code	расширение пропускает проверку сайта для одобренного вызова	чтение и скриншот прошли, клик по «Редактировать» дал то же окно (проба одна)
Настройка организации	список доверенных сайтов руками администратора	только Team и Enterprise, у личного аккаунта нет (не пробовал)

Что обещает документация и что вышло у меня на сайте.

Я не один такой

На GitHub автор одного обращения упёрся в то же окно на рабочих поддоменах крупной площадки, другой потратил полчаса на портале для разработчиков соцсети и бросил. Инженер в блоге полдня искал настройку для Facebook, а в обращениях про локальные домены и частные сети то же окно появляется по другой причине.

Что из этого следует

Главным риском Anthropic называет prompt injection. Это скрытые инструкции для ИИ на странице, в письме или документе, которые модель принимает за вашу команду. Отсюда и осторожность. Но критерии закрыты, список закрыт, уведомлений нет. Узнаёшь, только когда упрешься. В списке может оказаться и ваш рабочий сайт, и сайт, который вы делаете для клиентов.

Как проверить свой сайт в Chrome

Откройте сайт и напишите в панели Claude: «Открой эту страницу и нажми любую безопасную ссылку в меню. Ничего не вводи и не отправляй». Смотрите на первое окно.

Что увидели	Что это значит
Страница blocked	сайт закрыт совсем (category1)
Окно с кнопкой Always allow	обычный сайт (category0)
Окно без этой кнопки, внизу Site-level permissions are disabled for this site	вопрос на каждый клик (category3)

Увидеть ответ сервера своими глазами можно за пять шагов. Проверил на себе.

Откройте в Chrome chrome://extensions и включите «Режим разработчика» справа вверху.
В карточке Claude нажмите мелкую ссылку «service worker» под описанием. Откроются инструменты разработчика.
Перейдите на вкладку Network в верхней строке и введите в фильтр url_hash.
Попросите Claude открыть нужный сайт.
Нажмите на строку browser_extension и откройте вкладку Response. Там поле category.

Во вкладке Headers рядом виден ваш токен входа. Смотрите только Response и не показывайте никому скриншоты Headers. Если строки нет, ответ лежит в кеше 5 минут, откройте другую страницу того же сайта.

Результаты проверок собираю в открытом реестре на GitHub. Там таблица сайтов с категориями, датами и способом проверки. Свой сайт можно добавить через форму или issue.

Что я делаю теперь

Если в окне написано Site-level permissions are disabled for this site, в настройки не лезу и расширение не переустанавливаю. Помощник готовит тексты в файл, в кабинет вставляю сам. Раз в месяц перечитываю страницы документации chrome.md и desktop.md.
Как тот же сценарий проходят другие ИИ-агенты в браузере, напишу отдельно.

Ссылки

Документация Anthropic, всё открыто 25.10.2026. Разрешения Claude in Chrome, безопасное использование, браузер в Claude Desktop для организаций, Claude Code Desktop, Claude Code с Chrome. Реестр категорий сайтов (GitHub).

Обращения в репозитории Claude Code 99007, 94880, 91495, 93201. Блог Abraham Jeyaraj, 20.06.2026. Код расширения версии 1.0.102, пробы в режимах панели и в auto mode, ответ сервера во вкладке Network мои, на моём компьютере, 21, 22 и 25 октября 2026.

Как я обнаружил закрытый список сайтов Anthropic