Sécurité

Claude RC donne le contrôle de sessions Claude Code sur le PC, y compris en mode bypassPermissions si on le choisit, et une saisie directe dans le terminal des sessions. Qui a le jeton contrôle votre compte sur la machine.

Ce qui protège l'accès

Protection	Détail
Écoute locale	le service n'écoute que sur 127.0.0.1, sauf avec --lan
Tailscale	l'accès à distance passe par Tailscale Serve, en HTTPS, réservé à vos appareils
Jeton	24 octets aléatoires, créés à l'installation dans ~/.config/claude-rc-web/env (lisible par vous seul)
Cookie	le lien ?token=… pose un cookie HttpOnly, SameSite=Strict (et Secure en HTTPS), puis redirige
Requêtes qui modifient	elles exigent en plus l'en-tête X-Token, qu'un autre site ne peut pas envoyer
Adresses	seuls les réseaux privés et Tailscale sont acceptés (403 sinon)
Noms d'hôte	un nom inconnu est refusé (421) : un site extérieur ne peut pas se faire passer pour la machine
Journal	le jeton n'y est pas écrit

Bonnes pratiques

• Ne partagez pas le jeton ni les liens ?token=…, et ne les mettez pas dans une capture d'écran.
• Gardez le service réservé à vos appareils : Tailscale Serve le fait, alors que Tailscale Funnel ou un tunnel public le rendraient accessible à tous.
• Gardez le mode auto par défaut. Réservez bypassPermissions à une session ponctuelle, dans un dépôt dont vous connaissez le contenu.
• Pour changer le jeton : remplacez la valeur de RC_TOKEN dans ~/.config/claude-rc-web/env, puis systemctl --user restart claude-rc-web.

Points connus

Une revue de sécurité a donné un avis favorable, avec des améliorations prévues :

• la confiance automatique du dossier vaut pour tout dossier lancé : un dépôt piégé (hooks dans .claude/settings.json) s'exécute sans question ;
• le jeton est transmis à l'environnement des sessions Claude ;
• la connexion par lien place le jeton dans l'historique du navigateur.