Seguridad

Tactic Remote da a tu iPhone control sobre un terminal en tu Mac. Esta página cubre qué está protegido, cómo y qué deberías configurar.

Autenticación con API key

El servidor soporta autenticación con API key. Cuando está configurada, cada conexión debe proporcionar la clave correcta.

export CLAUDE_REMOTE_API_KEY="tu-clave-secreta"

La app de Mac puede generar una clave aleatoria por ti.

Cuándo es obligatoria:

• Siempre obligatoria para acceso público/túnel (muy recomendado).
• Opcional para acceso solo local, pero sigue siendo buena práctica.

Reglas:

• No compartas tu API key en capturas de pantalla o chats.
• Rota la clave si sospechas que fue expuesta.
• La app de Mac almacena la clave en el Llavero de macOS.

Restricciones de ruta

Puedes restringir a qué directorios puede acceder Claude Code:

export CLAUDE_REMOTE_ALLOWED_PATH="/Users/tu-usuario/proyectos"

Por defecto está configurado a tu directorio home (~). Reducirlo a tu carpeta de proyectos previene que Claude acceda a archivos no relacionados.

Bloqueado por defecto: El servidor bloquea el acceso a directorios sensibles como .ssh, .aws, .gnupg y rutas similares independientemente de la configuración de ruta permitida.

Seguridad de sesiones

• Los nombres de sesión se validan: solo caracteres alfanuméricos, guiones bajos y guiones (máximo 50 caracteres). Esto previene inyección de comandos vía nombres de sesión.
• Los comandos pasados a tmux se validan. Solo el comando claude con flags aprobados puede ser lanzado.
• Los ataques de traversal de rutas (ej. ../../etc/passwd) están bloqueados.

Rate limiting

El servidor aplica un límite de 30 peticiones por minuto por conexión. Esto previene abuso y tormentas accidentales de peticiones.

Seguridad de red

Red local

En una red doméstica u oficina de confianza, el modo local es razonablemente seguro. El principal riesgo son otros dispositivos en la misma red. Trata la IP y la API key como credenciales.

Cloudflare Tunnel

Las conexiones por túnel están cifradas (WSS/TLS) por defecto. Cloudflare también proporciona protección DDoS. El túnel no requiere abrir puertos entrantes en tu router.

Para acceso público, siempre:

1. Configura una API key.
2. Usa un named tunnel con URL estable cuando sea posible.
3. Elimina configuraciones de túnel obsoletas cuando ya no se necesiten.

Checklist