セキュリティ

Tactic Remote は iPhone に Mac 上のターミナルの制御権を与えます。このページでは、何が保護されているか、どのように保護されているか、何を設定すべきかを説明します。

API キー認証

サーバーは API キー認証をサポートしています。設定すると、すべての接続で正しいキーの提供が必要になります。

export CLAUDE_REMOTE_API_KEY="your-secret-key"

Mac アプリでランダムキーを自動生成することもできます。

必須となるタイミング：

• パブリック/トンネルアクセスでは常に必須（強く推奨）
• ローカル専用アクセスではオプションだが、設定を推奨

ルール：

• API キーをスクリーンショットやチャットで共有しない
• 漏洩の疑いがあればキーをローテーション
• Mac アプリはキーを macOS キーチェーンに保存

パス制限

Claude Code がアクセスできるディレクトリを制限できます：

export CLAUDE_REMOTE_ALLOWED_PATH="/Users/you/projects"

デフォルトはホームディレクトリ (~)。プロジェクトフォルダに絞ることで、無関係なファイルへのアクセスを防止します。

デフォルトでブロック： .ssh、.aws、.gnupg などの機密ディレクトリは、許可パスの設定に関わらず常にブロックされます。

セッションセキュリティ

• セッション名は検証済み：英数字、アンダースコア、ハイフンのみ（最大50文字）。セッション名を介したコマンドインジェクションを防止。
• コマンドは検証済み。tmux に渡されるコマンドは claude と承認されたフラグのみ。
• パストラバーサル攻撃（例：../../etc/passwd）はブロック。

レート制限

サーバーは接続あたり毎分30リクエストのレート制限を実施。不正利用や偶発的なリクエストストームを防止します。

ネットワークセキュリティ

ローカルネットワーク

信頼できる自宅やオフィスのネットワークでは、ローカルモードは十分安全です。主なリスクは同一ネットワーク上の他のデバイス。IP と API キーを認証情報として扱ってください。

Cloudflare Tunnel

トンネル接続はデフォルトで暗号化（WSS/TLS）。Cloudflare は DDoS 保護も提供。ルーターでインバウンドポートを開ける必要はありません。

パブリックアクセスでは常に：

1. API キーを設定
2. 可能であれば固定 URL の名前付きトンネルを使用
3. 不要になった古いトンネル設定を削除

チェックリスト