קלוד קוד (Claude Code) צריך מפתח או סיסמה? לא מדביקים אותו בשיחה

למתקדמים: למי שעובד עם קלוד קוד. עובדים רק בצ'אט באתר? מה שצריך לדעת נמצא במה מותר להדביק לצ'אט.

דמיינו בעל משרד שבונה עם קלוד קוד (Claude Code) מערכת קטנה ששולחת ללקוחות תזכורת לפני פגישה. כדי לשלוח הודעות היא צריכה מפתח מספק ההודעות. הוא מעתיק את המפתח מהאתר של הספק ומדביק אותו בשיחה: "הנה המפתח, תחבר". זה עובד. אבל עכשיו המפתח כתוב בשיחה, ואולי גם באחד הקבצים שקלוד יצר. (המחשה, לא מקרה אמיתי.)

מפתח כזה הוא כמו מפתח למשרד: מי שמחזיק אותו יכול לשלוח הודעות בשם העסק, על חשבון העסק. לכן שומרים אותו במקום אחד, נפרד, וקלוד רק יודע איפה הוא. הכול כאן נכון ל-26.10.2026.

למה לא להדביק סוד בשיחה

מה שמדביקים בשיחה עם קלוד קוד לא נעלם כשסוגרים את החלון. לפי התיעוד של קלוד קוד, כל מה שכותבים עובר למחשבים של אנתרופיק (Anthropic), החברה של קלוד (Claude), ונשמר שם לזמן מה. כמה זמן? זה תלוי בסוג החשבון ובהגדרות שלכם. בנוסף, השיחה נשמרת במחשב שלכם כטקסט גלוי, בברירת מחדל ל-30 יום.

המקור באנגלית

Claude Code stores session transcripts locally in plaintext under ~/.claude/projects/ for 30 days by default.

מקור: התיעוד של קלוד קוד, "Data usage", נבדק ב-26.10.2026. למקור (באנגלית), נפתח בחלון חדש

ויש עוד סיבה: סוד שקלוד ראה בשיחה יכול להיכנס בטעות לקובץ קוד, ומשם לגיבוי או למתכנת שמקבל את הקוד. סוד שמעולם לא היה בשיחה לא ייכנס לשום מקום כזה.

מה עושים: חמישה צעדים

1. יוצרים קובץ סודות בעצמכם. בתיקיית הפרויקט יוצרים קובץ בשם .env (מה זה קובץ סודות), בפנקס הרשימות של המחשב (Notepad), לא בוורד ולא דרך קלוד. כותבים בו שורה לכל סוד: שם באנגלית, סימן שווה, והערך שקיבלתם מהספק. למשל SMS_API_KEY= ואחריו המפתח. שומרים וסוגרים.
2. מבקשים מקלוד שהקובץ לא יישמר עם הקוד. אם הקוד שלכם נשמר גם באינטרנט (בגיט, Git), מבקשים מקלוד לרשום את .env ברשימת "לא לשמור" של גיט (.gitignore). את הבקשה הזו מותר לכתוב בשיחה, כי אין בה סוד.
3. אומרים לקלוד רק את שם הסוד. "המפתח של ספק ההודעות נמצא בקובץ .env בשם SMS_API_KEY. תכתוב את הקוד כך שיקרא אותו משם." הנוסח המלא מוכן להעתקה בהמשך.
4. חוסמים לקלוד את הקריאה של הקובץ. בקלוד קוד אפשר להגדיר קבצים שקלוד לא קורא. ההגדרה יושבת בקובץ .claude/settings.json בתיקיית הפרויקט. הנוסח בהמשך.
5. אם כבר הדבקתם סוד בשיחה: מחליפים אותו. נכנסים לאתר של הספק, מבטלים את המפתח הישן ומבקשים מפתח חדש. את החדש כותבים רק בקובץ הסודות. מחיקת השיחה לא מספיקה, כי ייתכן שהסוד כבר נשמר במקומות אחרים.

להעתיק: ההוראה לקלוד

מה שבסוגריים, ממלאים אחרי ההדבקה. בהוראה יש רק את שם הסוד, לא את הערך.

להעתיק: חסימת הקריאה של קובץ הסודות

לא צריך להבין את הנוסח. מעתיקים אותו לקלוד ואומרים לו: "תוסיף את זה להגדרות של הפרויקט". מותר, כי אין בו סוד. זו הדוגמה מהתיעוד של קלוד קוד, בקיצור: היא אומרת לקלוד לא לקרוא את .env ואת הקבצים שמתחילים ב-.env.

המקור באנגלית

Use it for files that hold API keys, secrets, or environment values: Claude Code excludes matching files from file discovery and search results, denies reads of them

מקור: התיעוד של קלוד קוד, "Settings reference", הסעיף permissions.deny, נבדק ב-26.10.2026. למקור (באנגלית), נפתח בחלון חדש

חשוב לדעת: לפי אותו תיעוד, החסימה הזו עוצרת את הדרכים הרגילות לקרוא קובץ, אבל לא כל פקודה שקלוד יכול להריץ. היא מורידה את הסיכון, לא מבטלת אותו. לכן הצעד שבאמת שומר עליכם הוא הראשון: הסוד לא נכנס לשיחה מלכתחילה.

מה לא לעשות

• לא מדביקים בשיחה מפתח, סיסמה או הקוד שמגיע בהודעה כשנכנסים לחשבון, גם "רק לרגע לבדיקה".
• לא שולחים את קובץ הסודות במייל, בוואטסאפ או בתיקייה משותפת. מי שצריך את הסוד מקבל אותו בנפרד.
• לא כותבים סודות בקובץ ההוראות של הפרויקט, CLAUDE.md (מה זה קובץ מארקדאון). קלוד קורא אותו בכל שיחה.

הצעד הבא

עוד לא ברור מה קלוד קוד עושה ומה הוא רשאי לעשות במחשב? מתחילים ממה זה קלוד קוד. ואם אתם רוצים שכללים כאלה יהיו כתובים ומוגדרים אצלכם מהיום הראשון, ככה נראית סביבת AI מסודרת לעסק.