Claude Code 403 त्रुटि: क्षेत्र, गेटवे, TLS या लॉगिन?

Claude Code में HTTP 403 मिलने भर से यह साबित नहीं होता कि आपका खाता प्रतिबंधित है। यहाँ बताए निदान, गेटवे और प्रमाणपत्र संबंधी सुधार पाने के लिए Claude Code 2.1.318 या बाद का संस्करण इस्तेमाल करें। फिर बार-बार लॉगिन करने के बजाय त्रुटि के अनुसार सही जाँच चुनें।

2.1.317 के रिलीज़ नोट्स क्षेत्रीय या नेटवर्क रोक को लॉगिन की विफलता से अलग करते हैं। 2.1.318 के रिलीज़ नोट्स प्रमाणपत्र फ़ाइल की समस्या से उबरने और सहेजे गए लॉगिन की अवधि समाप्त होने पर बेहतर संदेश देने का विवरण बताते हैं। ये बदलाव समस्या पहचानने में मदद करते हैं। ये पहुँच पर लगी रोक नहीं हटाते और गेटवे के हर कॉन्फ़िगरेशन को ठीक नहीं करते।

सही संस्करण और एक छोटे अनुरोध से शुरुआत करें

2026-11-10 तक की जानकारी के अनुसार, इन सभी सुधारों को शामिल करने वाला न्यूनतम संस्करण 2.1.318 है। इसका मतलब यह नहीं कि वही नवीनतम रिलीज़ है। अलग-अलग सुधार पहली बार नीचे दिए संस्करणों में आए।

लक्षण	संबंधित सुधार वाला पहला संस्करण	सबसे पहले क्या जाँचें
क्षेत्रीय या नेटवर्क रोक का HTTP 403, लॉगिन की विफलता के रूप में दिखता है	2.1.317	रोक का विवरण पढ़ें और उत्तर देने वाली सेवा पहचानें
क्षेत्रीय या नेटवर्क रोक के बाद VS Code लॉगिन स्क्रीन खोलता है	2.1.317	प्रभावित VS Code इंटरफ़ेस में दोबारा अनुरोध करें
Base URL में सेट गेटवे सुरक्षा जाँच पर 403 या 422 लौटाता है और Auto हर टर्न पर विफल होता है	2.1.317	Manual और Auto की तुलना करें; apiKeyHelper के साथ 403 वाला अपवाद बना रहता है
TLS ट्रैफ़िक की जाँच करने वाले प्रॉक्सी का रूट प्रमाणपत्र नवीनीकृत होने के बाद unable to get local issuer certificate दिखता है	2.1.317	स्वीकृत प्रमाणपत्र श्रृंखला और क्लाइंट का संस्करण जाँचें
NODE_EXTRA_CA_CERTS फ़ाइल खाली है, PEM में नहीं है या उसका पहला प्रमाणपत्र क्षतिग्रस्त है, जिससे कनेक्शन विफल होते हैं	2.1.318	प्रमाणपत्र फ़ाइल ठीक करें और शुरुआत में आने वाली चेतावनियाँ देखें
आवश्यक Claude apps gateway से संपर्क नहीं हो पाता	2.1.317	उसका नेटवर्क रास्ता और प्रमाणपत्र पर भरोसा जाँचें
सहेजे गए claude.ai लॉगिन की अवधि समाप्त हो जाती है	2.1.318	नेटवर्क बदलने के बजाय सक्रिय लॉगिन नवीनीकृत करें

Bash में उसी CLI की जाँच करें जिसे आप इस्तेमाल करते हैं:

claude --version
claude auth status

CLI संदर्भ के अनुसार, claude auth status प्रमाणीकरण की स्थिति बताता है। इसे कॉन्फ़िगर किए गए प्रमाणीकरण की जानकारी मानें। यह इस बात का प्रमाण नहीं है कि मॉडल अनुरोध सफल होंगे।

अपनी स्थापना के लिए समर्थित अपडेट विधि इस्तेमाल करें। नेटिव स्थापना के लिए चलाएँ:

claude update
claude --version

पैकेज मैनेजर से स्थापित या केंद्रीय रूप से प्रबंधित क्लाइंट के लिए स्थापना और अपडेट के निर्देश देखें। सुनिश्चित करें कि दिखाया गया संस्करण आवश्यक न्यूनतम संस्करण से कम नहीं है। जिस इंटरफ़ेस में विफलता हुई थी, वहीं फिर जाँचें। टर्मिनल में सफल अनुरोध से VS Code का कनेक्शन सही होना साबित नहीं होता।

इसके बाद उसी Bash परिवेश से एक छोटा अनुरोध भेजें:

claude -p 'Reply with exactly OK. Do not use tools.'

अपेक्षित परिणाम OK है, जिसके साथ कनेक्शन या प्रमाणीकरण की त्रुटि न हो। यह मॉडल का एक सामान्य अनुरोध जाँचता है। इससे Auto की समीक्षा प्रक्रिया या हर सुविधा के साथ संगतता की पुष्टि नहीं होती।

क्षेत्रीय या नेटवर्क रोक का मतलब लॉगिन की अवधि समाप्त होना नहीं है

त्रुटि में रोक का उल्लेख हो तो नेटवर्क या पहुँच न देने के कारण की जाँच करें। ऐसे लक्षण में दोबारा प्रमाणीकरण करना पहला उपाय नहीं है।

2.1.317 के बदलावों का विवरण कहता है, अनुवाद में:

क्षेत्रीय या नेटवर्क रोक (HTTP 403) को लॉगिन की विफलता के रूप में दिखाने की समस्या ठीक की गई। अब त्रुटि संदेश इस रोक को स्पष्ट करता है।

उसी रिलीज़ में इस स्थिति के कारण VS Code की लॉगिन स्क्रीन खुलने की समस्या भी अलग से ठीक की गई। इनमें से कोई सुधार यह नहीं कहता कि अपडेट करने से रोका गया अनुरोध स्वीकार हो जाएगा।

Claude Code शुरू करें और /status चलाएँ। गेटवे कनेक्शन के निर्देशों से सक्रिय रास्ता और क्रेडेंशियल का स्रोत जाँचें। खाते की जाँच से पहले तय करें कि अनुरोध सीधे Anthropic को जा रहा है या आपके कॉन्फ़िगर किए गए गेटवे को।

कंपनी के नेटवर्क पर, प्रभावित प्रक्रिया की प्रॉक्सी सेटिंग की जाँच आईटी टीम से कराएँ। इनमें HTTPS_PROXY और HTTP_PROXY शामिल हैं। नेटवर्क कॉन्फ़िगरेशन गाइड इन वेरिएबल का विवरण देता है। क्षेत्रीय रोक की पुष्टि हो जाए तो क्रेडेंशियल बार-बार नवीनीकृत करने के बजाय प्रदाता से सेवा की उपलब्धता की पुष्टि करें।

उत्तर की बॉडी, गंतव्य होस्ट का नाम, समय और अनुरोध की पहचान संख्या उपलब्ध होने पर सुरक्षित रखें। सहायता टिकट में परिवेश का पूरा डंप, क्रेडेंशियल या पूरे प्रॉम्प्ट न भेजें।

खाते पर रोक की अलग सूचना मिले तो खाता-सहायता वाला रास्ता अपनाएँ। Anthropic का त्रुटि संदर्भ उस स्थिति को निलंबित खाता बताता है। एक दूसरी संभावना चुने गए मॉडल की अनुमति न होना है। स्थापना और प्रमाणीकरण गाइड बताता है कि सफल प्रमाणीकरण के बाद भी ऐसे खाते को 403 मिल सकता है।

जाँच के लिए इच्छित और स्वीकृत रास्ते से फिर एक छोटा अनुरोध भेजें। दोबारा 403 आए तो मौजूदा संदेश और प्रदाता के रिकॉर्ड से इनकार का कारण पहचानें। केवल स्थिति कोड से खाते पर प्रतिबंध का निष्कर्ष न निकालें।

गेटवे के ज़रिए Auto हर टर्न पर विफल होता है

Manual चलता हो, लेकिन उसी गेटवे से Auto बार-बार विफल हो, तो सुरक्षा जाँच की प्रक्रिया देखें। 2.1.317 का सुधार एक खास स्थिति पर लागू होता है। विवरण का अनुवाद:

Base URL के रूप में सेट LLM गेटवे के सर्वर-पक्षीय सुरक्षा जाँच पर 403 या 422 लौटाने से Auto हर टर्न पर विफल होता था। यह समस्या ठीक की गई है। apiKeyHelper के साथ 403 का व्यवहार नहीं बदला है।

यह अपवाद ज़रूरी है। apiKeyHelper सक्रिय होने पर मिलने वाला 403 इस बदलाव के दायरे में नहीं आता। गेटवे के संचालक से क्रेडेंशियल और अनुमति की प्रक्रिया जाँचने को कहें। हेल्पर से लौटने वाले गोपनीय मान उजागर न करें।

गेटवे संगतता गाइड सर्वर-पक्षीय समीक्षा के लिए एक anthropic-beta मान और safeguards अनुरोध फ़ील्ड बताता है। गेटवे इस क्षमता को अस्वीकार करे तो उसकी जाँच, क्रेडेंशियल अस्वीकार होने से अलग होगी। केवल स्थिति कोड से दोनों में अंतर नहीं किया जा सकता।

भरोसेमंद Git रिपॉज़िटरी की स्थानीय कार्यशील प्रति में दो सत्रों की तुलना करें। मॉडल, एंडपॉइंट, क्रेडेंशियल और काम न बदलें।

claude --permission-mode default शुरू करें। Claude से Bash के ज़रिए git status --short चलाने और फ़ाइलें बदले बिना परिणाम बताने को कहें। अनुमति का अनुरोध दिखाई दे तो उसे स्वीकार करें।

उस सत्र से बाहर निकलें, फिर claude --permission-mode auto शुरू करके वही काम दोहराएँ। अनुमति मोड के नियंत्रणों से पुष्टि करें कि चुना हुआ मोड सक्रिय है। जो सत्र Auto में गया ही नहीं, उससे Auto की सफल जाँच नहीं होती।

केवल Auto सत्र विफल हो तो उसके असफल अनुरोध का मिलान गेटवे रिकॉर्ड से करें। संचालक से संगतता गाइड के आधार पर इनकार जाँचने को कहें। इससे जाँच का दायरा घटता है। इससे यह साबित नहीं होता कि गेटवे का कौन-सा नियम ज़िम्मेदार था।

प्रशासक की अनुमति से, अस्थायी जाँच के लिए सर्वर समीक्षा की जगह Claude Code के अपने क्लासिफ़ायर अनुरोध चुन सकते हैं। क्लासिफ़ायर कार्रवाइयों का आकलन करता है:

CLAUDE_CODE_AUTO_MODE_SERVER=0 claude --permission-mode auto

परिवेश वेरिएबल संदर्भ इस स्विच का विवरण देता है। यह बदलता है कि समीक्षा कहाँ होती है; अनुमति की जाँच बंद नहीं करता। क्लासिफ़ायर अभी भी मॉडल अनुरोध भेजता है। यह सेटिंग बनाए रखने से पहले अनुरोधों की खपत और देरी देखें।

यह सत्र चले और सामान्य Auto विफल हो तो सर्वर समीक्षा की संगतता जाँचें। दोनों विफल हों तो बताए गए क्रेडेंशियल, मॉडल या गेटवे की त्रुटि जाँचें। यह न मान लें कि यही सुधार उस समस्या पर लागू होता है।

शुल्क के अंतर के लिए सर्वर-पक्षीय क्लासिफ़ायर की बिलिंग और वैकल्पिक जाँच का व्यवहार देखें। अलग क्लासिफ़ायर वाले रास्ते को ऑफ़लाइन या अनिवार्य रूप से मुफ़्त विकल्प न मानें।

प्रमाणपत्र पर भरोसे की समस्या ठीक करें, प्रमाणीकरण नहीं

unable to get local issuer certificate को प्रमाणपत्र पर भरोसे की समस्या मानें। यह HTTP में अनुमति संबंधी उत्तर मिलने से अलग स्तर की विफलता है।

2.1.317 के बदलावों का विवरण कहता है, अनुवाद में:

कुछ TLS-जाँच करने वाले प्रॉक्सी के रूट प्रमाणपत्र नवीनीकरण के बाद API अनुरोध “unable to get local issuer certificate” से विफल होते थे। यह समस्या ठीक की गई है।

यह सुधार बताए गए नवीनीकरण की समस्या पर लागू होता है। इससे यह साबित नहीं होता कि जारीकर्ता प्रमाणपत्र की हर त्रुटि का यही कारण है।

पहले क्लाइंट का संस्करण जाँचें। फिर आईटी टीम से पूछें कि प्रॉक्सी का रूट प्रमाणपत्र बदला है या नहीं। यह भी पूछें कि क्लाइंट को प्रमाणपत्र प्राधिकरणों (CA) के किस बंडल पर भरोसा करना चाहिए। अप्रमाणित स्रोत से प्रमाणपत्र लेने के बजाय स्वीकृत PEM बंडल इस्तेमाल करें।

परिवेश में कस्टम बंडल आवश्यक हो तो आईटी टीम की दी हुई फ़ाइल $HOME/company-ca.pem पर सहेजें। उसी Bash शेल से Claude Code की नई प्रक्रिया शुरू करें:

export NODE_EXTRA_CA_CERTS="$HOME/company-ca.pem"
claude -p 'Reply with exactly OK. Do not use tools.'

यह दस्तावेज़ में दी गई कस्टम CA सेटिंग का पालन करता है। उदाहरण का पथ आपके चुने हुए स्थानीय फ़ाइल नाम को दर्शाता है। प्रमाणपत्रों की सामग्री आपके संगठन से ही आनी चाहिए।

जारीकर्ता प्रमाणपत्र की त्रुटि के बिना अनुरोध पूरा होना सफलता की जाँच है। विफलता बनी रहे तो आईटी टीम से बंडल और प्रॉक्सी के ज़रिए प्रस्तुत प्रमाणपत्र श्रृंखला जाँचने को कहें।

NODE_TLS_REJECT_UNAUTHORIZED=0 सेट न करें। Anthropic की प्रमाणपत्र त्रुटियों संबंधी गाइड चेतावनी देती है कि इससे प्रमाणपत्र सत्यापन बंद हो जाता है।

खाली या क्षतिग्रस्त NODE_EXTRA_CA_CERTS फ़ाइलें

अतिरिक्त CA की फ़ाइल ही खराब हो तो 2.1.318 या बाद का संस्करण इस्तेमाल करें। उसके बदलावों का विवरण कहता है, अनुवाद में:

NODE_EXTRA_CA_CERTS फ़ाइल खाली होने, PEM में न होने या क्षतिग्रस्त प्रमाणपत्र से शुरू होने पर सभी कनेक्शन विफल होने की समस्या ठीक की गई। अब पढ़े जा सकने वाले प्रमाणपत्र इस्तेमाल होते हैं और stderr पर चेतावनी आती है।

कनेक्शन के अंतिम परिणाम के साथ चेतावनियाँ भी देखें। सुधार पढ़े जा सकने वाले प्रमाणपत्र इस्तेमाल करता है। यह फ़ाइल ठीक नहीं करता और प्रॉक्सी के लिए आवश्यक कोई गायब प्रमाणपत्र नहीं जोड़ता।

खाली या क्षतिग्रस्त बंडल को स्वीकृत PEM फ़ाइल से बदलें। गलती से सेट हुए NODE_EXTRA_CA_CERTS को तभी हटाएँ जब पुष्टि हो जाए कि परिवेश को उसकी ज़रूरत नहीं है। फिर नई प्रक्रिया शुरू करें और छोटा अनुरोध दोहराएँ।

अनुरोध सफल हो लेकिन प्रमाणपत्र फ़ाइल की चेतावनी बनी रहे तो सेटिंग पूरी मानने से पहले बंडल ठीक करें।

आवश्यक Claude apps gateway से संपर्क नहीं हो पाता

सही काम कर रहे लॉगिन को बदलने से पहले आवश्यक गेटवे की कनेक्टिविटी बहाल करें। 2.1.317 की प्रविष्टि कहती है, अनुवाद में:

आवश्यक Claude apps gateway तक न पहुँच पाने पर शुरुआत में आने वाला त्रुटि संदेश बेहतर किया गया है। अब यह लॉगिन के बजाय नेटवर्क की ओर संकेत करता है और बताता है कि गेटवे का TLS प्रमाणपत्र कब सत्यापित नहीं हो पाता।

यह प्रविष्टि आवश्यक Claude apps gateway के बारे में है। इसे हर तृतीय-पक्ष ANTHROPIC_BASE_URL एंडपॉइंट पर अपने-आप लागू न मानें।

गेटवे प्रशासक को प्रभावित होस्ट का नाम और संवेदनशील जानकारी हटाकर त्रुटि संदेश दें। उनसे सेवा की पहुँच, DNS, प्रॉक्सी नीति और प्रमाणपत्र पर भरोसा जाँचने को कहें। संदेश प्रमाणपत्र सत्यापन की समस्या बताए तो क्रेडेंशियल रीसेट करने के बजाय CA वाली जाँच अपनाएँ।

पुष्टि दो चरणों में होगी। पहले Claude Code गेटवे की शुरुआती विफलता के बिना शुरू हो, फिर छोटा मॉडल अनुरोध पूरा करे। उसके बाद प्रमाणीकरण की त्रुटि आए तो उसकी अलग से जाँच करें।

क्रेडेंशियल की अवधि समाप्त होने पर ही लॉगिन नवीनीकृत करें

संदेश में सहेजे गए claude.ai लॉगिन की अवधि समाप्त होने की बात हो तो उसे नवीनीकृत करें। 2.1.318 के रिलीज़ नोट्स इसे नेटवर्क रोक से अलग करते हैं। अनुवाद:

सहेजे गए claude.ai लॉगिन की अवधि समाप्त होने पर लॉगिन विफलता की समस्या ठीक की गई। अब संदेश इसकी वजह बताता है और claude -p में claude auth login तथा claude setup-token का नाम देता है।

इंटरैक्टिव काम में अपना claude.ai लॉगिन इस्तेमाल करना हो तो Bash में ये कमांड चलाएँ:

claude auth login
claude auth status
claude -p 'Reply with exactly OK. Do not use tools.'

स्थिति जाँचने और अनुरोध भेजने से पहले लॉगिन पूरा करें। अपेक्षित परिणाम पहले इच्छित प्रमाणीकरण स्थिति और फिर सफल उत्तर है।

रिलीज़ में बिना इंटरैक्टिव सत्र वाले काम में पहुँच बहाल करने के लिए claude setup-token भी बताया गया है। टोकन को स्क्रिप्ट में लिखने के बजाय उस तरीके के प्रमाणीकरण निर्देशों का पालन करें।

गेटवे से मिले क्रेडेंशियल की बहाली उसी के जारीकर्ता से कराएँ। claude.ai में लॉगिन करना उस क्रेडेंशियल की जाँच नहीं है। लॉगिन नवीनीकृत करने के बाद भी क्षेत्र, नेटवर्क या गेटवे की त्रुटि आए तो संबंधित जाँच पर लौटें। लॉगिन बार-बार न दोहराएँ।

ANTHROPIC_BASE_URL और सक्रिय क्रेडेंशियल जाँचें

और सेटिंग बदलने से पहले विफल हो रहे सत्र के भीतर अनुरोध का रास्ता जाँचें। कनेक्शन गाइड प्रभावी Base URL और क्रेडेंशियल का स्रोत देखने के लिए /status सुझाता है।

गेटवे के दस्तावेज़ में दिया Anthropic-संगत बेस पता इस्तेमाल करें। प्रोटोकॉल गाइड ANTHROPIC_BASE_URL को Anthropic Messages प्रारूप और /v1/messages से जोड़ता है। प्रोटोकॉल जाँचे बिना OpenAI-संगत URL इस सेटिंग में न डालें। Base URL और एंडपॉइंट की समस्या-निवारण गाइड यह अंतर समझाती है।

क्रेडेंशियल का वेरिएबल उस हेडर के अनुसार चुनें जिसकी गेटवे को ज़रूरत है। Anthropic के अनुसार, ANTHROPIC_AUTH_TOKEN से Authorization: Bearer और ANTHROPIC_API_KEY से X-Api-Key भेजा जाता है। एक ही क्रेडेंशियल हर उपलब्ध वेरिएबल में डालने के बजाय गेटवे के निर्देश मानें।

पहले से मौजूद BetterToken API कनेक्शन के लिए, उसके Claude Code निर्देश https://bettertoken.ai और ANTHROPIC_AUTH_TOKEN इस्तेमाल करते हैं। बेस पते में /v1 नहीं जोड़ना है। 2026-11-10 तक उसके कैटलॉग में claude-sonnet-5-5 सूचीबद्ध है। यह अलग API पहुँच है, Claude की सदस्यता या Claude Code की हर सुविधा चलने की गारंटी नहीं।

वास्तविक रास्ता इच्छित सेटिंग से अलग हो तो Claude Code के सक्रिय प्रदाता की पुष्टि करने का तरीका देखें। एक छोटे अनुरोध का मिलान इच्छित प्रदाता के रिकॉर्ड से करें, फिर पहले विफल हुआ काम दोहराएँ। सामान्य कनेक्शन जाँचने के लिए साधारण उत्तर पर्याप्त है। Auto की समस्या में Auto की तुलना भी सफल होनी चाहिए।