El issue #107757 de Claude Code, abierto el 5 de noviembre de 2026, denuncia que el producto habría enviado el email de la cuenta del usuario en una cabecera HTTP User-Agent durante búsquedas web. Una persona colaboradora del repositorio dijo que Anthropic había incorporado un mod de privacidad, pero la documentación de Anthropic limita su comprobación a ciertas llamadas y excluye las herramientas web y MCP.
Qué denuncia el issue de Claude Code
Quien abrió el issue afirma que su dirección de email apareció en la cabecera User-Agent, un campo HTTP que identifica al cliente que realiza una solicitud. El reporte vincula esa inclusión con búsquedas web y enumera Claude Code 2.1.318, macOS y tmux como su entorno. Es la experiencia que describe esa persona, no una confirmación independiente de que afectara a otros usuarios. (Issue #107757)
La versión de un programa no basta para saber qué rutas de datos cubre un control de privacidad.
Qué comprueba cc-plugin-privacy
Una persona colaboradora del repositorio dijo que cc-plugin-privacy estaba incorporado desde Claude Code 2.1.317 y que venía activado por defecto. También indicó que se podía desactivar con /plugins. (Comentario en el issue)
La documentación del mod de privacidad de Anthropic describe una comprobación concreta: se aplica a llamadas de Bash, PowerShell o Monitor cuando la entrada contiene tanto el email de la cuenta como un indicador de User-Agent reconocido. No es un filtro general de todo dato que pueda salir en una solicitud.
Qué llamadas quedan fuera
La documentación indica que el mod no comprueba las llamadas de WebFetch, WebSearch ni MCP. También describe casos que pueden quedar fuera de la comprobación, como valores calculados durante la ejecución, variables, archivos y formatos de cabecera no reconocidos.
Por tanto, el alcance documentado no incluye todas las rutas de actividad web de Claude Code. El reporte menciona Claude Code 2.1.318, mientras que la persona colaboradora sitúa el mod en la versión 2.1.317 y posteriores; esos datos, por sí solos, no precisan si el mod estaba cargado en la sesión descrita ni qué ruta produjo la inclusión del email.
