Escalera de permisos de Claude Code para ampliar acceso sin perder control

La decisión difícil para principiantes no es el prompt. Es qué puede ejecutar Claude Code sin preguntar. Todo en ask es lento. Todo en allow es arriesgado. La escalera de permisos amplía acceso por pasos controlados.

Quien llega desde una guía de permisos necesita un orden que pueda llevar hoy a settings. Este artículo separa permisos razonables para la primera semana de operaciones que deben seguir denegadas o con aprobación humana.

Lecturas relacionadas: claude-code-permissions-guide, claude-code-security-best-practices, claude-code-harness-lite-workflow.

Por qué este patrón va antes de la primera edición

Claude Code funciona mejor cuando la tarea tiene límites. Un buen límite nombra archivos que puede leer, archivos que puede editar, operaciones prohibidas y la prueba que cierra el trabajo. Sin ese límite, un prompt pequeño de principiante puede convertirse en una reescritura amplia, y un cambio de contenido puede romper la ruta a PDF, Gumroad o consulta.

Este patrón también ayuda a revenue porque conecta prueba técnica con prueba para el lector. Una página que builda en local pero manda al lector al producto equivocado no está terminada. Si guardas scope, command, URL pública y CTA, mañana mejoras desde evidencia, no desde memoria.

Flujo práctico de trabajo

1. Level 0 permite solo Read, Glob y Grep
2. Level 1 añade pruebas como git status, git diff y build
3. Level 2 deja Write/Edit en ask para rutas limitadas como content y tests
4. Level 3 permite checks de deploy solo con confirmación explícita
5. Secrets, force push, borrados destructivos y billing quedan denegados o con aprobación

Situación	Movimiento seguro	Prueba
Sitio personal de contenido	MDX e imágenes quedan en ask, build puede estar allowed, deploy requiere confirmación y CTA entra en proof.	build, diff, URL
Dashboard SaaS	Componentes UI y tests pueden ser edición limitada, auth, billing y migrations siguen con aprobación.	screenshot, test
Workflow de equipo	El nivel de permiso queda en CLAUDE.md para que review sepa cuánta autonomía tuvo el agente.	log, command, handoff

La primera pasada debe ser corta. La auditoría debe crear una decisión, no un informe gigante. Si después de 20 minutos la decisión sigue borrosa, el siguiente paso seguro es pedir leer un archivo más, no empezar a editar.

Prompt y código copiables

Diseña una escalera de permisos de cuatro niveles para Claude Code en este repo. Separa read-only, proof commands, limited edits y deploy checks. Lista acciones que deben quedar denegadas.

{
  "permissions": {
    "allow": [
      "Read(**)",
      "Glob(**)",
      "Grep(**)",
      "Bash(npm.cmd run build)",
      "Bash(git status --short)",
      "Bash(git diff --stat)"
    ],
    "ask": [
      "Write(site/src/content/**)",
      "Edit(site/src/content/**)",
      "Bash(npm install *)",
      "Bash(npx wrangler pages deploy *)"
    ],
    "deny": [
      "Bash(git push --force*)",
      "Bash(rm -rf*)",
      "Read(.env*)"
    ]
  }
}

El código es pequeño a propósito. Convierte una idea operativa en un objeto verificable: existe scope, existen zonas protegidas y existe al menos un comando de prueba. Puedes adaptarlo para publicar artículos, desarrollar apps, depurar o hacer handoff de equipo.

Tres ejemplos reales

Sitio personal de contenido

MDX e imágenes quedan en ask, build puede estar allowed, deploy requiere confirmación y CTA entra en proof.

Lo importante es la prueba. Deja un comando, una página visible o una nota que demuestre que el trabajo llegó al lector.

Dashboard SaaS

Componentes UI y tests pueden ser edición limitada, auth, billing y migrations siguen con aprobación.

Lo importante es la prueba. Deja un comando, una página visible o una nota que demuestre que el trabajo llegó al lector.

Workflow de equipo

El nivel de permiso queda en CLAUDE.md para que review sepa cuánta autonomía tuvo el agente.

Lo importante es la prueba. Deja un comando, una página visible o una nota que demuestre que el trabajo llegó al lector.

Fallos que conviene evitar

• Permitir deploy o push demasiado pronto publica antes de probar.
• Dejar todo en ask vuelve el flujo demasiado lento.
• Un settings sin deny deja operaciones peligrosas ambiguas.

Otro fallo sutil es el drift de localización. El artículo en inglés puede explicar la ruta correcta, mientras otro idioma conserva un CTA viejo. Por eso la revisión pública debe incluir h1, inicio del cuerpo y CTA en cada idioma, no solo frontmatter lang.

Cómo llevar al lector a PDF, Gumroad y consulta

Si el lector aún necesita soltura con comandos, envíalo al cheatsheet gratuito. Si el bloqueo está en setup, permisos, CLAUDE.md, hooks, MCP o CI/CD, la mejor compra es la Setup Guide. Si repite prompts de revisión, debugging y refactor, encaja 50 Prompt Templates. Si el problema es despliegue de equipo, diseño de workflow o ruta de ingresos, usa la consulta. Para comparar opciones, abre products.

No fuerces a todo lector hacia el producto pagado de inmediato. El principiante suele necesitar primero un PDF de baja fricción. Quien repite prompts está más cerca de plantillas. Quien se bloquea en permisos, CLAUDE.md, hooks, MCP o CI/CD está más cerca de Setup Guide. Equipos y operadores con preguntas de proceso están más cerca de consulta.

Qué verificar antes y después de publicar

Verificar este artículo significa revisar h1, inicio del cuerpo, heroImage, enlaces internos, enlaces de Gumroad y ruta de consulta. Un HTTP 200 no basta si el CTA lleva al siguiente paso equivocado.

En publicación multilingüe, revisa japonés, inglés, chino, coreano, español, francés, alemán, portugués, hindi e indonesio por separado. El slug puede coincidir mientras el cuerpo sigue viejo. Las capturas móviles encuentran esto antes porque muestran párrafo inicial y CTA juntos.

Métricas que mirar después

Después mira inicios de PDF, clics Gumroad, visitas a products, visitas a training, origen de búsqueda, mezcla por país y tasa de clic de artículo a CTA. Si suben PV pero no Gumroad, falta mejor encaje de producto. Si suben consultas desde un artículo técnico, el lector probablemente necesita diseño de workflow.