Quando Usar

• Provisionamento, fortalecimento ou operação da infraestrutura descrita nesta habilidade dentro de um ambiente autorizado.

Fortalecimento de Segurança do OpenClaw

Use esta habilidade para reduzir a exposição em implantações auto-hospedadas do OpenClaw antes de abrir o acesso a colegas de equipe ou redes externas.

Crie um Modelo de Ameaças Primeiro

Mapeie os ativos e caminhos de maior risco:

• Endpoints de Admin/API para OpenClaw
• Chaves de API do provedor e credenciais de modelo
• Logs de prompt/resposta contendo dados comerciais confidenciais
• Acesso em nível de host (SSH, contas de administrador local, área de trabalho remota)

Priorize controles que reduzam o roubo de credenciais, o raio de explosão de execução remota de código e a exfiltração de dados.

Aplique o Fortalecimento Básico do Host

1. Mantenha o sistema operacional e as dependências de pacotes atualizados em uma cadência regular.
2. Execute o OpenClaw como uma conta de usuário dedicada e não administrador.
3. Habilite a criptografia de disco completo e recursos de inicialização segura onde disponíveis.
4. Remova serviços desnecessários e bloqueie portas de entrada por padrão.
5. Bloqueie o acesso remoto de administrador (SSH apenas com chave, sem login de senha, CIDRs de origem limitados).

Exemplo de verificações básicas do Linux:

id openclaw
sudo ss -tulpn
sudo ufw status verbose
sudo systemctl --failed

Fortaleça o Tempo de Execução da Aplicação

• Vincule o OpenClaw ao localhost ou a uma VLAN privada por padrão.
• Coloque um proxy reverso na frente do OpenClaw para TLS, autenticação e limites de taxa.
• Aplique autenticação em todos os endpoints não de saúde.
• Desabilite modos de depuração/desenvolvimento em ambientes persistentes.
• Restrinja a saída de tráfego de saída apenas aos provedores necessários (API LLM, coletor de telemetria, espelho de pacotes).

Exemplos de controles de proxy reverso a serem aplicados:

• Apenas TLS 1.2+
• Cabeçalho strict transport security
• Limites de tamanho do corpo da requisição
• Limites de tempo de requisição e tempo limite upstream
• Limitação de taxa por IP e por token

Proteja Segredos e Tokens

• Armazene segredos em um cofre ou gerenciador de segredos da plataforma, não em arquivos .env commitados.
• Rotacione tokens de provedor e de administrador em um intervalo fixo e após qualquer incidente.
• Escopo de tokens minimamente (privilégio mínimo, chaves por serviço).
• Verifique repositórios e artefatos de implantação em busca de credenciais vazadas antes do lançamento.

Lista de verificação de rotação:

1. Gere a chave de substituição.
2. Atualize o armazenamento de segredos em tempo de execução.
3. Reinicie ou recarregue o OpenClaw.
4. Valide o sucesso da requisição com a nova chave.
5. Revogue a chave antiga.

Segmente o Acesso à Rede

Use padrões de acesso em camadas:

• Camada 1 (privada): Porta de serviço do OpenClaw acessível apenas a partir da sub-rede de aplicativos/proxy.
• Camada 2 (operador): Plano de administração acessível apenas via VPN/Tailscale/WireGuard.
• Camada 3 (pública): Exponha apenas o proxy reverso fortalecido com ACLs rigorosas.

Não publique portas de serviço brutas do OpenClaw diretamente na internet.

Adicione Caminhos de Detecção e Recuperação

• Centralize logs de autenticação, erro e auditoria.
• Alerte sobre tentativas de força bruta, falhas de token e tráfego de saída incomum.
• Capture snapshots de backup imutáveis de configurações e configurações de retenção de dados de prompt.
• Teste procedimentos de rollback e restauração a cada ciclo de lançamento.

Runbook operacional mínimo:

• caminho de reinício do serviço
• caminho de revogação de chave
• caminho de isolamento de incidente (bloqueio de rede + desativação de token)
• versão de rollback conhecida como boa

Lista de Verificação de Validação

• Todos os endpoints sensíveis exigem autenticação e são inacessíveis sem VPN ou política de gateway.
• Segredos estão ausentes do histórico do repositório e de diretórios compartilhados em texto simples.
• A negação padrão do firewall do host está ativa para tráfego de entrada.
• A terminação TLS e os limites de taxa estão ativos na entrada.
• O exercício de rollback pode restaurar o serviço dentro do RTO alvo.

Habilidades Relacionadas

• openclaw-local-mac-mini (openclaw-local-mac-mini) - Configuração de hospedagem local do OpenClaw
• multi-tenant-llm-hosting (multi-tenant-llm-hosting) - Padrões de isolamento de IA multi-inquilino
• zero-trust (zero-trust) - Acesso privado e controles de rede conscientes de identidade

Quando Usar

• Você está provisionando, configurando ou solucionando problemas do componente de infraestrutura coberto por esta habilidade (servidores, armazenamento, bancos de dados, redes, nuvem, IA local).

Limitações

• Comandos de infraestrutura podem interromper serviços: confirme o host/escopo alvo e tenha backups/snapshots antes de mutar o estado.
• Importação apenas de documentação: scripts e modelos upstream não estão incluídos.