// dokumentacja openclaw

Bezpieczenstwo OpenClaw — model zaufania i hardening

Model bezpieczeństwa

OpenClaw stosuje model bezpieczeństwa oparty na zasadzie jednego zaufanego operatora per gateway. Oznacza to, że osoba instalująca i konfigurująca OpenClaw (operator) ma pełne zaufanie i kontrolę nad systemem. Wszyscy pozostali użytkownicy (osoby komunikujące się z agentem przez kanały) mają ograniczone uprawnienia zdefiniowane przez polityki dostępu.

Model ten jest analogiczny do klasycznej architektury klient-serwer, gdzie administrator serwera kontroluje, jakie zasoby są dostępne dla użytkowników końcowych.

Warstwy uwierzytelniania

OpenClaw implementuje wielowarstwowe uwierzytelnianie:

1. Warstwa operatora

  • Control UI — dostęp chroniony kodem parowania lub hasłem. Domyślnie dostępny tylko na localhost.
  • CLI — polecenia zarządzające wymagają dostępu do systemu plików (katalog ~/.openclaw).
  • API Gateway — endpointy administracyjne chronione tokenem Bearer.

2. Warstwa użytkowników

  • Polityki DM — pairing, allowlist lub open. Kontrolują, kto może rozmawiać z agentem.
  • Polityki grup — mention, always lub off. Kontrolują zachowanie agenta w grupach.
  • Rate limiting — konfigurowalne limity wiadomości na użytkownika (np. 20 wiadomości na godzinę).

3. Warstwa narzędzi

  • Sandbox — izolacja wykonywania narzędzi (Docker, nsjail).
  • Listy dozwolonych domen — ograniczenie dostępu sieciowego narzędzi.
  • Uprawnienia plików — agent ma dostęp tylko do wskazanych katalogów.

Przechowywanie poświadczeń

OpenClaw przechowuje poświadczenia w kilku miejscach, w zależności od typu:

  • Klucze API providerów — w pliku konfiguracyjnym lub zmiennych środowiskowych. Zalecane jest użycie secrets.env lub managera sekretów systemu operacyjnego.
  • Tokeny kanałów — podobnie jak klucze API, przechowywane w konfiguracji lub zmiennych środowiskowych.
  • Kody parowania — generowane jednorazowo, ważne przez ograniczony czas (domyślnie 15 minut). Przechowywane w pamięci Gateway.
  • Sesje użytkowników — przechowywane w wybranym backendzie (plik, Redis, SQLite). Nie zawierają poświadczeń, tylko historię rozmów i metadane.

Ważne: Plik ~/.openclaw/ powinien mieć uprawnienia 700 (tylko właściciel). OpenClaw sprawdza uprawnienia podczas startu i ostrzega, jeśli katalog jest zbyt otwarty.

Hardening narzędzi i wykonywania

Narzędzia agenta (browser, shell, file access) mogą stanowić ryzyko bezpieczeństwa, jeśli nie są odpowiednio zabezpieczone.

Sandbox Docker

Najsilniejsza izolacja. Każde wywołanie narzędzia uruchamiane jest w efemerycznym kontenerze Docker z ograniczeniami:

  • Brak dostępu do sieci hosta (tylko dozwolone domeny)
  • Ograniczone zasoby (CPU, RAM, czas wykonywania)
  • System plików read-only poza wyznaczonym katalogiem roboczym
  • Brak uprawnień root

Sandbox nsjail

Lżejsza alternatywa dla Dockera, dostępna na Linuksie. Używa namespace'ów jądra do izolacji procesów bez potrzeby instalowania Dockera.

Ograniczenia narzędzi

{
  tools: {
    browser: {
      enabled: true,
      sandbox: true,
      allowed_domains: ["*.wikipedia.org", "docs.openclaw.ai"],
      blocked_domains: ["*.onion"],
      max_pages: 10,
      timeout: 30,
    },
    shell: {
      enabled: false, // wyłączone domyślnie
    },
    file_access: {
      enabled: true,
      allowed_paths: ["/home/user/documents"],
      read_only: true,
    }
  }
}

Kontrola sieci i ekspozycji

Domyślnie Gateway OpenClaw nasłuchuje tylko na localhost:18789 i nie jest dostępny z zewnątrz. Jeśli potrzebujesz zdalnego dostępu:

  • Tailscale (zalecane) — bezpieczny tunel VPN bez otwierania portów. OpenClaw ma wbudowaną integrację z Tailscale.
  • Reverse proxy — Nginx, Caddy lub Traefik z certyfikatem TLS. Konfiguracja wymaga ręcznego ustawienia.
  • Cloudflare Tunnel — alternatywa dla Tailscale, nie wymaga otwierania portów.

Niezalecane jest wystawianie Gateway bezpośrednio do internetu bez warstwy zabezpieczeń.

Audyt bezpieczeństwa

OpenClaw oferuje wbudowane narzędzie do audytu konfiguracji pod kątem bezpieczeństwa:

openclaw security audit

Polecenie sprawdza:

  • Uprawnienia plików i katalogów
  • Obecność sekretów w pliku konfiguracyjnym (zamiast zmiennych środowiskowych)
  • Polityki dostępu kanałów (ostrzega przed trybem open)
  • Konfigurację sandboxa narzędzi
  • Ekspozycję sieciową Gateway
  • Aktualność wersji OpenClaw (znane podatności)

Wynik audytu prezentowany jest jako lista zaleceń z priorytetami: krytyczne, ważne i informacyjne.

Protokół reakcji na incydenty

W przypadku podejrzenia naruszenia bezpieczeństwa, postępuj według poniższego protokołu:

  1. Zatrzymaj Gateway — openclaw gateway stop. Natychmiast odcina agenta od wszystkich kanałów.
  2. Zabezpiecz logi — skopiuj katalog ~/.openclaw/logs/ przed jakimikolwiek zmianami.
  3. Zrotuj poświadczenia — zmień wszystkie klucze API, tokeny botów i kody parowania.
  4. Przeanalizuj logi — sprawdź logi pod kątem nietypowej aktywności: nieznane adresy IP, podejrzane zapytania, nieautoryzowane wywołania narzędzi.
  5. Zaktualizuj OpenClaw — upewnij się, że masz najnowszą wersję z najnowszymi poprawkami bezpieczeństwa.
  6. Uruchom audyt — openclaw security audit po wprowadzeniu zmian.
  7. Zgłoś incydent — jeśli podejrzewasz podatność w OpenClaw, zgłoś ją na security@openclaw.ai.
Wróc do dokumentacji