Web

• predeterminado: http://<host>:18789/
• con gateway.tls.enabled: true: https://<host>:18789/
• prefijo opcional: establezca gateway.controlUi.basePath (p. ej., /openclaw)

​

Configuración (activada de forma predeterminada)

{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath opcional
  },
}

​

Webhooks

​

RPC HTTP de administración

​

Acceso mediante Tailscale

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // o OPENCLAW_GATEWAY_PASSWORD
  },
}

​

Notas de seguridad

• La autenticación del Gateway es obligatoria de forma predeterminada: token, contraseña, proxy de confianza o encabezados de identidad de Tailscale Serve cuando estén activados.
• Los enlaces que no sean de bucle invertido siguen requiriendo autenticación del Gateway: autenticación mediante token/contraseña o un proxy inverso con reconocimiento de identidad y gateway.auth.mode: "trusted-proxy".
• El asistente de incorporación crea autenticación mediante secreto compartido de forma predeterminada y normalmente genera un token del Gateway, incluso en la interfaz de bucle invertido.
• En el modo de secreto compartido, la IU envía connect.params.auth.token o connect.params.auth.password durante el protocolo de enlace de WebSocket.
• Con gateway.tls.enabled: true, los auxiliares locales del panel de control y de estado generan direcciones URL https:// y direcciones URL de WebSocket wss://.
• En los modos que incorporan identidad (Tailscale Serve, trusted-proxy), la comprobación de autenticación de WebSocket se satisface mediante los encabezados de la solicitud en lugar de un secreto compartido.
• Para implementaciones públicas de la IU de control que no usen la interfaz de bucle invertido, establezca gateway.controlUi.allowedOrigins explícitamente (orígenes completos). Las cargas privadas del mismo origen se aceptan sin este valor para la interfaz de bucle invertido, RFC1918/enlace local, .local, .ts.net y hosts CGNAT de Tailscale.
• gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback: true activa el uso alternativo del origen basado en el encabezado Host; esto supone una reducción peligrosa de la seguridad.
• Con Serve, los encabezados de identidad de Tailscale satisfacen la autenticación de la IU de control/WebSocket cuando gateway.auth.allowTailscale: true (no se requiere token ni contraseña). Los endpoints de la API HTTP no utilizan los encabezados de identidad de Tailscale; siempre siguen el modo de autenticación HTTP normal del Gateway. Establezca gateway.auth.allowTailscale: false para exigir credenciales explícitas incluso mediante Serve. Este flujo sin token presupone que el propio host del Gateway es de confianza. Consulte Tailscale y Seguridad.

​

Compilación de la IU

pnpm ui:build