ウェブ

• デフォルト: http://<host>:18789/
• gateway.tls.enabled: true の場合: https://<host>:18789/
• 任意のプレフィックス: gateway.controlUi.basePath を設定します (例: /openclaw)

​

Webhook

​

管理 HTTP RPC

​

設定 (デフォルトでオン)

{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath optional
  },
}

​

Tailscale アクセス

​

統合 Serve (推奨)

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}

openclaw gateway

• https://<magicdns>/ (または設定済みの gateway.controlUi.basePath)

​

Tailnet バインド + トークン

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}

openclaw gateway

• http://<tailscale-ip>:18789/ (または設定済みの gateway.controlUi.basePath)

​

パブリックインターネット (Funnel)

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // or OPENCLAW_GATEWAY_PASSWORD
  },
}

​

セキュリティノート

• Gateway 認証はデフォルトで必須です (トークン、パスワード、信頼済みプロキシ、または有効化されている場合は Tailscale Serve ID ヘッダー)。
• 非ループバックバインドでも Gateway 認証は 必須 です。実際には、トークン/パスワード認証、または gateway.auth.mode: "trusted-proxy" を使用する ID 対応リバースプロキシを意味します。
• ウィザードはデフォルトで共有シークレット認証を作成し、通常は Gateway トークンを生成します (ループバック上でも)。
• 共有シークレットモードでは、UI は connect.params.auth.token または connect.params.auth.password を送信します。
• gateway.tls.enabled: true の場合、ローカルダッシュボードとステータスヘルパーは https:// ダッシュボード URL と wss:// WebSocket URL を表示します。
• Tailscale Serve や trusted-proxy などの ID を持つモードでは、 代わりにリクエストヘッダーから WebSocket 認証チェックが満たされます。
• パブリックな非ループバック Control UI デプロイでは、gateway.controlUi.allowedOrigins を 明示的に設定してください (完全なオリジン)。プライベートな同一オリジンの LAN/Tailnet 読み込みは、ループバック、 RFC1918/link-local、.local、.ts.net、Tailscale CGNAT ホストで受け入れられます。
• gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback=true は Host ヘッダーオリジンフォールバックモードを有効にしますが、危険なセキュリティ低下です。
• Serve では、gateway.auth.allowTailscale が true の場合、Tailscale ID ヘッダーで Control UI/WebSocket 認証を満たせます (トークン/パスワードは不要)。 HTTP API エンドポイントはそれらの Tailscale ID ヘッダーを使用せず、代わりに Gateway の通常の HTTP 認証モードに従います。明示的な認証情報を必須にするには gateway.auth.allowTailscale: false を設定してください。Tailscale と セキュリティ を参照してください。この トークンなしフローは、Gateway ホストが信頼されていることを前提とします。
• gateway.tailscale.mode: "funnel" には gateway.auth.mode: "password" (共有パスワード) が必要です。

​

UI のビルド

pnpm ui:build