Sieć Web

• domyślnie: http://<host>:18789/
• z gateway.tls.enabled: true: https://<host>:18789/
• opcjonalny prefiks: ustaw gateway.controlUi.basePath (np. /openclaw)

​

Konfiguracja (domyślnie włączona)

{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath opcjonalne
  },
}

​

Webhooki

​

Administracyjne RPC przez HTTP

​

Dostęp przez Tailscale

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // lub OPENCLAW_GATEWAY_PASSWORD
  },
}

​

Uwagi dotyczące bezpieczeństwa

• Uwierzytelnianie Gatewaya jest domyślnie wymagane: token, hasło, zaufany serwer proxy lub — po włączeniu — nagłówki tożsamości Tailscale Serve.
• Powiązania inne niż local loopback nadal wymagają uwierzytelniania Gatewaya: tokenem/hasłem lub przez odwrotny serwer proxy rozpoznający tożsamość z ustawieniem gateway.auth.mode: "trusted-proxy".
• Kreator wdrażania domyślnie tworzy uwierzytelnianie współdzielonym sekretem i zwykle generuje token Gatewaya, nawet w local loopback.
• W trybie współdzielonego sekretu interfejs wysyła connect.params.auth.token lub connect.params.auth.password podczas uzgadniania połączenia WebSocket.
• Przy gateway.tls.enabled: true lokalne narzędzia pulpitu i stanu generują adresy URL https:// oraz adresy URL WebSocket wss://.
• W trybach przekazujących tożsamość (Tailscale Serve, trusted-proxy) kontrola uwierzytelniania WebSocket jest realizowana na podstawie nagłówków żądania zamiast współdzielonego sekretu.
• W przypadku publicznych wdrożeń interfejsu sterowania poza local loopback ustaw jawnie gateway.controlUi.allowedOrigins (pełne źródła). Prywatne żądania z tego samego źródła są akceptowane bez tego ustawienia dla local loopback, adresów RFC1918/link-local oraz hostów .local, .ts.net i Tailscale CGNAT.
• gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback: true włącza awaryjne ustalanie źródła na podstawie nagłówka Host; jest to niebezpieczne osłabienie zabezpieczeń.
• W przypadku Serve nagłówki tożsamości Tailscale spełniają wymagania uwierzytelniania interfejsu sterowania/WebSocket, gdy gateway.auth.allowTailscale: true (token ani hasło nie są wymagane). Punkty końcowe API HTTP nie używają nagłówków tożsamości Tailscale; zawsze stosują zwykły tryb uwierzytelniania HTTP Gatewaya. Ustaw gateway.auth.allowTailscale: false, aby wymagać jawnych danych uwierzytelniających nawet przez Serve. Ten przepływ bez tokena zakłada, że sam host Gatewaya jest zaufany. Zobacz Tailscale i Bezpieczeństwo.

​

Budowanie interfejsu

pnpm ui:build