Веб

• по умолчанию: http://<host>:18789/
• с gateway.tls.enabled: true: https://<host>:18789/
• необязательный префикс: задайте gateway.controlUi.basePath (например, /openclaw)

​

Конфигурация (включено по умолчанию)

{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath необязателен
  },
}

​

Webhook

​

Административный HTTP RPC

​

Доступ через Tailscale

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // или OPENCLAW_GATEWAY_PASSWORD
  },
}

​

Примечания по безопасности

• По умолчанию требуется аутентификация Gateway: токен, пароль, доверенный прокси-сервер или, если они включены, заголовки идентификации Tailscale Serve.
• При привязке не к loopback-интерфейсу аутентификация Gateway также обязательна: аутентификация по токену/паролю или обратный прокси-сервер с проверкой идентификации и gateway.auth.mode: "trusted-proxy".
• Мастер первоначальной настройки по умолчанию создаёт аутентификацию с общим секретом и обычно генерирует токен Gateway даже при привязке к loopback-интерфейсу.
• В режиме общего секрета интерфейс отправляет connect.params.auth.token или connect.params.auth.password во время установления соединения WebSocket.
• При использовании gateway.tls.enabled: true локальные вспомогательные средства панели управления и состояния формируют URL-адреса https:// и URL-адреса WebSocket wss://.
• В режимах с передачей идентификационных данных (Tailscale Serve, trusted-proxy) проверка аутентификации WebSocket выполняется на основе заголовков запроса, а не общего секрета.
• При публичном развёртывании интерфейса управления с привязкой не к loopback-интерфейсу явно задайте gateway.controlUi.allowedOrigins (полные источники). Для loopback, RFC1918/link-local, .local, .ts.net и узлов Tailscale CGNAT частные загрузки из того же источника принимаются без этого параметра.
• gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback: true включает резервное определение источника по заголовку Host; это опасное ослабление безопасности.
• При использовании Serve заголовки идентификации Tailscale обеспечивают аутентификацию интерфейса управления/WebSocket, если gateway.auth.allowTailscale: true (токен или пароль не требуется). Конечные точки HTTP API не используют заголовки идентификации Tailscale; они всегда следуют обычному режиму HTTP-аутентификации Gateway. Задайте gateway.auth.allowTailscale: false, чтобы требовать явные учётные данные даже при использовании Serve. Этот режим без токена предполагает, что сам узел Gateway является доверенным. См. разделы Tailscale и Безопасность.

​

Сборка интерфейса

pnpm ui:build