healthcheck

Verificación de estado del host OpenClaw

Objetivo: evaluar el riesgo del host, ejecutar comprobaciones de solo lectura y luego proponer un endurecimiento por fases sin interrumpir el acceso.

Reglas

• Preguntar antes de acciones que cambien el estado.
• No modificar SSH/cortafuegos/acceso remoto hasta que se confirme la ruta de acceso.
• Preferir pasos reversibles y notas de reversión.
• Nunca afirmar que OpenClaw gestiona el cortafuegos del SO, SSH o las actualizaciones.
• Si se desconoce la identidad/rol, solo recomendar.
• Opciones del usuario: lista numerada.
• Nunca imprimir secretos.

Contexto a inferir primero

• SO/versión, contenedor vs host.
• Nivel de privilegio.
• Ruta de acceso: local, SSH, RDP, tailnet.
• Exposición de red: IP pública, proxy inverso, túnel, solo LAN.
• Estado de la pasarela OpenClaw, enlace, autenticación.
• Estado de las copias de seguridad.
• Cifrado de disco.
• Actualizaciones de seguridad automáticas.
• Modo de uso: estación de trabajo personal, caja asistente local, servidor remoto, otro.

Preguntar solo por los datos faltantes. Preferir frases sencillas.

Comprobaciones de solo lectura

Preguntar una vez por permiso para ejecutar comprobaciones de solo lectura. Luego ejecutar los comandos relevantes.

Comunes:

openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint

doctor --lint puede salir con 1 si hay hallazgos: leer el informe y continuar con las comprobaciones restantes. doctor normal y doctor --non-interactive pueden copiar configuración heredada y migrar estado sin --fix; reservar las reparaciones para aprobación explícita. Las comprobaciones de solo lectura excluyen reparaciones de configuración/servicio y migraciones de estado, pero pueden producir registros incidentales o contabilidad de caché.

macOS:

sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule

Linux:

cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f

Windows:

systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume

Perfil de riesgo

Una vez conocido el contexto, preguntar por la postura deseada:

1. Cómodo: local/privado, mínimas indicaciones.
2. Equilibrado: valores seguros por defecto, baja fricción.
3. Estricto: remoto/público/datos sensibles, más bloqueo.

Forma del informe

• Postura actual: un párrafo.
• Hallazgos: gravedad + evidencia + por qué importa.
• Plan recomendado: por fases, reversible.
• Comandos: primero solo lectura; acciones de escritura solo tras aprobación.
• Vacíos: qué no se pudo comprobar.

Menú de endurecimiento

Ofrecer solo los elementos relevantes:

• Vincular la pasarela a loopback/LAN/tailnet intencionadamente.
• Exigir autenticación para acceso remoto.
• Cerrar puertos públicos o restringir mediante cortafuegos.
• Activar actualizaciones de seguridad del SO.
• Activar el cifrado de disco.
• Verificar copias de seguridad y ruta de restauración.
• Deshabilitar SSH con contraseña o requerir claves/MFA donde corresponda.
• Añadir openclaw security audit --deep programado.

Confirmar la acción exacta antes de aplicarla.