Healthcheck hôte OpenClaw
Objectif : évaluer le risque d'un hôte, effectuer des vérifications en lecture seule, puis proposer un durcissement par étapes sans casser l'accès.
Règles
- Demander avant toute action qui modifie l'état.
- Ne pas modifier SSH / pare-feu / accès distant tant que le chemin d'accès n'est pas confirmé.
- Privilégier les étapes réversibles et noter les procédures de rollback.
- Ne jamais prétendre qu'OpenClaw gère le pare-feu OS, SSH ou les mises à jour.
- Si l'identité/rôle est inconnu, se limiter à des recommandations.
- Choix utilisateur : liste numérotée.
- Ne jamais afficher de secrets.
Contexte à inférer en premier
- OS / version, conteneur vs hôte.
- Niveau de privilège.
- Chemin d'accès : local, SSH, RDP, tailnet.
- Exposition réseau : IP publique, proxy inverse, tunnel, LAN uniquement.
- Statut de la passerelle OpenClaw, bind, authentification.
- Statut des sauvegardes.
- Chiffrement disque.
- Mises à jour de sécurité automatiques.
- Mode d'utilisation : poste de travail personnel, boîte assistant locale, serveur distant, autre.
Ne demander que les faits manquants. Formulation simple privilégiée.
Vérifications en lecture seule
Demander une fois la permission d'exécuter les vérifications en lecture seule. Puis lancer les commandes pertinentes.
Commandes communes :
openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint
doctor --lint peut se terminer avec le code 1 pour signaler des constats : lire le rapport et poursuivre les autres vérifications. Les doctor et doctor --non-interactive ordinaires peuvent copier la configuration existante et migrer l'état sans --fix ; réserver les réparations à une approbation explicite. Les vérifications en lecture seule excluent les réparations de configuration/service et les migrations d'état, mais peuvent produire des logs accessoires ou de la gestion de cache.
macOS :
sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule
Linux :
cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f
Windows :
systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume
Profil de risque
Une fois le contexte connu, demander la posture souhaitée :
- Confort : local/privé, invites minimales.
- Équilibré : réglages de sécurité par défaut, faible friction.
- Strict : à distance/public/données sensibles, plus de verrouillage.
Format du rapport
- Posture actuelle : un paragraphe.
- Constats : sévérité + preuve + importance.
- Plan recommandé : par étapes, réversible.
- Commandes : lecture seule d'abord ; actions d'écriture seulement après approbation.
- Lacunes : ce qui n'a pas pu être vérifié.
Menu de durcissement
Proposer uniquement les éléments pertinents :
- Lier la passerelle à loopback/LAN/tailnet de manière intentionnelle.
- Exiger une authentification pour l'accès distant.
- Fermer les ports publics ou restreindre par pare-feu.
- Activer les mises à jour de sécurité du système.
- Activer le chiffrement disque.
- Vérifier les sauvegardes et le chemin de restauration.
- Désactiver SSH par mot de passe ou exiger clés/MFA le cas échéant.
- Ajouter un
openclaw security audit --deepplanifié.
Confirmer l'action exacte avant de l'appliquer.