#18 OpenClaw 安全配置

安全是 AI 助手系统的生命线。OpenClaw 处理你的 API 密钥、私人数据和通信内容，一旦泄露后果严重。本文介绍如何做好 OpenClaw 的安全配置。

凭证安全管理

所有 API Key 和密码都应存储在 .env 文件中，绝不要硬编码在配置文件里。确保 .env 文件已加入 .gitignore，防止意外提交到代码仓库。

• 使用应用密码代替主密码（如 WordPress 应用密码）
• 定期轮换 API Key
• 不同服务使用不同的凭证
• 敏感操作前确认环境安全

SSH 安全加固

如果 OpenClaw 运行在远程服务器上，SSH 安全至关重要：

• 禁用 root 登录
• 使用密钥认证代替密码
• 修改默认 SSH 端口
• 启用 fail2ban 防暴力破解
• 限制允许登录的用户

防火墙配置

只开放必要的端口：

• SSH 端口（如果需要远程访问）
• Gateway 端口（3000 或自定义端口）
• HTTPS 端口（443，如果使用反向代理）
• 其他端口一律关闭

使用 ufw（Ubuntu）或 firewalld（CentOS）配置防火墙规则。

Gateway 访问控制

Gateway 的控制面板（Control UI）需要设置访问控制：

• 配置 origin 白名单，只允许指定域名访问
• 启用 HTTPS 加密通信
• 设置 Gateway Token 认证
• 限制 API 调用频率

SSL/TLS 配置

强烈建议使用 HTTPS。可以通过以下方式实现：

• Nginx 反向代理 + Let's Encrypt 证书
• Caddy 自动 HTTPS
• Cloudflare 代理

HTTPS 能保护你的通信内容不被中间人窃听。

日志审计

定期查看 Gateway 日志，关注异常行为：

• 未授权的 API 调用尝试
• 异常的大量请求
• 登录失败记录
• 配置变更记录

定期安全检查清单

建议每月执行一次安全检查：

• 更新系统和依赖包
• 审查开放端口
• 检查 API Key 是否泄露
• 查看日志是否有异常
• 备份重要配置文件

总结

安全不是一次性工作，而是持续的过程。做好凭证管理、网络防护和定期审计，让 OpenClaw 安全运行 🔒