Modell-Authentifizierung in OpenClaw

Die Dokumentation beginnt diese Seite mit einem Hinweis zum Umfang, der eine Wiederholung wert ist: Sie behandelt die Authentifizierung bei Modellanbietern, also API-Schlüssel, OAuth, die Wiederverwendung der Claude CLI und das Anthropic-Setup-Token, nicht das Token oder Passwort, das die Gateway-Verbindung schützt. OpenClaw unterstützt OAuth und API-Schlüssel für Anbieter, und die Empfehlung ist eindeutig: Für einen ständig laufenden Gateway-Host ist ein API-Schlüssel die berechenbarste Option, während Abonnement- und OAuth-Abläufe funktionieren, wenn sie zu Ihrem Anbieterkonto passen. Hier sind die empfohlene Einrichtung, die Anthropic-Wege, wo Zugangsdaten liegen, wie Sie sie prüfen, die Rotation und wie Sie auswählen, welche Zugangsdaten eine Sitzung verwendet.

Die empfohlene Einrichtung

• Erstellen Sie einen Schlüssel in der Konsole des Anbieters, exportieren Sie ihn auf dem Gateway-Host, also der Maschine, auf der das Gateway läuft, und prüfen Sie ihn mit dem Befehl models status.
• Läuft das Gateway unter systemd oder launchd, legen Sie den Schlüssel in die env-Datei des State-Verzeichnisses, damit der Daemon ihn lesen kann, starten Sie neu und prüfen Sie erneut mit models status und doctor; das Onboarding kann Schlüssel für die Nutzung durch den Daemon speichern, wenn Sie keine Variablen verwalten möchten.
• Die Wiederverwendung der Claude CLI ist ein von Anthropic gebilligter Weg und der bevorzugte für lokale oder Desktop-Nutzung, wenn auf dem Host eine Claude-Anmeldung existiert: Melden Sie Claude Code an und weisen Sie OpenClaw dann an, Anthropic-Modelle über das lokale Claude-CLI-Backend zu leiten; OpenClaw liest, speichert, erneuert oder leitet die nativen Anmelde-Tokens nie weiter, der installierte Prozess erneuert seine eigene Anmeldung, und der Dienst muss das Programm über seinen Pfad auflösen können.
• Das Setup-Token ist der andere Anthropic-Weg: ein langlebiges Token, das Claude Code auf einer beliebigen Maschine ausgibt und das über den Befehl auth login im Modus setup-token auf dem Host gespeichert wird, wofür ein interaktives Terminal nötig ist.

Für einen ständig laufenden Gateway-Host ist ein API-Schlüssel die berechenbarste Option; Abonnement-/OAuth-Abläufe funktionieren ebenfalls, wenn sie zum Kontomodell Ihres Anbieters passen.

Wo Zugangsdaten liegen

Die manuelle Token-Eingabe funktioniert für jeden Anbieter und schreibt in den SQLite-Auth-Speicher pro Agent, aus dem OpenClaw Auth-Profile liest; Endpunktdetails wie Basis-URLs, API-Arten, Modell-IDs, Header und Timeouts gehören in die Anbieterkonfiguration, nicht in Profile. Ältere Installationen mit JSON-Auth-Dateien werden von doctor mit Backups mit Zeitstempel importiert, externe Routen wie ein Bedrock-SDK-Modus sind Konfigurationsmetadaten und keine Zugangsdaten, und Zugangsdaten können für Schlüssel und Tokens Secret-Referenzen sein, außer dass Profile im OAuth-Modus diese ablehnen. Das Entfernen gespeicherter Authentifizierung widerruft den Schlüssel beim Anbieter nicht, und wird die Authentifizierung eines Anbieters über die Control Plane entfernt, während das Gateway läuft, werden aktive Ausführungen bei diesem Anbieter mit dem Stoppgrund auth-revoked abgebrochen, damit Clients anzeigen können, warum die Ausführung gestoppt wurde.

Prüfen, rotieren, auswählen

• Die Befehle models status und doctor sind die Prüfungen; das Flag check endet für die Automatisierung mit dem Exit-Code 1, wenn Zugangsdaten abgelaufen sind oder fehlen, und mit 2, wenn sie bald ablaufen, und das Flag probe führt Live-Auth-Prüfungen mit Scope-Flags aus und meldet Profile, die durch die Auth-Reihenfolge ausgeschlossen sind, Anbieter mit Authentifizierung, aber ohne prüfbares Modell, sowie modellbezogene Rate-Limit-Cooldowns, die benachbarte Modelle nutzbar lassen.
• Manche Anbieter wiederholen eine Anfrage, die ein Rate Limit erreicht hat, mit einem anderen konfigurierten Schlüssel, in fester Priorität: ein einzelner Live-Override-Schlüssel, eine Liste von Schlüsseln mit Trennzeichen, die einfache Schlüsselvariable, dann jede Variante mit Präfix, wobei Google-Anbieter zusätzlich auf den generischen Google-Schlüssel zurückfallen; die Rotation greift nur bei Fehlern wegen Rate Limit, Kontingent und too many requests, und anbieterspezifische Drosselungsformulierungen steuern stattdessen die separate Failover-Klassifizierung.
• Profile mit OpenAI-API-Schlüssel und Profile mit ChatGPT- oder Codex-OAuth verwenden beide die kanonische OpenAI-ID, und doctor schreibt alte Codex-Profil-IDs und Einträge der Auth-Reihenfolge um. Mehrere Anmeldungen für einen Anbieter bleiben über Profil-IDs getrennt, ein Force-Flag löscht ein hängendes Profil oder eines mit falschem Konto und startet den Ablauf neu, eine Sitzung pinnt bestimmte Zugangsdaten mit dem Befehl model und einem Profilsuffix, und Befehle für die Auth-Reihenfolge pro Agent lesen, setzen und löschen die automatische Auswahl.

OpenClaw mit Claude und OpenClaw mit einem ChatGPT-Abonnement sind die beiden Abonnement-Wege, die diese Seite klar von einem API-Schlüssel trennt.

Wenn es fehlschlägt

„No credentials found“ bedeutet, dass der Schlüssel nicht auf dem Gateway-Host liegt oder der Setup-Token-Weg nie durchlaufen wurde, und models status bestätigt die Behebung; ein bald ablaufendes oder abgelaufenes Token erscheint im selben Status und wird über das Setup-Token erneuert oder durch einen API-Schlüssel ersetzt. Die Befehle für neue Sitzung und Reset löschen den automatischen Fallback- und Rotationszustand, bewahren aber gültige explizite Profil-Pins, und eine Änderung der Auth-Reihenfolge ändert nur die automatische Auswahl. Modell-Failover in OpenClaw ist der Mechanismus, der bei wiederholtem Fehlschlagen Modelle oder Anbieter wechselt, getrennt von der Schlüsselrotation, und Secrets in OpenClaw beschreibt die Referenzsyntax, die die Schlüssel- und Token-Referenzen verwenden.

Auf Diali

Auf Diali kommt ein Schlüssel, den Sie mitbringen, in den Vault, und die von uns generierte Konfiguration verweist darauf; ohne Schlüssel läuft der Assistent mit den verwalteten KI-Credits, und das Dashboard zeigt, was verwendet wird. Auch ein ChatGPT-, SuperGrok- oder MiniMax-Abo, das Sie bereits bezahlen, kann ihn antreiben: Das Dashboard zeigt einen Einmalcode, Sie bestätigen ihn auf der Seite des Anbieters, und der Assistent behält die Anmeldung selbst, sodass Diali das Token nie hält. Anthropics Setup-Token und die Anmeldung über die Claude CLI sind auf Diali abgeschaltet, weil Anthropics Bedingungen einem gehosteten Dienst nicht erlauben, mit einem Claude-Abo zu laufen; stattdessen funktionieren ein Anthropic-API-Schlüssel oder die verwalteten Credits. Gehostetes OpenClaw auf Diali ist der Assistent und Modelle und Anbieter in OpenClaw behandelt die Anbieter hinter den Schlüsseln.

• Ein API-Schlüssel auf dem Host für ein ständig laufendes Gateway.
• Auth-Profile in SQLite, Endpunkte in der Konfiguration.
• Rotation bei Rate Limits; Failover bei allem anderen.