Buenas prácticas de seguridad en OpenClaw

La documentación de OpenClaw publica una configuración base reforzada: una configuración del Gateway para copiar y pegar que mantiene un despliegue privado, emparejado y con herramientas restringidas, y una configuración base segura más corta para quienes solo quieren las tres primeras líneas. Este artículo es esa configuración explicada clave por clave: por qué está cada línea y cuáles de esas decisiones siguen en pie en un alojamiento gestionado, donde la fontanería es de otro.

El Gateway: local, loopback, token

El modo local y el enlace a loopback mantienen el Gateway fuera de la red; la autenticación por token, con un token largo y aleatorio, controla el acceso de cada cliente, incluso los locales, porque el modo de autenticación predeterminado es token incluso con enlace a loopback. La documentación pone un número real al puerto, 18789, y una advertencia real a la alternativa: poner la autenticación en none permite que cualquier proceso local se conecte.

Los canales: emparejamiento y menciones

• Política de mensajes directos pairing en cada canal: los remitentes desconocidos esperan tu aprobación, y la aprobación es por canal.
• Los grupos requieren una mención de forma predeterminada, así que el agente lee una sala sin responder a cada línea.
• Un número aparte para los canales basados en teléfono, para que las conversaciones personales sigan siendo privadas y el número del bot se encargue de la automatización.
• Ámbito de mensajes directos por interlocutor y canal, para que la sesión de un remitente no se filtre en la de otro.

Las herramientas: un perfil, una lista de denegación y ninguna vía de escape

La configuración base reforzada parte del perfil de herramientas messaging y deniega directamente cuatro grupos: automatización, ejecución, sistema de archivos, y lanzar otras sesiones o enviarles mensajes. El acceso al sistema de archivos se limita al espacio de trabajo, exec está denegado y configurado para preguntar siempre, elevated está desactivado, la visibilidad de sesiones se limita a las del propio agente y el acceso de agente a agente está desactivado. La documentación dice que vuelvas a activar una herramienta cuando la necesites, de forma deliberada, en lugar de empezar abierto y cerrar después. Hay una regla integrada que no se puede desactivar por configuración: los remitentes que no son propietarios nunca obtienen las herramientas cron ni gateway.

Trata estos controles como una defensa en profundidad que reduce la capacidad directa de un solicitante, no como un aislamiento entre varios usuarios hostiles.

Lo que la configuración base no hace

• No sanea el contenido: los controles ligados al solicitante limitan lo que puede hacer un remitente, no lo que una página web o un correo electrónico pueden decirle al modelo.
• No aísla a usuarios locales hostiles: para eso, la documentación indica ejecutar Gateways separados con usuarios del sistema operativo o hosts distintos, o usar un entorno aislado.
• No elige el nivel de tu modelo, algo que la página sobre inyección de prompts trata como un control de seguridad por derecho propio.

La inyección de prompts en OpenClaw cubre el lado del contenido, y el entorno aislado, la política de herramientas y elevated, el de dónde se ejecutan las herramientas; la configuración base es el lado de quién puede hacer qué, y las tres capas están pensadas para sumarse.

En Diali

Las líneas del Gateway son cosa nuestra: nunca está en internet, la instancia no tiene puertos públicos y solo tiene acceso saliente a la web pública, nunca a nuestra red interna, al servidor de metadatos de la nube ni a otros inquilinos, y el token nunca sale del Vault. Las líneas de canales y herramientas son tuyas, en el panel, porque quién puede escribir al asistente y qué puede ejecutar son una cuestión de política, no de fontanería. La seguridad en Diali es la página sobre la frontera; OpenClaw alojado en Diali, la del asistente.

• Local, loopback, token: el Gateway no es un servidor.
• Emparejamiento, menciones, un número aparte: los canales están protegidos.
• Un perfil, una lista de denegación, sin elevated: las herramientas son el conjunto mínimo que hace el trabajo.