L’authentification des modèles dans OpenClaw

La documentation ouvre cette page par une note de périmètre qui vaut d’être répétée : elle couvre l’authentification auprès des fournisseurs de modèles, clés d’API, OAuth, réutilisation de la CLI Claude et jeton de configuration Anthropic, pas le jeton ou le mot de passe qui protège la connexion à la passerelle. OpenClaw prend en charge OAuth et les clés d’API pour les fournisseurs, et la recommandation est simple : pour un hôte de passerelle en marche continue, une clé d’API est l’option la plus prévisible, tandis que les flux d’abonnement et OAuth fonctionnent quand ils correspondent à votre compte chez le fournisseur. Voici la configuration recommandée, les chemins Anthropic, où vivent les identifiants, comment les vérifier, la rotation, et comment choisir l’identifiant qu’une session utilise.

La configuration recommandée

• Créez une clé dans la console du fournisseur, exportez-la sur l’hôte de la passerelle, la machine qui fait tourner la passerelle, et vérifiez avec la commande d’état des modèles.
• Si la passerelle tourne sous systemd ou launchd, placez la clé dans le fichier env du répertoire d’état pour que le démon puisse la lire, redémarrez, et vérifiez de nouveau avec l’état des modèles et le docteur ; l’assistant de démarrage peut stocker les clés pour l’usage du démon si vous préférez ne pas gérer de variables.
• La réutilisation de la CLI Claude est un chemin Anthropic sanctionné et le chemin préféré pour l’usage local ou de bureau quand une connexion Claude existe sur l’hôte : connectez Claude Code, puis dites à OpenClaw de router les modèles Anthropic par le backend CLI Claude local ; OpenClaw ne lit, ne stocke, ne rafraîchit ni ne transmet jamais les jetons de connexion natifs, le processus installé rafraîchit sa propre connexion, et le service doit résoudre l’exécutable sur son chemin.
• Le jeton de configuration est l’autre chemin Anthropic : un jeton de longue durée imprimé par Claude Code sur n’importe quelle machine, stocké sur l’hôte par la commande de connexion d’authentification en mode jeton de configuration, qui exige un terminal interactif.

Pour un hôte de passerelle en marche continue, une clé d’API est l’option la plus prévisible ; les flux d’abonnement ou OAuth fonctionnent aussi quand ils correspondent au modèle de compte de votre fournisseur.

Où vivent les identifiants

La saisie manuelle de jeton fonctionne pour tout fournisseur et écrit le magasin d’authentification SQLite par agent, d’où OpenClaw lit les profils d’authentification ; les détails de point d’accès comme les URL de base, les types d’API, les identifiants de modèles, les en-têtes et les délais appartiennent à la configuration du fournisseur, pas aux profils. Les anciennes installations avec des fichiers d’authentification JSON sont importées par le docteur avec des sauvegardes horodatées, les routes externes comme un mode SDK Bedrock sont des métadonnées de configuration plutôt que des identifiants, et les identifiants peuvent être des références de secrets pour les clés et les jetons, sauf que les profils en mode OAuth les rejettent. Retirer une authentification enregistrée ne révoque pas la clé chez le fournisseur, et retirer l’authentification d’un fournisseur par le plan de contrôle pendant que la passerelle tourne interrompt les exécutions actives sur ce fournisseur avec une raison d’arrêt d’authentification révoquée pour que les clients puissent montrer pourquoi l’exécution s’est arrêtée.

Vérifier, faire tourner, choisir

• L’état des modèles et le docteur sont les vérifications ; l’option de contrôle sort avec un quand un identifiant est expiré ou manquant et deux quand il expire, pour l’automatisation, et l’option de sonde lance des sondes d’authentification en direct avec des options de portée, en rapportant les profils exclus par l’ordre d’authentification, les fournisseurs avec authentification mais sans modèle sondable, et les refroidissements de limite de débit propres à un modèle qui laissent les modèles frères utilisables.
• Certains fournisseurs réessaient une requête limitée en débit avec une autre clé configurée, dans une priorité fixe : une clé de remplacement unique en direct, une liste de clés délimitée, la variable de clé simple, puis toute variante préfixée, les fournisseurs Google retombant aussi sur la clé Google générique ; la rotation ne se déclenche que sur les erreurs de limite de débit, de quota et de requêtes trop nombreuses, et les formules d’étranglement propres aux fournisseurs pilotent à la place la classification distincte de basculement.
• Les profils OpenAI par clé d’API et les profils OAuth ChatGPT ou Codex utilisent tous l’identifiant canonique OpenAI, et le docteur réécrit les anciens identifiants de profils Codex et les entrées d’ordre d’authentification. Plusieurs connexions pour un même fournisseur restent séparées par des identifiants de profils, une option de forçage supprime un profil bloqué ou du mauvais compte et relance le flux, une session épingle un identifiant précis avec la commande de modèle et un suffixe de profil, et les commandes d’ordre d’authentification par agent lisent, fixent et effacent la sélection automatique.

OpenClaw avec Claude et OpenClaw avec un abonnement ChatGPT sont les deux voies par abonnement que cette page distingue d’une clé d’API.

Quand cela échoue

Aucun identifiant trouvé veut dire que la clé n’est pas sur l’hôte de la passerelle, ou que le chemin du jeton de configuration n’a jamais été lancé, et l’état des modèles confirme la correction ; un jeton qui expire ou a expiré apparaît dans le même état, rafraîchi par le jeton de configuration ou remplacé par une clé d’API. Les commandes de nouvelle session et de réinitialisation effacent l’état automatique de repli et de rotation mais préservent les épinglages explicites valides de profils, et changer l’ordre d’authentification ne change que la sélection automatique. Le basculement de modèle d’OpenClaw est le mécanisme qui change de modèle ou de fournisseur sur échec répété, distinct de la rotation des clés, et Les secrets dans OpenClaw la syntaxe de référence qu’utilisent les références de clés et de jetons.

Sur Diali

Sur Diali, une clé que vous apportez va dans le coffre et la configuration que nous générons la référence ; sans clé, l’assistant tourne sur les crédits IA gérés, et le tableau de bord montre lequel est utilisé. OpenClaw hébergé sur Diali est l’assistant et Modèles et fournisseurs d’OpenClaw couvre les fournisseurs derrière les clés.

• Une clé d’API sur l’hôte pour une passerelle en marche continue.
• Les profils d’authentification dans SQLite, les points d’accès dans la configuration.
• Rotation sur limite de débit ; basculement sur tout le reste.