Dans cet article

Un assistant toujours actif demande plus qu'un serveur. Commencez par un Droplet OpenClaw neuf, protégez la passerelle, prouvez un flux privé, puis élargissez l'usage.

Choisir une première tâche limitée

OpenClaw peut connecter un assistant à des canaux de messagerie, des outils et des fournisseurs de modèles. C'est utile parce qu'il peut agir longtemps. C'est aussi la raison pour laquelle un premier déploiement improvisé peut exposer plus d'accès que prévu.

Commencez par une tâche privée facile à observer, comme répondre à vos propres messages Telegram ou résumer un petit ensemble de documents approuvés. Ne donnez pas d'abord accès à un dépôt de production, des données client ou un canal partagé. Un flux privé qui fonctionne apporte plus d'information qu'une démo compliquée.

  • Un compte administrateur et une clé SSH que vous contrôlez.
  • Un compte de fournisseur de modèle avec une limite ou une alerte de dépense comprise.
  • Un compte de messagerie pour vos propres messages de test.
  • Une décision écrite sur les outils, l'accès réseau et les fichiers permis à l'assistant.
  • Une limite de coût : le Droplet et l’usage du fournisseur de modèle sont deux coûts continus ; définissez une alerte ou un plafond avant la première vraie tâche.

Dimensionner et créer un Droplet OpenClaw neuf

DigitalOcean publie une image 1-Click OpenClaw dédiée pour un Droplet Ubuntu 24.04 neuf. Son guide de dimensionnement actuel commence à 4 Go de RAM et 2 vCPU pour un usage personnel, puis augmente pour davantage de personnes et de canaux. L'automatisation de navigateur et plusieurs instances isolées peuvent exiger plus de ressources ; prenez ce tableau comme point de départ, pas comme promesse.

Créez un nouveau Droplet depuis cette image Marketplace au lieu de lancer une installation sur un serveur applicatif existant. Cette séparation aide à garder la configuration, les journaux et les autorisations d'outils de l'assistant loin des systèmes qu'il pourrait un jour aider.

  1. Choisissez l'image 1-Click OpenClaw et une région proche des personnes ou services que l'assistant doit joindre.
  2. Pour un premier déploiement personnel, commencez avec la recommandation publiée de 4 Go de RAM et 2 vCPU, sauf besoin clair supérieur.
  3. Attachez une clé SSH. Évitez SSH par mot de passe pour ce serveur.
  4. Utilisez un Cloud Firewall qui limite SSH à votre adresse d'administration ou à votre VPN. N'ajoutez pas de règles entrantes larges seulement pour faire fonctionner un tableau de bord.

Auto-héberger un serveur de chat Stoat privé

Sources vérifiées le 8 octobre 2026 : la fiche Marketplace recommande 4 Go de RAM et 2 vCPU pour un usage personnel et décrit des protections de l’image. Contrôlez-les sur l’instance réelle ; cette description n’est pas un test de sécurité. Consultez le guide de sécurité OpenClaw avant d’autoriser des outils. Les contrôles complémentaires utilisent 625efb3958d1.

Prouver le serveur avant de connecter un canal

L'image Marketplace fournit un service système openclaw et un service Caddy. DigitalOcean indique que le plan de contrôle utilise l'authentification de passerelle, la limitation de débit par pare-feu, l'exécution non-root, l'isolation par conteneur et l'association privée de messages directs. Ces choix aident, mais ils ne remplacent pas la vérification de ce qui a réellement démarré sur votre Droplet.

Le dépôt compagnon réalise deux contrôles en lecture seule. Il n'installe aucun logiciel, ne change aucune politique d'exécution, n'ouvre aucun port et n'envoie aucun jeton. Examinez la sortie distante avant toute modification. Un contrôle de service sain établit seulement la base serveur ; l’association du tableau de bord et un message privé sont des contrôles d’acceptation distincts.

Commande shell
git clone https://github.com/TylorMayfield/openclaw-droplet-safety-checks.git
git -C openclaw-droplet-safety-checks checkout --detach 625efb3958d1c1e5012e96bb8c6615bd386c0c25
test "$(git -C openclaw-droplet-safety-checks rev-parse HEAD)" = 625efb3958d1c1e5012e96bb8c6615bd386c0c25
cd openclaw-droplet-safety-checks
chmod 700 scripts/preflight.sh scripts/check-service.sh
OPENCLAW_SSH_TARGET=root@YOUR_DROPLET_IP ./scripts/preflight.sh
OPENCLAW_SSH_TARGET=root@YOUR_DROPLET_IP ./scripts/check-service.sh

Associer le tableau de bord et un canal privé

Connectez-vous avec SSH lorsque le Droplet a fini son provisionnement. Le flux Marketplace demande de choisir un fournisseur de modèle et de saisir sa clé API. Traitez cette clé et le jeton de passerelle généré comme des secrets : ne les validez pas dans Git, ne les collez pas dans une issue et ne les mettez pas dans une capture.

Ouvrez l'URL du tableau de bord affichée par le flux d'accueil, puis associez votre appareil. Ajoutez un seul canal après la connexion du tableau de bord. Testez-le avec votre propre compte avant d'autoriser une autre personne, un groupe ou un bot. Si le canal propose une liste d'autorisation, remplissez-la avant de considérer l'assistant comme privé.

Pour ce premier canal, utilisez les messages directs Telegram. Dans Telegram, ouvrez le compte vérifié @BotFather, lancez /newbot et conservez le jeton en privé. Dans la configuration des canaux OpenClaw, activez Telegram, renseignez le jeton et réglez dmPolicy sur pairing. Gardez les groupes désactivés pour cet exercice. Redémarrez le service openclaw du Marketplace après enregistrement.

Envoyez d’abord un message depuis votre propre compte Telegram pour créer la demande en attente, puis exécutez les commandes ci-dessous.

Identifiez le contexte du service sans supposer que son compte s’appelle openclaw. L’installation Marketplace fournit /opt/openclaw-cli.sh pour la CLI. Contrôlez le champ User et le propriétaire du processus ; un champ vide ne prouve pas une exécution non-root. Un lanceur peut changer d’identité : examinez-le localement et sans publier son contenu si les résultats diffèrent. Utilisez le lanceur fourni pour l’appairage après avoir vérifié son aide. S’il manque, suivez l’environnement documenté de l’image installée ; sudo -u seul peut utiliser le mauvais HOME, état ou identifiants. Ne publiez jamais /opt/openclaw.env dans des journaux.

Commande shell
# Read-only: identify the configured account and the service's main process.
sudo systemctl show openclaw.service --property=User,Group,WorkingDirectory,FragmentPath
pid=$(sudo systemctl show openclaw.service --property=MainPID --value)
if [ "$pid" -gt 0 ]; then ps -o user= -p "$pid"; fi
# Use the Marketplace wrapper from its documented setup, not an unrelated shell profile.
sudo /opt/openclaw-cli.sh --help
sudo /opt/openclaw-cli.sh pairing list telegram
Commande shell
# Only after checking the pending request belongs to your own account:
sudo /opt/openclaw-cli.sh pairing approve telegram YOUR_PAIRING_CODE

L’installation Telegram décrit l’appairage.

Après avoir approuvé uniquement votre propre demande, envoyez « Réponds par prêt ». Attendez une réponse seulement après approbation.

Depuis un second compte Telegram non approuvé, envoyez la même demande. Il peut recevoir des instructions d’association, mais aucune réponse du modèle ni exécution d’outil. Ne l’approuvez pas. S’il reçoit une réponse, arrêtez le service et vérifiez dmPolicy et la liste d’accès du compte actif.

  1. Vérifiez que le tableau de bord est associé à votre appareil et n'affiche pas d'erreur de connexion.
  2. Envoyez une demande inoffensive depuis votre propre compte de messagerie.
  3. Confirmez qu'un compte non associé ou non approuvé ne peut pas invoquer l'assistant.
  4. Notez le fournisseur de modèle, le canal et les autorisations d'outils actifs pour rendre visible une modification ultérieure.

Configuration et association Telegram

Étendre l'accès aux outils avec méthode

Un assistant doté d'outils peut effectuer des appels réseau, exécuter des commandes et lire des fichiers selon sa configuration. Ce n'est pas un réglage à copier depuis un exemple sans modèle de menace. Conservez l'isolation par défaut et la limite non-root, puis accordez la capacité minimale nécessaire à la première tâche.

Si une compétence doit utiliser davantage d'exécution ou d'accès réseau, placez ce travail sur un Droplet dédié plutôt que sur un serveur qui contient votre application, un checkout source, des identifiants ou des données client. Testez avec un compte ou dossier jetable. Vérifiez les entrées et sorties de l'outil avant de le connecter à quelque chose de précieux.

  • Ne placez pas de clé de fournisseur ou de jeton de passerelle dans un dépôt Git.
  • N'exposez pas un tableau de bord d'administration à un large public sans association d'appareil et authentification.
  • Ne supposez pas que l'isolation d'un assistant rend toute compétence tierce sûre.
  • Retirez une intégration de canal si vous ne vérifiez plus son chemin d'accès.

Sauvegarder avant une mise à jour, puis revérifier

La documentation OpenClaw avertit que des copies brutes d'une base active peuvent être incomplètes ou corrompues. Utilisez son outil de sauvegarde avant une mise à jour, une réinitialisation, une désinstallation ou un déplacement de machine, et protégez l'archive obtenue car elle peut contenir configuration et état de compte.

Après une mise à jour, répétez le contrôle du service, celui de l'association du tableau de bord et un message inoffensif sur le canal. Une version installée avec succès ne prouve pas que la passerelle, l'authentification du fournisseur et l'intégration du canal fonctionnent encore ensemble.

Exécutez aussi les sauvegardes dans ce contexte vérifié. Le guide de sauvegarde documente backup create --output … --verify ; la vérification contrôle l’archive, sans prouver la restauration d’un assistant isolé. Consultez d’abord backup create --help avec le lanceur, protégez le répertoire de sortie, copiez l’archive hors du Droplet et répétez une restauration en bloquant l’envoi vers les canaux. Une sauvegarde créée dans le HOME de root peut ne pas contenir l’état du service.

Remplacez /ABSOLUTE/PROTECTED/BACKUP_DIR par un répertoire privé existant, accessible en écriture au contexte de service vérifié. Contrôlez son propriétaire et ses permissions avant la sauvegarde.

Commande shell
sudo /opt/openclaw-cli.sh backup create --help
sudo /opt/openclaw-cli.sh backup create --output /ABSOLUTE/PROTECTED/BACKUP_DIR --verify

Questions fréquentes

Puis-je installer l'image Marketplace OpenClaw sur un Droplet existant ?

Non. Utilisez l'image Marketplace pour un Droplet neuf. Garder l'assistant sur son propre serveur réduit le risque que sa configuration ou son accès aux outils affecte une application existante.

Avec quelle taille commencer pour un assistant OpenClaw personnel ?

La page OpenClaw actuelle de DigitalOcean recommande 4 Go de RAM et 2 vCPU pour une à cinq personnes. Augmentez la capacité seulement lorsque vos canaux, instances isolées, automatisation de navigateur ou mesures réelles le justifient.

Dois-je activer toutes les capacités d'outils pour que l'assistant soit utile ?

Non. Commencez avec l'accès minimal qui accomplit une tâche privée. Ajoutez des capacités seulement après avoir compris leur frontière de données et d'exécution, et préférez un Droplet dédié pour un accès élargi.

Quel est le plus petit test de réussite utile ?

Associez le tableau de bord depuis votre appareil, connectez un canal privé, envoyez un message inoffensif depuis votre compte et confirmez qu’un compte non associé ne peut pas invoquer l’assistant. Notez le fournisseur, le canal et les autorisations d’outils actifs avant d’ajouter quoi que ce soit.