OpenClaw zelf hosten in 2026: Gateway, kanalen en beveiliging

Behandel OpenClaw als een klein systeem, niet als een Docker-image. Het doel voor gebruikers van OpenClaw is duidelijk: een AI-assistant-Gateway met meer dan 22 channel-integraties; de deployment is pas geschikt wanneer je één messaging channel kunt pairen, een inkomend bericht kunt versturen, de afzender kunt goedkeuren, een onschuldige tool kunt aanroepen en de Control UI na een herstart van de Gateway opnieuw kunt verbinden.

Dat onderscheid brengt de foutmodus aan het licht die operators na lokale tests tegenkomen: de Gateway bindt alleen aan loopback of de proxy laat WebSocket-upgrades vallen. Het maakt het back-up- en upgradeplan bovendien specifiek genoeg om te testen.

Kies de kleinst haalbare OpenClaw-topologie

De kleinst verantwoorde OpenClaw-topologie bevat één private listener op 18789, een ingress-route en een gedocumenteerde grens van de state. De externe vereisten voor OpenClaw zijn een key van een modelprovider en minstens één gepaird channel. Test uitgaande DNS, TLS en het gedrag van de provider zonder nog een inbound service te publiceren.

Valideer de topologie door een schone client één messaging channel te laten pairen, een inkomend bericht te laten versturen, de afzender goed te keuren, een onschuldige tool aan te roepen en de Control UI na een herstart van de Gateway opnieuw te verbinden. Houd tijdens het uitvoeren parallelle agent turns, modellatentie, browser-toolprocessen en de omvang van de opgebouwde session history in de gaten. Het resultaat laat zien of de volgende verbetering in memory, storage, networking of een aparte worker thuishoort, in plaats van willekeurige container sizing aan te moedigen.

Diagnoseer een OpenClaw die gezond lijkt

Een inactieve health check zegt weinig over OpenClaw. Houd parallelle agent turns, modellatentie, browser-toolprocessen en de omvang van de opgebouwde session history in de gaten en alert op het symptoom dat gebruikers ervaren: het mislukken van de actie “één messaging channel pairen, een inkomend bericht versturen, de afzender goedkeuren, een onschuldige tool aanroepen en de Control UI na een herstart van de Gateway opnieuw verbinden”. Houd liveness lokaal en goedkoop; laat readiness migraties of initialisatie rapporteren zonder een restart storm te veroorzaken.

Het risicovolle onderdeel van een upgrade is dat een release het configuratieschema van de Gateway, gebundelde skills, browser dependencies of channel adapters kan wijzigen. Lees de release notes, maak een snapshot van de state, deploy de doelversie tegen een herstelde kopie en herhaal de acceptatietest. Als de Gateway alleen aan loopback bindt of de proxy WebSocket-upgrades laat vallen, koppel je het clientverzoek aan het eerste relevante applicatielog in plaats van blind state te verwijderen of redirects toe te voegen.

Vijf checks die sterker zijn dan container health

Het releaseverslag voor OpenClaw moet feiten bevatten, geen “ziet er goed uit”. Sla de geselecteerde image digest, configuratiechecksum, publieke hostname en een resultaat met timestamp op voor: één messaging channel pairen, een inkomend bericht versturen, de afzender goedkeuren, een onschuldige tool aanroepen en de Control UI na een herstart van de Gateway opnieuw verbinden. Gebruik niet-productiedata als voorbeeld, zodat de check na elke deployment kan worden uitgevoerd.

Bewijs twee lifecycle-events afzonderlijk. Een containervervanging moet de normale werking behouden; een clean recovery moet aantonen dat de herstelde Gateway de workspace opnieuw kan openen, het gepairde channel herkent en provider-authenticatie kan gebruiken zonder de onboarding opnieuw te doorlopen. Meet tijdens de checks parallelle agent turns, modellatentie, browser-toolprocessen en de omvang van de opgebouwde session history en bewaar het resultaat als de verwachte bandbreedte voor deze versie.

Test ook een geweigerde of ongeldige toestand: blokkeer tijdelijk het testpad dat door een key van een modelprovider en minstens één gepaird channel wordt gebruikt. OpenClaw moet op een diagnoseerbare manier falen en mag geen gezonde state overschrijven. Herstel de geldige toestand, voer het voorbeeld opnieuw uit en voeg de relevante geredigeerde logs toe. Deze artefacten leveren concreet bewijs voor een toekomstige rollbackbeslissing.

Start de eerste productieachtige instance

Houd de eerste OpenClaw-invocatie reproduceerbaar genoeg om in een pull request te kunnen reviewen.

docker run -d \
  --name openclaw \
  --restart unless-stopped \
  -p 127.0.0.1:18789:18789 \
  -v openclaw-data:/home/node/.openclaw \
  -e OPENCLAW_GATEWAY_TOKEN=replace-with-a-long-random-value \
  -e OPENCLAW_GATEWAY_BIND=lan \
  ghcr.io/openclaw/openclaw:latest node dist/index.js gateway --bind lan --port 18789

Vertrouw niet op latest zodra er echte data bestaat. Leg de werkende digest, de container user en de ownership van de mount vast. Volg het applicatielog tijdens een volledige test — één messaging channel pairen, een inkomend bericht versturen, de afzender goedkeuren, een onschuldige tool aanroepen en de Control UI na een herstart van de Gateway opnieuw verbinden — en noteer eventuele migraties voordat je de route achter productieverkeer plaatst.

Maak OpenClaw-recovery meetbaar

Een container-image kan opnieuw worden gedownload; de OpenClaw-workspace, channel-state en configuratie niet. Mount /home/node/.openclaw vóór de bootstrap, schrijf onschuldige voorbeelddata en vervang de container om te bewijzen dat dat pad daadwerkelijk persistent is. Controleer de effectieve mount in plaats van op een Compose-bestandsnaam te vertrouwen, en verifieer dat de runtime user kan schrijven op de locatie die OpenClaw verwacht.

Kies een retentiebeleid en een off-hostbestemming en oefen vervolgens recovery zonder productie aan te raken. De oefening is alleen geslaagd wanneer de herstelde Gateway de workspace opnieuw kan openen, het gepairde channel herkent en provider-authenticatie kan gebruiken zonder de onboarding opnieuw te doorlopen. Gebruik voor state die door een database wordt beheerd storage snapshots in combinatie met application-consistent exports, zoals beschreven in point-in-time recovery versus snapshots.

Test OpenClaw vanaf buiten de server

Behandel de externe OpenClaw-URL als configuratie die redeployments overleeft. Configureer eerst het publieke Gateway-adres en een WebSocket-compatibele proxy; routeer daarna de hostname naar poort 18789, met de oorspronkelijke host en scheme intact.

De deployment reachability-checklist kan aantonen dat requests de container binnenkomen. Vanaf dat punt moet je de bekende fout — de Gateway bindt alleen aan loopback of de proxy laat WebSocket-upgrades vallen — onderzoeken in OpenClaw, de state of de workload, en niet in certificate automation.

Beperk de rechten van OpenClaw

Bootstrap-credentials zijn tijdelijk; het trustmodel is permanent. Let bij OpenClaw op een niet-ingestelde Gateway-token en het goedkeuren van onbekende channel pairings, en gebruik één trust boundary per Gateway, review elke DM-pairing en sandbox tools die de host kunnen aanraken.

Behandel OPENCLAW_GATEWAY_TOKEN volgens zijn OpenClaw-rol: houd gevoelige waarden uit Git, documenteer de gevolgen van rotatie en gebruik in productie nooit een publiek voorbeeld als vervanging. Draai de image zonder onnodige Linux capabilities en publiceer alleen de publieke applicatieroute. Zorg dat administratoractiviteit zichtbaar blijft zonder secretwaarden vast te leggen.

Koppel OpenClaw aan de lifecycle van Dockup

De platformlaag voor OpenClaw bestaat uit poort 18789, ingress, TLS, runtime-configuratie, storage en bereikbaarheid van dependencies. Dockup kan deze onderdelen reproduceren voor de eigen infrastructuur of voor een server die de klant koppelt.

Daarna rondt de operator de productlaag af: configureer het publieke Gateway-adres en een WebSocket-compatibele proxy; handhaaf deze toegangsregel — gebruik één trust boundary per Gateway, review elke DM-pairing en sandbox tools die de host kunnen aanraken; en voer “één messaging channel pairen, een inkomend bericht versturen, de afzender goedkeuren, een onschuldige tool aanroepen en de Control UI na een herstart van de Gateway opnieuw verbinden” uit. Door deze test naast de deployment vast te leggen, voorkom je dat geautomatiseerde provisioning wordt verward met application readiness.

Veelgestelde vragen

Wat heeft OpenClaw nodig voor een productie-deployment?

Routeer de OpenClaw-container op poort 18789 via één HTTPS-origin. De externe leveringsvereiste is een key van een modelprovider en minstens één gepaird channel. Markeer OpenClaw pas als klaar wanneer je één messaging channel kunt pairen, een inkomend bericht kunt versturen, de afzender kunt goedkeuren, een onschuldige tool kunt aanroepen en de Control UI na een herstart van de Gateway opnieuw kunt verbinden.

Welke OpenClaw-data hoort in een back-up?

Maak /home/node/.openclaw persistent en neem de OpenClaw-workspace, channel-state en configuratie op in hetzelfde recovery-manifest. Een clean OpenClaw-restore is alleen geslaagd wanneer de herstelde Gateway de workspace opnieuw kan openen, het gepairde channel herkent en provider-authenticatie kan gebruiken zonder de onboarding opnieuw te doorlopen.

Heeft OpenClaw HTTPS nodig achter een reverse proxy?

Gebruik HTTPS voor de publieke OpenClaw-origin en houd poort 18789 op de interne route. Pas de OpenClaw-instelling correct toe: configureer het publieke Gateway-adres en een WebSocket-compatibele proxy. Voor OpenClaw beschermt HTTPS credentials of gebruikerscontent tijdens transport en zorgt het voor consistent gedrag van clients die gevoelig zijn voor de origin.

Hoe moet een OpenClaw-upgrade worden getest?

Herstel de huidige OpenClaw-state in een geïsoleerde deployment, pas de kandidaatversie toe en herhaal de acceptatietransactie. Let hier extra op, omdat een release het configuratieschema van de Gateway, gebundelde skills, browser dependencies of channel adapters kan wijzigen. Houd de vorige OpenClaw-image beschikbaar totdat de datamigratie- en rollbackgrens ervan duidelijk zijn.