Web (Gateway)

Das Gateway stellt eine kleine Browser Control UI (Vite + Lit) über denselben Port wie das Gateway WebSocket bereit:

  • Standard: http://<host>:18789/
  • Optionales Präfix: setze gateway.controlUi.basePath (z.B. /openclaw)

Die Funktionen findest du unter Control UI. Diese Seite konzentriert sich auf Bind-Modi, Sicherheit und Web-Oberflächen.

Webhooks

Wenn hooks.enabled=true gesetzt ist, stellt das Gateway auch einen kleinen Webhook-Endpoint auf demselben HTTP-Server bereit. Siehe Gateway-Konfiguration → hooks für Auth und Payloads.

Konfiguration (standardmäßig aktiv)

Die Control UI ist standardmäßig aktiviert, wenn die Assets vorhanden sind (dist/control-ui). Du kannst sie über die Config steuern:

{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath optional
  },
}

Tailscale-Zugriff

Integrierter Serve-Modus (empfohlen)

Lass das Gateway auf Loopback laufen und nutze Tailscale Serve als Proxy:

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}

Dann starte das Gateway:

openclaw gateway

Öffne:

  • https://<magicdns>/ (oder dein konfigurierter gateway.controlUi.basePath)

Tailnet-Bind + Token

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}

Dann starte das Gateway (Token erforderlich für Nicht-Loopback-Binds):

openclaw gateway

Öffne:

  • http://<tailscale-ip>:18789/ (oder dein konfigurierter gateway.controlUi.basePath)

Öffentliches Internet (Funnel)

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // or OPENCLAW_GATEWAY_PASSWORD
  },
}

Sicherheitshinweise

  • Gateway-Auth ist standardmäßig erforderlich (Token/Passwort oder Tailscale Identity Headers).
  • Nicht-Loopback-Binds erfordern weiterhin ein gemeinsames Token/Passwort (gateway.auth oder env).
  • Der Wizard generiert standardmäßig ein Gateway-Token (auch bei Loopback).
  • Die UI sendet connect.params.auth.token oder connect.params.auth.password.
  • Mit Serve können Tailscale Identity Headers die Auth erfüllen, wenn gateway.auth.allowTailscale auf true steht (kein Token/Passwort erforderlich). Setze gateway.auth.allowTailscale: false, um explizite Credentials zu verlangen. Siehe Tailscale und Sicherheit.
  • gateway.tailscale.mode: "funnel" erfordert gateway.auth.mode: "password" (gemeinsames Passwort).

UI bauen

Das Gateway stellt statische Dateien aus dist/control-ui bereit. Baue sie mit:

pnpm ui:build # installiert UI-Abhängigkeiten automatisch beim ersten Durchlauf