Perché la Sicurezza è Critica
OpenClaw è un software straordinario. Essendo una delle piattaforme di assistente IA personale open source più popolari, è cresciuto rapidamente. Ma la popolarità ha un lato oscuro: rende OpenClaw un bersaglio di grande valore per gli aggressori e l'installazione predefinita è allarmantemente insicura.
Una ricerca di sicurezza indipendente condotta all'inizio del 2026 ha utilizzato scansioni Shodan e Censys per individuare un gran numero di istanze OpenClaw direttamente accessibili dalla rete pubblica. Una quota considerevole non aveva alcuna autenticazione configurata, il che significa che chiunque conoscesse l'indirizzo IP poteva inviare messaggi, leggere la cronologia delle conversazioni, accedere alle integrazioni collegate e, in molti casi, eseguire comandi arbitrari tramite l'assistente IA.
La bolletta notturna di 6.000 dollari non è ipotetica. È accaduta a uno sviluppatore che ne ha parlato su Reddit a febbraio 2026. Un attaccante ha trovato la sua istanza esposta, ha estratto le chiavi API di OpenAI e Anthropic dal contesto della conversazione e ha eseguito richieste automatizzate attraverso entrambe le API per 14 ore prima che lo sviluppatore si svegliasse con gli avvisi di fatturazione. I fornitori delle API hanno rimborsato parte della somma, ma non tutta. Lo sviluppatore non aveva backup e ha perso 6 mesi di cronologia delle conversazioni e configurazioni personalizzate.
Questa non è una critica a OpenClaw in sé. Il software principale è ben mantenuto, attivamente sviluppato e le vulnerabilità vengono divulgate responsabilmente quando vengono trovate. Il problema è il deployment. L'installer one-liner di OpenClaw privilegia la facilità di configurazione (far funzionare tutto in 5 minuti) e lascia la configurazione della sicurezza all'utente. La maggior parte degli utenti non sono amministratori di sistema. Seguono la guida rapida, vedono che funziona e vanno avanti. È in quel momento che inizia il conto alla rovescia.
Il divario tra "installato e funzionante" e "installato e sicuro" è esattamente ciò che OpenClawPro esiste per colmare. Di seguito, dettagliamo ogni passaggio del nostro audit di sicurezza a 12 punti, lo stesso processo che applichiamo a ogni installazione, a partire dal piano Starter da 169 dollari.
Il Nostro Audit di Sicurezza a 12 Punti
Ogni installazione OpenClawPro, dal piano Starter da 169 dollari al tier Managed, riceve questo hardening di sicurezza completo. Ogni punto affronta uno specifico vettore di attacco che abbiamo osservato sfruttato in the wild. Niente è opzionale. Niente viene saltato.
Autenticazione SSH solo con Chiave
Disabilita completamente il login con password
L'SSH basato su password è il vettore più attaccato su qualsiasi VPS. I bot automatizzati martellano la porta 22 migliaia di volte all'ora, provando password comuni e forzando quelle deboli. Generiamo per voi una coppia di chiavi SSH Ed25519, installiamo la chiave pubblica sul vostro server e disabilitiamo definitivamente PasswordAuthentication in /etc/ssh/sshd_config. Questo rende impraticabili gli attacchi a forza bruta: non c'è nulla da indovinare.
Configurazione Fail2ban
Protezione brute-force che banna gli attaccanti
Anche con SSH a sola chiave, i bot persistenti sprecano banda e intasano i log. Fail2ban monitora i log di autenticazione in tempo reale e blocca automaticamente gli indirizzi IP dopo 3 tentativi falliti per 24 ore. Configuriamo jail per SSH, autenticazione HTTP ed endpoint specifici di OpenClaw. I recidivi vengono bloccati in modo permanente. Questo riduce nettamente il traffico malevolo nella prima settimana.
Regole Firewall UFW
Consenti solo le porte 22, 80 e 443
Un firewall default-deny è la tua prima linea di difesa. Abilitiamo UFW (Uncomplicated Firewall) con deny-all in entrata di default, quindi consentiamo esplicitamente solo tre porte: 22 (SSH), 80 (HTTP per Let's Encrypt) e 443 (HTTPS). Ogni altra porta (incluse porte database, demone Docker, Redis e interfacce di debug) viene silenziosamente scartata. Nessuna risposta, nessuna connessione, nessuna traccia.
Aggiornamenti di Sicurezza Automatici
unattended-upgrades per patch zero-day
I CVE critici vengono patchati entro poche ore dalla divulgazione, ma solo se il tuo sistema è configurato per applicarli. Installiamo e configuriamo unattended-upgrades per applicare automaticamente le patch di sicurezza dal repository ufficiale di sicurezza Ubuntu/Debian ogni 6 ore. Gli aggiornamenti del kernel attivano riavvii automatici durante una finestra di manutenzione che scegli tu (default: 4 AM UTC). Resti aggiornato senza muovere un dito.
Sandboxing Docker/Podman
Mai flag --privileged
Eseguire container con --privileged dà loro pieno accesso root alla macchina host; vanifica l'intero scopo della containerizzazione. Eseguiamo OpenClaw con le capacità minime richieste (solo NET_BIND_SERVICE), un filesystem root in sola lettura dove possibile, opzione di sicurezza no-new-privileges e networking isolato. Il container non può accedere ai dispositivi dell'host, ai moduli del kernel o ad altri container.
Utente Non-Root per OpenClaw
Principio del minimo privilegio
OpenClaw non viene mai eseguito come root. Creiamo un utente di sistema dedicato (openclaw) senza shell di login, senza accesso sudo e con proprietà solo delle directory necessarie. Se un attaccante in qualche modo compromette il processo OpenClaw, è confinato a un account utente impotente, senza la capacità di escalare privilegi, modificare file di sistema o installare pacchetti.
Crittografia delle Variabili d'Ambiente
Permessi .env bloccati a 600
Il tuo file .env contiene chiavi API che valgono centinaia di dollari: OpenAI, Anthropic, Google, Stripe. Una singola chiave trapelata può accumulare una bolletta di 6.000 dollari in una notte. Impostiamo i permessi del file a 600 (lettura/scrittura solo per il proprietario), di proprietà dell'utente openclaw. Il file è escluso da tutti gli script di backup e dal controllo versione. Configuriamo anche Docker secrets per i deployment in produzione dove i file .env non sono sufficienti.
Rate Limiting sugli Endpoint API
Previeni abusi e costi eccessivi
Un endpoint API OpenClaw non protetto è un gateway AI gratuito per chiunque lo trovi. Configuriamo il rate limiting di nginx a 30 richieste/minuto per gli endpoint chat, 5 richieste/minuto per gli endpoint di autenticazione e 100 richieste/minuto per gli asset statici. I burst allowance gestiscono i picchi legittimi. Header rate-limit personalizzati indicano ai client esattamente quante richieste rimangono. Le richieste eccessive ottengono risposte 429, non costose completion AI.
Configurazione Policy CORS
Limita l'accesso cross-origin
Senza configurazione CORS, qualsiasi sito web su internet può fare richieste alla tua istanza OpenClaw tramite il browser di un visitatore. Configuriamo header CORS rigorosi: solo i tuoi domini specifici sono consentiti come origini, le credenziali richiedono un opt-in esplicito e le risposte preflight sono memorizzate in cache per 24 ore. Questo previene cross-site request forgery e accessi API non autorizzati da siti web malevoli.
SSL/TLS con Rinnovo Automatico
Certificati Let's Encrypt, sempre validi
Ogni installazione OpenClawPro ottiene HTTPS dal primo giorno usando certificati Let's Encrypt. Configuriamo Certbot con rinnovo automatico 30 giorni prima della scadenza, redirect da HTTP a HTTPS, header HSTS con max-age di 1 anno, TLS 1.2 minimo (TLS 1.3 preferito) e una valutazione A+ su SSL Labs. Nessun avviso di contenuto misto, nessun downtime per scadenza certificato, nessuna scusa.
Rotazione dei Log e Monitoraggio
Rileva le intrusioni prima che si verifichino danni
I log sono le tue riprese della telecamera di sicurezza. Configuriamo logrotate per tutti i log di OpenClaw, nginx e di sistema con ritenzione di 30 giorni e compressione. Più importante ancora, impostiamo il monitoraggio dei log con avvisi: tentativi SSH falliti oltre la soglia, pattern di utilizzo API insoliti, loop di riavvio dei container e avvisi di spazio su disco all'80%. Ricevi notifiche tramite il tuo canale di messaggistica configurato (Telegram, Discord, ecc.) quando qualcosa sembra anomalo.
Strategia di Backup
Snapshot automatici giornalieri
Un incidente di sicurezza senza backup è una catastrofe. Con i backup, è un inconveniente. Configuriamo snapshot automatici giornalieri della directory dati OpenClaw, dei volumi Docker e dei file di configurazione. I backup sono compressi, crittografati con AES-256 e archiviati in una posizione separata (sia una directory diversa per gli snapshot VPS o un bucket S3-compatibile). Manteniamo 7 backup giornalieri, 4 settimanali e 3 mensili. Il ripristino viene testato durante l'installazione.
Minacce Reali
Questi non sono vettori di attacco teorici. Ogni minaccia descritta di seguito è stata osservata in the wild contro deployment OpenClaw nel 2025-2026. Le monitoriamo noi, così non devi farlo tu.
ClawBleed: dirottamento WebSocket cross-site (CVE-2026-25253)
CRITICA · CVSS 8.8 (HIGH)ClawBleed (CVE-2026-25253) è una vulnerabilità reale di OpenClaw, attivamente sfruttata, con punteggio CVSS 8.8 (HIGH). Secondo l'NVD, OpenClaw (noto anche come clawdbot o Moltbot) prima della versione 2026.1.29 ricava un valore gatewayUrl da una query string e stabilisce automaticamente una connessione WebSocket senza alcuna richiesta di conferma, inviando un valore di token.
In pratica si tratta di un dirottamento WebSocket cross-site: una vittima che clicca su un link appositamente predisposto fa sì che la propria istanza apra un WebSocket controllato dall'attaccante e ne divulghi il token di autenticazione, rendendo possibile l'esecuzione di codice remoto con un solo clic e il furto del token di autenticazione. Lo sfruttamento in the wild è confermato (NVD; advisory del CCB Belgium).
Sources: NVD · CVE-2026-25253 (CVSS 8.8 · patched v2026.1.29, 2026-01-30 · disclosed 2026-02-03) · CCB Belgium advisory · CVE tracker
ClawHavoc: skill malevole su ClawHub
RISCHIO ALTONella campagna supply-chain soprannominata ClawHavoc (Antiy CERT, febbraio 2026), i ricercatori hanno individuato oltre 1,184 skill dannose su ClawHub, per un totale di circa 247 000 installazioni; diverse distribuivano l'Atomic macOS Stealer (AMOS). Si va da skill che rubano credenziali ed esfiltrano chiavi API a cryptominer che consumano silenziosamente la CPU del server, fino a backdoor che aprono reverse shell all'installazione. ClawHavoc è distinta dalla vulnerabilità WebSocket ClawBleed (CVE-2026-25253) descritta sopra.
Il team di ClawHub ha migliorato significativamente la moderazione, ma il backlog di revisione significa che le skill appena pubblicate possono rimanere non verificate per 48-72 ore. Raccomandiamo di installare solo skill con 100+ download, badge di publisher verificato e codice sorgente che hai personalmente revisionato. Le installazioni OpenClawPro includono una allowlist curata di 50 skill verificate e auditate.
Source: Antiy CERT, ClawHavoc supply-chain research, February 2026 (1,184+ malicious skills, ~247,693 installs)
Attacchi di Prompt Injection
RISCHIO MEDIOQuando OpenClaw elabora dati esterni (email, pagine web, documenti), quei dati possono contenere istruzioni nascoste che manipolano il comportamento dell'AI. Un'email accuratamente costruita potrebbe istruire OpenClaw a inoltrare tutti i messaggi futuri all'indirizzo di un attaccante, o una pagina web malevola potrebbe dirgli di rivelare il suo system prompt e la configurazione API.
OpenClaw v2026.2+ include un rilevamento di base della prompt injection, ma non è infallibile. I deployment OpenClawPro aggiungono un ulteriore livello di sanitizzazione degli input e configurano il system prompt con direttive anti-injection esplicite che riducono significativamente il tasso di successo di questi attacchi.
Furto di Token tramite Configurazione OAuth Errata
RISCHIO MEDIOOpenClaw si integra con servizi come Google Calendar, GitHub, Notion e Linear tramite token OAuth. Una configurazione errata comune memorizza questi token in chiaro all'interno del database SQLite o del volume Docker con accesso ai file eccessivamente permissivo. Se un altro servizio sul server viene compromesso, quei token forniscono accesso a ogni account connesso.
Peggio ancora, molti utenti configurano i token OAuth con scope eccessivamente ampi, concedendo "accesso completo" quando "sola lettura" sarebbe sufficiente. OpenClawPro configura ogni integrazione con lo scope minimo richiesto e archivia i token in un credential store crittografato invece che in chiaro nel database.
Checklist di Verifica della Sicurezza
Esegui questi comandi sul tuo server proprio ora per verificare la tua postura di sicurezza. Ogni comando verifica uno dei passaggi critici di hardening. Se un risultato non corrisponde all'output atteso, la tua installazione ha una vulnerabilità che richiede attenzione immediata.
Controlla le porte aperte
Atteso: Dovresti vedere solo le porte 22, 80 e 443
Verifica che Fail2ban sia attivo
Atteso: Dovrebbe mostrare jail attive almeno per sshd
Controlla lo stato del firewall UFW
Atteso: Stato: attivo, Predefinito: nega (in entrata), consenti (in uscita)
Verifica privilegi Docker
Atteso: Deve restituire "false", mai "true"
Verifica permessi del file .env
Atteso: Dovrebbe mostrare "600 openclaw", non 644 o root
Lo Facciamo per Te
Ogni installazione OpenClawPro include l'audit di sicurezza completo a 12 punti descritto in questa pagina. Niente scorciatoie. Niente "ci pensiamo dopo". Il tuo server viene hardened prima che ti consegniamo le chiavi.
Domande Frequenti
Domande comuni sulla sicurezza di OpenClaw, il nostro processo di audit e come gestiamo i dati sensibili durante l'installazione.