OpenClaw 安全指南 2026

彻底禁用密码登录

密码 SSH 是任何 VPS 上最容易遭受攻击的入口。自动化机器人每小时对 22 端口发起数千次尝试，暴力破解常见和弱密码。我们为您生成 Ed25519 SSH 密钥对，将公钥安装到服务器，并在 /etc/ssh/sshd_config 中永久禁用 PasswordAuthentication。这在数学上让暴力破解变得不可能——没有可猜的东西。

暴力破解防护，自动封禁攻击者

即便启用密钥登录，持续扫描的机器人仍会浪费带宽、占据日志。Fail2ban 实时监控认证日志，对失败 3 次的 IP 自动封禁 24 小时。我们为 SSH、HTTP 认证和 OpenClaw 专用端点配置多个 jail，惯犯永久封禁。首周恶意流量可下降 95%。

仅放行 22、80 和 443 端口

默认拒绝的防火墙是您的第一道防线。我们启用 UFW，默认拒绝所有入站流量，仅放行三个端口：22（SSH）、80（HTTP，用于 Let's Encrypt）、443（HTTPS）。其他所有端口——包括数据库、Docker 守护进程、Redis 和调试接口——都被静默丢弃。无响应、无连接、无足迹。

unattended-upgrades 即时修复零日漏洞

关键 CVE 通常在披露后数小时内即有补丁，但前提是系统配置了自动更新。我们安装并配置 unattended-upgrades，每 6 小时自动从 Ubuntu/Debian 官方安全仓库拉取并应用补丁。内核更新在您选择的维护窗口（默认 UTC 凌晨 4 点）自动重启。您无需动手即可保持补丁最新。

绝不使用 --privileged 参数

使用 --privileged 运行容器等同于赋予其对宿主机的完全 root 权限，彻底违背容器化初衷。我们以最小必需能力（仅 NET_BIND_SERVICE）运行 OpenClaw，尽量使用只读根文件系统，启用 no-new-privileges 安全选项，并实施隔离网络。容器无法访问宿主机的设备、内核模块或其他容器。

最小权限原则

OpenClaw 绝不以 root 身份运行。我们创建专用系统用户 openclaw，无登录 shell、无 sudo 权限，仅拥有必要目录的所有权。即便攻击者入侵 OpenClaw 进程，也会被限制在一个无权限的账户内，无法提权、修改系统文件或安装软件包。

.env 权限锁定为 600

您的 .env 文件包含价值数百美元的 API 密钥——OpenAI、Anthropic、Google、Stripe。一把密钥泄露足以在一夜间烧掉 $6,000。我们将文件权限设为 600（仅属主可读写），属主为 openclaw 用户。该文件被排除在所有备份脚本和版本控制之外。对于 .env 文件不够用的生产环境，我们还会配置 Docker secrets。

防止滥用与成本失控

未防护的 OpenClaw API 接口对任何找到它的人都是免费 AI 网关。我们在 nginx 中配置限速：聊天接口 30 次/分钟，认证接口 5 次/分钟，静态资源 100 次/分钟。突发额度允许合法流量的峰值，自定义限速响应头告知客户端剩余配额。超额请求返回 429，而非昂贵的 AI 补全。

限制跨域访问

若不配置 CORS，任何互联网网站都能通过访客浏览器向您的 OpenClaw 实例发起请求。我们配置严格的 CORS 头：仅允许特定域名作为来源，凭据需显式开启，预检响应缓存 24 小时。这可防止跨站请求伪造和恶意网站的未授权 API 调用。

Let's Encrypt 证书，永不失效

每一次 OpenClawPro 安装从第一天起即启用 HTTPS，使用 Let's Encrypt 证书。我们配置 Certbot 在到期前 30 天自动续期，强制 HTTP 重定向至 HTTPS，设置 1 年 max-age 的 HSTS 头，最低 TLS 1.2（首选 1.3），SSL Labs 评级达到 A+。没有混合内容警告、没有证书过期宕机、没有借口。

在损害发生前发现入侵

日志就是您的安保摄像录像。我们为所有 OpenClaw、nginx 和系统日志配置 logrotate，保留 30 天并启用压缩。更重要的是，我们设置了日志监控告警：SSH 失败尝试超阈值、API 异常使用模式、容器重启循环、磁盘使用超 80%。一旦有异常，您会通过配置的消息渠道（Telegram、Discord 等）立即收到通知。

每日自动快照

没有备份的安全事故是灾难，有备份则只是不便。我们为您的 OpenClaw 数据目录、Docker 卷和配置文件配置每日自动快照。备份经 AES-256 加密压缩，存放在独立位置（VPS 快照的不同目录或 S3 兼容存储桶）。我们保留 7 份每日、4 份每周、3 份每月备份，并在安装期间测试恢复流程。