Sécuriser OpenClaw en 12 contrôles

En bref

• Par défaut, OpenClaw exécute les outils de la session principale sur la machine hôte : son bac à sable (sandbox) est désactivé. C'est documenté par le projet, pas une faille.
• Les mainteneurs décrivent un assistant personnel avec un seul opérateur de confiance. Brancher l'agent à des messageries que d'autres utilisent sort de ce cadre, d'où ces douze contrôles.
• Chaque contrôle dit ce que dit le projet, ce que Waimia recommande et comment le vérifier. Sources lues le 24 octobre 2026 ; les faits rapportés par des tiers sont signalés par « selon ».

OpenClaw est un assistant IA open source, sous licence MIT, qui tourne sur votre machine et vous répond par Discord, iMessage, Slack, Teams, Telegram, WhatsApp et plus de vingt autres messageries. Son fonctionnement et sa version 2.0 sont présentés dans le guide OpenClaw. Ce billet est une liste de travail : à dérouler avant d'ouvrir le premier canal. Waimia n'a pas audité OpenClaw ; nous ne citons pas de résultat de test.

Pourquoi une liste avant de brancher vos messageries

Un agent branché à une messagerie reçoit du texte de l'extérieur et agit avec les droits de la machine qui l'héberge. D'après le README lu le 24 octobre 2026, la Gateway, le service local qui gère sessions, outils et canaux, reste toujours sur l'hôte ; seule l'exécution des outils peut passer dans un bac à sable, et celui-ci est désactivé tant que vous ne l'avez pas configuré. La seule bonne nouvelle par défaut tient aux données : l'état, la mémoire et les identifiants restent sur votre matériel, et la télémétrie se limite à une vérification quotidienne de version, sauf si vous acceptez davantage.

Pour lire la liste : « Ce que dit le projet » vient du README, des pages de version ou de l'issue n° 7827 ; « Recommandation Waimia » est notre conseil, pas une mesure ; « Comment le vérifier » est un test simple à faire vous-même. Quand une procédure n'est pas décrite dans les sources lues, nous renvoyons à la documentation du projet.

Contrôles 1 à 4 : la machine et l'exécution

1. Une machine dédiée, un compte sans droits d'administration

Ce que dit le projet. Sans bac à sable, une commande lancée par l'agent s'exécute sur l'hôte, avec les droits de l'utilisateur qui fait tourner OpenClaw.

Recommandation Waimia. Une machine réservée à l'agent, sans autres données de l'entreprise, et un compte utilisateur sans droits d'administration pour le faire tourner.

Comment le vérifier. Listez ce que contient la machine et les groupes du compte utilisé : aucun dossier partagé de l'entreprise, aucun droit administrateur.

2. Le bac à sable activé, puis éprouvé

Ce que dit le projet. Le sandboxing est désactivé par défaut ; une fois activé, seule l'exécution des outils y passe, la Gateway restant sur l'hôte. La configuration : voir la documentation et le guide de sécurité du projet.

Recommandation Waimia. L'activer avant tout usage professionnel, quel que soit le canal.

Comment le vérifier. Demandez à l'agent de lister un dossier de l'hôte. S'il y parvient, le bac à sable ne couvre pas ce que vous croyez.

3. L'accès aux fichiers limité à l'espace de travail

Ce que dit le projet. Depuis la 2026.8.1, dite « OpenClaw 2.0 » (31 août 2026), l'accès restreint au système de fichiers est ancré à l'espace de travail de la session.

Recommandation Waimia. Utiliser ce mode restreint, et ne placer dans l'espace de travail que les fichiers nécessaires à la tâche.

Comment le vérifier. Demandez la lecture d'un fichier situé hors de l'espace de travail : la demande doit échouer.

4. Un Node corrigé et la version stable

Ce que dit le projet. Depuis la 2026.10.6 (22 octobre 2026), OpenClaw exige Node 24.22.1 ou plus, ou 26.12.1 ou plus ; le README indique encore 24.16 ou 26.1. La version stable au 24 octobre 2026 est la 2026.10.7.

Recommandation Waimia. Retenir l'exigence la plus récente, installer la version stable et jamais une bêta sur un agent qui travaille. Le détail de la mise à jour est dans OpenClaw 2.0 : migrer sans casser.

Comment le vérifier. La commande standard node --version affiche la version de Node ; comparez la version d'OpenClaw installée à la page des versions.

Contrôles 5 à 8 : qui peut parler à l'agent

5. Les messages entrants traités comme non fiables

Ce que dit le projet. Les messages entrants sont des données non fiables. Un message peut contenir des instructions cachées que le modèle prendrait pour des ordres : c'est l'injection de consignes.

Recommandation Waimia. Aucune action irréversible sur la seule foi d'un message reçu : envoyer, payer, signer ou supprimer passe par une validation humaine.

Comment le vérifier. Depuis un compte de test, envoyez un message qui contient une consigne cachée (par exemple, transférer un fichier). L'agent ne doit pas l'exécuter sans vous demander.

6. L'appairage des messages privés, expéditeur par expéditeur

Ce que dit le projet. Sur les canaux à messages privés, un expéditeur inconnu est appairé par défaut : il n'est pris en compte qu'après approbation, avec openclaw pairing approve <canal> <code>.

Recommandation Waimia. Ne jamais désactiver l'appairage, n'approuver que les codes que vous attendez, et tenir la liste des expéditeurs approuvés.

Comment le vérifier. Écrivez à l'agent depuis un compte non approuvé : il ne doit pas traiter la demande.

7. Un opérateur de confiance par instance

Ce que dit le projet. Dans l'issue n° 7827 (ouverte le 3 février 2026, fermée le 7 mars 2026), les mainteneurs décrivent un modèle d'assistant personnel avec un opérateur de confiance, pas une isolation entre plusieurs locataires. Le bac à sable désactivé par défaut y est présenté comme un comportement documenté, et un durcissement est recommandé pour les déploiements partagés ou publics. L'installation locale règle dmScope sur per-channel-peer si rien n'est configuré.

Recommandation Waimia. Une instance par frontière de confiance (une personne, ou une petite équipe qui partage les mêmes droits), et jamais d'agent qui touche vos systèmes internes ouvert à des clients.

Comment le vérifier. Écrivez la liste des personnes qui peuvent parler à l'agent. Si l'une d'elles ne devrait pas avoir les droits de l'opérateur, il faut une autre instance.

8. La Gateway non exposée à distance

Ce que dit le projet. Avant d'exposer la Gateway à distance, lire le guide de sécurité du projet.

Recommandation Waimia. Pas d'exposition sur Internet. Un accès distant seulement après lecture de ce guide, et derrière une authentification.

Comment le vérifier. Depuis un autre réseau (un téléphone hors du Wi-Fi de l'entreprise, par exemple), vérifiez que la Gateway ne répond pas.

Contrôles 9 et 10 : extensions et identifiants

9. Des plugins de provenance connue

Ce que dit le projet. Depuis la 2.0, installer un plugin exécutable depuis une source quelconque exige l'option --force ; les sources de confiance (ClawHub, plugins intégrés, catalogue officiel) gardent la demande de consentement aux capacités. Selon des guides tiers, des extensions malveillantes ont été publiées sur ClawHub, la place de marché des extensions, avant un durcissement : nous n'avons pas de source primaire sur ces incidents, mais ils justifient de vérifier la provenance de chaque extension.

Recommandation Waimia. Une extension n'entre que si l'on sait qui la publie, ce qu'elle peut faire et pourquoi on en a besoin. Jamais de --force sans relecture du code.

Comment le vérifier. Tenez l'inventaire des plugins installés avec leur source, et comparez-le à ce qui tourne réellement (la commande de listing : voir la documentation du projet).

10. Des identifiants en saisie masquée, des comptes de service

Ce que dit le projet. Depuis la 2.0, l'agent peut demander un identifiant sans que sa valeur passe dans le chat ni dans le contexte du modèle. Les identifiants restent sur votre matériel.

Recommandation Waimia. Saisie masquée pour tout secret, un compte de service par outil, des droits minimaux, et un plafond de dépense chez le fournisseur du modèle. La logique des droits accordés à un outil connecté est détaillée dans le guide MCP pour dirigeants.

Comment le vérifier. Cherchez dans l'historique des conversations une clé ou un mot de passe collé en clair. Si vous en trouvez un, changez-le.

Contrôles 11 et 12 : audit et exploitation

11. openclaw security audit sans alerte

Ce que dit le projet. La commande openclaw security audit signale les réglages à risque. Selon certains guides tiers, des protections sont livrées désactivées : raison de plus pour ne rien supposer.

Recommandation Waimia. L'exécuter après l'installation, après chaque mise à jour et après chaque changement de configuration, et ne mettre en route qu'une fois les alertes traitées.

Comment le vérifier. Gardez la sortie de chaque audit, datée, à côté du registre des versions.

12. Des mises à jour testées et un journal hors de la machine

Ce que dit le projet. Les versions se suivent à quelques jours (2026.10.6 le 22 octobre, 2026.10.7 le 24), et certaines changent des comportements : la 2.0 a supprimé OpenProse et demande openclaw doctor --fix pour migrer des références de modèles.

Recommandation Waimia. Une personne nommée pour lire les notes et tester chaque mise à jour sur une copie, et un journal des actions de l'agent conservé hors de la machine, pour qu'un incident reste lisible même si la machine est compromise.

Comment le vérifier. Vous devez pouvoir répondre sans chercher : qui a fait la dernière mise à jour, quand, et où se trouve le journal.

Les 12 contrôles en un tableau

Ce que cette liste ne couvre pas

• Le RGPD. Une installation durcie n'est pas un dossier de conformité : base légale, registre, contrats avec le fournisseur du modèle et transferts restent à traiter, avec la checklist RGPD des agents IA.
• Les règles d'usage. Qui peut demander quoi à l'agent, et ce qui lui est interdit, s'écrivent dans une charte ; notre modèle de charte IA en donne la trame.
• Les sessions partagées et déplaçables. Selon la presse, la 2.0 permet à des collègues de suivre et reprendre une session cloud, et un article signale que cette fonction n'a ni frontière réseau ni frontière de fichiers. Nous recommandons de la laisser de côté tant que ce point n'est pas vérifié auprès du projet.
• L'injection résiduelle. Aucun réglage ne supprime le risque qu'un message manipule le modèle. Les contrôles 5 et 10 en limitent les conséquences, pas la cause.

Si ces douze contrôles vous semblent lourds pour votre usage, c'est une information utile : le comparatif Hermes Agent ou OpenClaw montre ce que l'autre moteur ouvert met par défaut (son tutoriel d'installation est dans installer Hermes Agent pas à pas), et le billet agent IA toujours actif : propriétaire ou open source présente les agents d'éditeur et les agents sur mesure.

Et après ?

• Relire le cadre complet : le guide OpenClaw, avec le coût et le RGPD.
• Faire appliquer la liste : notre intégration d'OpenClaw déroule ces douze contrôles sur votre machine et assure les mises à jour, dans le cadre de nos agents IA open source : un sprint de cadrage de 10 heures à 999 € HT, puis 99 € HT de l'heure.
• En parler : réserver l'audit gratuit. Audit gratuit de 45 minutes en visio. Vous repartez avec une cartographie écrite et un ou deux chantiers classés (déroulé de l'audit).