--- read_when: - Erişimi veya otomasyonu genişleten özellikler ekleme summary: Güvenlik değerlendirmeleri ve kabuk erişimi olan bir AI gateway çalıştırmaya yönelik tehdit modeli title: Güvenlik x-i18n: generated_at: "2026-07-04T10:58:46Z" model: gpt-5.5 postprocess_version: locale-links-v1 provider: openai source_hash: 42a398a347f04414c443277c8ab3632953bce73e957c8439883846813f882dd5 source_path: gateway/security/index.md workflow: 16 --- **Kişisel asistan güven modeli.** Bu kılavuz, gateway başına tek bir güvenilen operatör sınırı varsayar (tek kullanıcılı, kişisel asistan modeli). OpenClaw, tek bir agent veya gateway'i paylaşan birden çok düşmanca kullanıcı için **düşmanca çok kiracılı** bir güvenlik sınırı değildir. Karma güven veya düşmanca kullanıcı işletimi gerekiyorsa, güven sınırlarını ayırın (ayrı gateway + kimlik bilgileri, ideal olarak ayrı işletim sistemi kullanıcıları veya host'lar). ## Önce kapsam: kişisel asistan güvenlik modeli OpenClaw güvenlik kılavuzu bir **kişisel asistan** dağıtımı varsayar: tek bir güvenilen operatör sınırı, potansiyel olarak birçok agent. - Desteklenen güvenlik duruşu: gateway başına bir kullanıcı/güven sınırı (sınır başına tercihen bir işletim sistemi kullanıcısı/host/VPS). - Desteklenen bir güvenlik sınırı değildir: karşılıklı olarak güvenilmeyen veya düşmanca kullanıcılar tarafından kullanılan tek bir paylaşılan gateway/agent. - Düşmanca kullanıcı izolasyonu gerekiyorsa, güven sınırına göre ayırın (ayrı gateway + kimlik bilgileri ve ideal olarak ayrı işletim sistemi kullanıcıları/host'lar). - Birden çok güvenilmeyen kullanıcı, araç etkinleştirilmiş tek bir agent'a mesaj gönderebiliyorsa, onları o agent için aynı devredilmiş araç yetkisini paylaşıyor kabul edin. Bu sayfa, **bu model içinde** sağlamlaştırmayı açıklar. Tek bir paylaşılan gateway üzerinde düşmanca çok kiracılı izolasyon iddiasında bulunmaz. Uzak erişimi, DM politikasını, reverse proxy'yi veya genel erişimi değiştirmeden önce, ön kontrol ve geri alma kontrol listesi olarak [Gateway erişime açma çalıştırma kılavuzu](/tr/gateway/security/exposure-runbook) belgesini kullanın. ## Hızlı kontrol: `openclaw security audit` Ayrıca bakın: [Biçimsel Doğrulama (Güvenlik Modelleri)](/tr/security/formal-verification) Bunu düzenli olarak çalıştırın (özellikle yapılandırmayı değiştirdikten veya ağ yüzeylerini erişime açtıktan sonra): ```bash openclaw security audit openclaw security audit --deep openclaw security audit --fix openclaw security audit --json ``` `security audit --fix` kasıtlı olarak dar tutulur: yaygın açık grup politikalarını izin listelerine çevirir, `logging.redactSensitive: "tools"` ayarını geri yükler, state/config/include-file izinlerini sıkılaştırır ve Windows üzerinde çalışırken POSIX `chmod` yerine Windows ACL sıfırlamalarını kullanır. Yaygın riskli hataları işaretler (Gateway kimlik doğrulama erişimi, tarayıcı denetimi erişimi, yükseltilmiş izin listeleri, dosya sistemi izinleri, gevşek exec onayları ve açık kanal araç erişimi). OpenClaw hem bir ürün hem de bir deneydir: öncü model davranışını gerçek mesajlaşma yüzeylerine ve gerçek araçlara bağlıyorsunuz. **"Tamamen güvenli" bir kurulum yoktur.** Amaç şu konularda bilinçli olmaktır: - botunuzla kim konuşabilir - botun nerede işlem yapmasına izin verilir - botun nelere dokunabileceği Hâlâ çalışan en küçük erişimle başlayın, ardından güven kazandıkça genişletin. ### Yayınlanmış paket bağımlılık kilidi OpenClaw kaynak checkout'ları `pnpm-lock.yaml` kullanır. Yayınlanan `openclaw` npm paketi ve OpenClaw'a ait npm Plugin paketleri `npm-shrinkwrap.json` içerir; bu, npm'in yayınlanabilir bağımlılık kilit dosyasıdır. Böylece paket kurulumları, kurulum sırasında yeni bir grafik çözmek yerine sürümden incelenmiş geçişli bağımlılık grafiğini kullanır. Shrinkwrap bir tedarik zinciri sağlamlaştırma ve sürüm yeniden üretilebilirliği sınırıdır, sandbox değildir. Sade dille model, maintainer komutları ve paket inceleme kontrolleri için [npm shrinkwrap](/tr/gateway/security/shrinkwrap) bölümüne bakın. ### Dağıtım ve host güveni OpenClaw, host ve yapılandırma sınırının güvenilir olduğunu varsayar: - Birisi Gateway host state/config değerlerini (`~/.openclaw`, `openclaw.json` dahil) değiştirebiliyorsa, onu güvenilen operatör kabul edin. - Karşılıklı olarak güvenilmeyen/düşmanca birden çok operatör için tek bir Gateway çalıştırmak **önerilen bir kurulum değildir**. - Karma güvene sahip ekipler için, güven sınırlarını ayrı gateway'lerle (veya en azından ayrı işletim sistemi kullanıcıları/host'larla) ayırın. - Önerilen varsayılan: makine/host (veya VPS) başına bir kullanıcı, o kullanıcı için bir gateway ve o gateway içinde bir veya daha fazla agent. - Tek bir Gateway örneği içinde, kimliği doğrulanmış operatör erişimi güvenilen bir control plane rolüdür; kullanıcı başına tenant rolü değildir. - Oturum tanımlayıcıları (`sessionKey`, oturum kimlikleri, etiketler) yönlendirme seçicileridir, yetkilendirme token'ları değildir. - Birden çok kişi araç etkinleştirilmiş tek bir agent'a mesaj gönderebiliyorsa, her biri aynı izin kümesini yönlendirebilir. Kullanıcı başına oturum/bellek izolasyonu gizliliğe yardımcı olur, ancak paylaşılan bir agent'ı kullanıcı başına host yetkilendirmesine dönüştürmez. ### Güvenli dosya işlemleri OpenClaw, kök sınırlandırmalı dosya erişimi, atomik yazmalar, arşiv çıkarma, geçici çalışma alanları ve gizli dosya yardımcıları için `@openclaw/fs-safe` kullanır. OpenClaw, fs-safe'in isteğe bağlı POSIX Python yardımcısını varsayılan olarak **kapalı** tutar; `OPENCLAW_FS_SAFE_PYTHON_MODE=auto` veya `require` değerini yalnızca ek fd-relative mutasyon sağlamlaştırması istediğinizde ve bir Python runtime'ını destekleyebildiğinizde ayarlayın. Ayrıntılar: [Güvenli dosya işlemleri](/tr/gateway/security/secure-file-operations). ### Paylaşılan Slack workspace: gerçek risk "Slack'teki herkes bota mesaj gönderebiliyorsa" temel risk, devredilmiş araç yetkisidir: - izin verilen herhangi bir gönderici, agent'ın politikası içinde araç çağrılarını (`exec`, tarayıcı, ağ/dosya araçları) tetikleyebilir; - bir göndericiden gelen prompt/içerik enjeksiyonu, paylaşılan state'i, cihazları veya çıktıları etkileyen eylemlere neden olabilir; - paylaşılan bir agent'ın hassas kimlik bilgileri/dosyaları varsa, izin verilen herhangi bir gönderici araç kullanımı yoluyla potansiyel olarak veri sızdırmayı yönlendirebilir. Ekip iş akışları için minimum araçlara sahip ayrı agent'lar/gateway'ler kullanın; kişisel veri agent'larını özel tutun. ### Şirketçe paylaşılan agent: kabul edilebilir desen Bu, o agent'ı kullanan herkes aynı güven sınırı içindeyse (örneğin bir şirket ekibi) ve agent kesinlikle iş kapsamındaysa kabul edilebilir. - onu ayrılmış bir makinede/VM'de/container'da çalıştırın; - o runtime için ayrılmış bir işletim sistemi kullanıcısı + ayrılmış tarayıcı/profil/hesaplar kullanın; - o runtime'da kişisel Apple/Google hesaplarına veya kişisel parola yöneticisi/tarayıcı profillerine oturum açmayın. Kişisel ve şirket kimliklerini aynı runtime üzerinde karıştırırsanız, ayrımı ortadan kaldırır ve kişisel veri açığa çıkma riskini artırırsınız. ## Gateway ve Node güven kavramı Gateway ve Node'u farklı rollere sahip tek bir operatör güven alanı olarak ele alın: - **Gateway**, control plane ve politika yüzeyidir (`gateway.auth`, araç politikası, yönlendirme). - **Node**, bu Gateway ile eşleştirilmiş uzak yürütme yüzeyidir (komutlar, cihaz eylemleri, host'a yerel yetenekler). - Gateway'e kimliği doğrulanmış bir çağıran, Gateway kapsamında güvenilirdir. Eşleştirmeden sonra, Node eylemleri o Node üzerindeki güvenilen operatör eylemleridir. - Operatör kapsam seviyeleri ve onay zamanı kontrolleri [Operatör kapsamları](/tr/gateway/operator-scopes) bölümünde özetlenir. - Paylaşılan gateway token'ı/parolasıyla kimliği doğrulanmış doğrudan loopback backend istemcileri, bir kullanıcı cihaz kimliği sunmadan dahili control plane RPC'leri yapabilir. Bu, uzak veya tarayıcı eşleştirme atlatması değildir: ağ istemcileri, Node istemcileri, cihaz token'ı istemcileri ve açık cihaz kimlikleri hâlâ eşleştirme ve kapsam yükseltme yaptırımından geçer. - `sessionKey`, yönlendirme/bağlam seçimidir; kullanıcı başına auth değildir. - Exec onayları (izin listesi + sorma), operatör niyeti için koruma bariyerleridir; düşmanca çok kiracılı izolasyon değildir. - OpenClaw'ın güvenilen tek operatörlü kurulumlar için ürün varsayılanı, `gateway`/`node` üzerinde host exec'in onay istemleri olmadan izinli olmasıdır (`security="full"`, siz sıkılaştırmadıkça `ask="off"`). Bu varsayılan bilinçli UX'tir, tek başına bir güvenlik açığı değildir. - Exec onayları, tam istek bağlamını ve mümkün olan en iyi doğrudan yerel dosya operandlarını bağlar; her runtime/interpreter loader yolunu anlamsal olarak modellemez. Güçlü sınırlar için sandboxing ve host izolasyonu kullanın. Düşmanca kullanıcı izolasyonu gerekiyorsa, güven sınırlarını işletim sistemi kullanıcısı/host'a göre ayırın ve ayrı gateway'ler çalıştırın. ## Güven sınırı matrisi Riski triage ederken hızlı model olarak bunu kullanın: | Sınır veya kontrol | Ne anlama gelir | Yaygın yanlış okuma | | --------------------------------------------------------- | ------------------------------------------------- | ----------------------------------------------------------------------------- | | `gateway.auth` (token/password/trusted-proxy/device auth) | Çağıranların gateway API'lerine kimliğini doğrular | "Güvenli olmak için her frame'de ileti başına imza gerekir" | | `sessionKey` | Bağlam/oturum seçimi için yönlendirme anahtarı | "Oturum anahtarı bir kullanıcı auth sınırıdır" | | Prompt/içerik koruma bariyerleri | Model kötüye kullanım riskini azaltır | "Prompt enjeksiyonu tek başına auth atlatmasını kanıtlar" | | `canvas.eval` / tarayıcı evaluate | Etkinleştirildiğinde kasıtlı operatör yeteneği | "Her JS eval primitive'i bu güven modelinde otomatik olarak bir zafiyettir" | | Yerel TUI `!` shell | Açıkça operatör tarafından tetiklenen yerel yürütme | "Yerel shell kolaylık komutu uzak enjeksiyondur" | | Node eşleştirme ve Node komutları | Eşleştirilmiş cihazlarda operatör seviyesinde uzak yürütme | "Uzak cihaz denetimi varsayılan olarak güvenilmeyen kullanıcı erişimi gibi ele alınmalıdır" | | `gateway.nodes.pairing.autoApproveCidrs` | Opt-in güvenilen ağ Node kaydı politikası | "Varsayılan olarak devre dışı bir izin listesi otomatik bir eşleştirme güvenlik açığıdır" | ## Tasarım gereği güvenlik açığı olmayanlar Bu desenler sık raporlanır ve gerçek bir sınır atlatması gösterilmedikçe genellikle işlem yapılmadan kapatılır: - Politika, auth veya sandbox atlatması olmadan yalnızca prompt enjeksiyonu zincirleri. - Tek bir paylaşılan host veya config üzerinde düşmanca çok kiracılı işletim varsayan iddialar. - Normal operatör okuma yolu erişimini (örneğin `sessions.list` / `sessions.preview` / `chat.history`) paylaşılan gateway kurulumunda IDOR olarak sınıflandıran iddialar. - Yalnızca localhost dağıtım bulguları (örneğin yalnızca loopback gateway üzerinde HSTS). - Bu repo'da bulunmayan inbound yollar için Discord inbound Webhook imza bulguları. - Node eşleştirme meta verisini `system.run` için gizli ikinci bir komut başına onay katmanı olarak ele alan raporlar; oysa gerçek yürütme sınırı hâlâ gateway'in global Node komut politikası ve Node'un kendi exec onaylarıdır. - Yapılandırılmış `gateway.nodes.pairing.autoApproveCidrs` değerini tek başına bir güvenlik açığı olarak ele alan raporlar. Bu ayar varsayılan olarak devre dışıdır, açık CIDR/IP girdileri gerektirir, yalnızca istenen kapsamı olmayan ilk kez `role: node` eşleştirmesine uygulanır ve loopback trusted-proxy auth açıkça etkinleştirilmediği sürece operator/browser/Control UI, WebChat, rol yükseltmeleri, kapsam yükseltmeleri, meta veri değişiklikleri, public-key değişiklikleri veya aynı host loopback trusted-proxy header yollarını otomatik onaylamaz. - `sessionKey` değerini bir auth token'ı olarak ele alan "kullanıcı başına yetkilendirme eksik" bulguları. ## 60 saniyede sağlamlaştırılmış temel yapılandırma Önce bu temel yapılandırmayı kullanın, ardından güvenilen agent başına araçları seçici olarak yeniden etkinleştirin: ```json5 { gateway: { mode: "local", bind: "loopback", auth: { mode: "token", token: "replace-with-long-random-token" }, }, session: { dmScope: "per-channel-peer", }, tools: { profile: "messaging", deny: ["group:automation", "group:runtime", "group:fs", "sessions_spawn", "sessions_send"], fs: { workspaceOnly: true }, exec: { security: "deny", ask: "always" }, elevated: { enabled: false }, }, channels: { whatsapp: { dmPolicy: "pairing", groups: { "*": { requireMention: true } } }, }, } ``` Bu, Gateway'i yalnızca yerel tutar, DM'leri izole eder ve control plane/runtime araçlarını varsayılan olarak devre dışı bırakır. ## Paylaşılan inbox hızlı kuralı Birden fazla kişi botunuza DM gönderebiliyorsa: - `session.dmScope: "per-channel-peer"` değerini ayarlayın (veya çok hesaplı kanallar için `"per-account-channel-peer"`). - `dmPolicy: "pairing"` değerini veya katı izin listelerini koruyun. - Paylaşılan DM'leri geniş araç erişimiyle asla birleştirmeyin. - Bu, işbirlikçi/paylaşılan gelen kutularını güçlendirir, ancak kullanıcılar ana makine/yapılandırma yazma erişimini paylaştığında kötü niyetli eş kiracı yalıtımı için tasarlanmamıştır. ## Bağlam görünürlük modeli OpenClaw iki kavramı ayırır: - **Tetikleme yetkilendirmesi**: aracıyı kimin tetikleyebileceği (`dmPolicy`, `groupPolicy`, izin listeleri, bahsetme kapıları). - **Bağlam görünürlüğü**: model girdisine hangi ek bağlamın enjekte edildiği (yanıt gövdesi, alıntılanan metin, konu geçmişi, iletilen meta veriler). İzin listeleri tetiklemeleri ve komut yetkilendirmesini sınırlar. `contextVisibility` ayarı, ek bağlamın (alıntılanan yanıtlar, konu kökleri, getirilen geçmiş) nasıl filtreleneceğini denetler: - `contextVisibility: "all"` (varsayılan) ek bağlamı alındığı gibi tutar. - `contextVisibility: "allowlist"` ek bağlamı etkin izin listesi kontrolleri tarafından izin verilen göndericilere filtreler. - `contextVisibility: "allowlist_quote"` `allowlist` gibi davranır, ancak yine de açıkça alıntılanmış tek bir yanıtı tutar. `contextVisibility` değerini kanal başına veya oda/konuşma başına ayarlayın. Kurulum ayrıntıları için [Grup Sohbetleri](/tr/channels/groups#context-visibility-and-allowlists) bölümüne bakın. Danışma amaçlı triyaj rehberi: - Yalnızca "model, izin listesinde olmayan göndericilerden gelen alıntılanmış veya geçmiş metni görebilir" durumunu gösteren iddialar, kendi başlarına kimlik doğrulama veya sandbox sınırı atlamaları değil, `contextVisibility` ile ele alınabilen güçlendirme bulgularıdır. - Güvenlik etkisi taşıması için raporların yine de kanıtlanmış bir güven sınırı atlaması (kimlik doğrulama, ilke, sandbox, onay veya belgelenmiş başka bir sınır) göstermesi gerekir. ## Denetimin kontrol ettikleri (üst düzey) - **Gelen erişim** (DM ilkeleri, grup ilkeleri, izin listeleri): yabancılar botu tetikleyebilir mi? - **Araç etki alanı** (yükseltilmiş araçlar + açık odalar): prompt enjeksiyonu shell/dosya/ağ eylemlerine dönüşebilir mi? - **Exec dosya sistemi sapması**: `exec`/`process` sandbox dosya sistemi kısıtları olmadan kullanılabilir kalırken değiştirici dosya sistemi araçları reddediliyor mu? - **Exec onay sapması** (`security=full`, `autoAllowSkills`, `strictInlineEval` olmadan yorumlayıcı izin listeleri): ana makine exec koruma sınırları hâlâ düşündüğünüz şeyi yapıyor mu? - `security="full"` geniş kapsamlı bir duruş uyarısıdır, bir hatanın kanıtı değildir. Güvenilir kişisel asistan kurulumları için seçilen varsayılandır; bunu yalnızca tehdit modeliniz onay veya izin listesi koruma sınırları gerektirdiğinde sıkılaştırın. - **Ağ maruziyeti** (Gateway bağlama/kimlik doğrulama, Tailscale Serve/Funnel, zayıf/kısa kimlik doğrulama belirteçleri). - **Tarayıcı denetimi maruziyeti** (uzak düğümler, aktarma portları, uzak CDP uç noktaları). - **Yerel disk hijyeni** (izinler, sembolik bağlantılar, yapılandırma include'ları, "eşitlenen klasör" yolları). - **Plugin'ler** (Plugin'ler açık bir izin listesi olmadan yüklenir). - **İlke sapması/yanlış yapılandırma** (sandbox docker ayarları yapılandırılmış ancak sandbox modu kapalı; eşleşme yalnızca tam komut adıyla yapıldığı (örneğin `system.run`) ve shell metnini incelemediği için etkisiz `gateway.nodes.denyCommands` kalıpları; tehlikeli `gateway.nodes.allowCommands` girdileri; aracı başına profiller tarafından geçersiz kılınan genel `tools.profile="minimal"`; izin verici araç ilkesi altında erişilebilir Plugin sahipli araçlar). - **Çalışma zamanı beklentisi sapması** (örneğin `tools.exec.host` artık varsayılan olarak `auto` iken örtük exec'in hâlâ `sandbox` anlamına geldiğini varsaymak veya sandbox modu kapalıyken açıkça `tools.exec.host="sandbox"` ayarlamak). - **Model hijyeni** (yapılandırılmış modeller eski göründüğünde uyarır; katı bir engel değildir). `--deep` çalıştırırsanız OpenClaw ayrıca en iyi çabayla canlı Gateway yoklaması yapmayı dener. ## Kimlik bilgisi depolama haritası Erişimi denetlerken veya neyin yedekleneceğine karar verirken bunu kullanın: - **WhatsApp**: `~/.openclaw/credentials/whatsapp//creds.json` - **Telegram bot belirteci**: yapılandırma/env veya `channels.telegram.tokenFile` (yalnızca normal dosya; sembolik bağlantılar reddedilir) - **Discord bot belirteci**: yapılandırma/env veya SecretRef (env/file/exec sağlayıcıları) - **Slack belirteçleri**: yapılandırma/env (`channels.slack.*`) - **Eşleştirme izin listeleri**: - `~/.openclaw/credentials/-allowFrom.json` (varsayılan hesap) - `~/.openclaw/credentials/--allowFrom.json` (varsayılan olmayan hesaplar) - **Model kimlik doğrulama profilleri**: `~/.openclaw/agents//agent/auth-profiles.json` - **Codex çalışma zamanı durumu (varsayılan)**: `~/.openclaw/agents//agent/codex-home/` - **Paylaşılan Codex çalışma zamanı durumu (isteğe bağlı)**: `plugins.entries.codex.config.appServer.homeScope` `"user"` olduğunda `$CODEX_HOME` veya `~/.codex`. Bu mod yerel Codex hesabını, yapılandırmasını, plugin'lerini ve konu deposunu kullanır; bunu yalnızca sahip denetimli bir yerel Gateway için etkinleştirin. [Codex harness](/tr/plugins/codex-harness#share-threads-with-codex-desktop-and-cli) bölümüne bakın. - **Dosya destekli gizli bilgiler yükü (isteğe bağlı)**: `~/.openclaw/secrets.json` - **Eski OAuth içe aktarımı**: `~/.openclaw/credentials/oauth.json` ## Güvenlik denetimi kontrol listesi Denetim bulgular yazdırdığında bunu öncelik sırası olarak ele alın: 1. **"Açık" olan her şey + araçlar etkin**: önce DM'leri/grupları kilitleyin (eşleştirme/izin listeleri), sonra araç ilkesini/sandboxing'i sıkılaştırın. 2. **Genel ağ maruziyeti** (LAN bağlama, Funnel, eksik kimlik doğrulama): hemen düzeltin. 3. **Tarayıcı denetimi uzak maruziyeti**: bunu operatör erişimi gibi ele alın (yalnızca tailnet, düğümleri bilinçli şekilde eşleştirin, genel maruziyetten kaçının). 4. **İzinler**: durum/yapılandırma/kimlik bilgileri/kimlik doğrulamanın grup/dünya tarafından okunabilir olmadığından emin olun. 5. **Plugin'ler**: yalnızca açıkça güvendiğiniz şeyleri yükleyin. 6. **Model seçimi**: araçları olan herhangi bir bot için modern, talimatlara karşı güçlendirilmiş modelleri tercih edin. ## Güvenlik denetimi sözlüğü Her denetim bulgusu yapılandırılmış bir `checkId` ile anahtarlanır (örneğin `gateway.bind_no_auth` veya `tools.exec.security_full_configured`). Yaygın kritik önem sınıfları: - `fs.*` - durum, yapılandırma, kimlik bilgileri, kimlik doğrulama profilleri üzerindeki dosya sistemi izinleri. - `gateway.*` - bağlama modu, kimlik doğrulama, Tailscale, Control UI, güvenilen proxy kurulumu. - `hooks.*`, `browser.*`, `sandbox.*`, `tools.exec.*` - yüzey başına güçlendirme. - `plugins.*`, `skills.*` - plugin/skill tedarik zinciri ve tarama bulguları. - `security.exposure.*` - erişim ilkesinin araç etki alanıyla buluştuğu çapraz kesen kontroller. Önem düzeyleri, düzeltme anahtarları ve otomatik düzeltme desteğiyle tam kataloğa [Güvenlik denetimi kontrolleri](/tr/gateway/security/audit-checks) bölümünden bakın. ## HTTP üzerinden Control UI Control UI, cihaz kimliği oluşturmak için **güvenli bağlam** (HTTPS veya localhost) gerektirir. `gateway.controlUi.allowInsecureAuth` yerel bir uyumluluk anahtarıdır: - localhost üzerinde, sayfa güvenli olmayan HTTP üzerinden yüklendiğinde cihaz kimliği olmadan Control UI kimlik doğrulamasına izin verir. - Eşleştirme kontrollerini atlatmaz. - Uzak (localhost olmayan) cihaz kimliği gereksinimlerini gevşetmez. HTTPS'yi (Tailscale Serve) tercih edin veya UI'ı `127.0.0.1` üzerinde açın. Yalnızca acil durum senaryoları için `gateway.controlUi.dangerouslyDisableDeviceAuth` cihaz kimliği kontrollerini tamamen devre dışı bırakır. Bu ciddi bir güvenlik düşürmesidir; yalnızca etkin olarak hata ayıklıyorsanız ve hızlıca geri alabiliyorsanız kapalı durumdan çıkarın. Bu tehlikeli bayraklardan ayrı olarak, başarılı `gateway.auth.mode: "trusted-proxy"` **operatör** Control UI oturumlarını cihaz kimliği olmadan kabul edebilir. Bu, kasıtlı bir kimlik doğrulama modu davranışıdır, bir `allowInsecureAuth` kestirmesi değildir ve yine de düğüm rolündeki Control UI oturumlarına genişlemez. `openclaw security audit` bu ayar etkinleştirildiğinde uyarır. ## Güvensiz veya tehlikeli bayraklar özeti Bilinen güvensiz/tehlikeli hata ayıklama anahtarları etkinleştirildiğinde `openclaw security audit` `config.insecure_or_dangerous_flags` yükseltir. Bunları üretimde ayarlanmamış tutun. Etkinleştirilen her bayrak kendi bulgusu olarak raporlanır. Denetim bastırmaları yapılandırılmışsa, eşleşen bulgular `suppressedFindings` içine taşınsa bile `security.audit.suppressions.active` etkin denetim çıktısında kalır. - `gateway.controlUi.allowInsecureAuth=true` - `gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback=true` - `gateway.controlUi.dangerouslyDisableDeviceAuth=true` - `security.audit.suppressions configured ()` - `hooks.gmail.allowUnsafeExternalContent=true` - `hooks.mappings[].allowUnsafeExternalContent=true` - `tools.exec.applyPatch.workspaceOnly=false` - `plugins.entries.acpx.config.permissionMode=approve-all` Control UI ve tarayıcı: - `gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback` - `gateway.controlUi.dangerouslyDisableDeviceAuth` - `browser.ssrfPolicy.dangerouslyAllowPrivateNetwork` Kanal ad eşleştirme (paketli ve plugin kanalları; ayrıca geçerli olduğunda `accounts.` başına kullanılabilir): - `channels.discord.dangerouslyAllowNameMatching` - `channels.slack.dangerouslyAllowNameMatching` - `channels.googlechat.dangerouslyAllowNameMatching` - `channels.msteams.dangerouslyAllowNameMatching` - `channels.synology-chat.dangerouslyAllowNameMatching` (plugin kanalı) - `channels.synology-chat.dangerouslyAllowInheritedWebhookPath` (plugin kanalı) - `channels.zalouser.dangerouslyAllowNameMatching` (plugin kanalı) - `channels.irc.dangerouslyAllowNameMatching` (plugin kanalı) - `channels.mattermost.dangerouslyAllowNameMatching` (plugin kanalı) Ağ maruziyeti: - `channels.telegram.network.dangerouslyAllowPrivateNetwork` (hesap başına da) Sandbox Docker (varsayılanlar + aracı başına): - `agents.defaults.sandbox.docker.dangerouslyAllowReservedContainerTargets` - `agents.defaults.sandbox.docker.dangerouslyAllowExternalBindSources` - `agents.defaults.sandbox.docker.dangerouslyAllowContainerNamespaceJoin` ## Ters proxy yapılandırması Gateway'i bir ters proxy (nginx, Caddy, Traefik vb.) arkasında çalıştırıyorsanız, uygun iletilen istemci IP işleme için `gateway.trustedProxies` yapılandırın. Gateway, `trustedProxies` içinde **olmayan** bir adresten proxy başlıkları algıladığında bağlantıları yerel istemciler olarak ele **almaz**. Gateway kimlik doğrulaması devre dışıysa bu bağlantılar reddedilir. Bu, proxied bağlantıların aksi halde localhost'tan gelmiş gibi görünerek otomatik güven alacağı kimlik doğrulama atlamasını önler. `gateway.trustedProxies` ayrıca `gateway.auth.mode: "trusted-proxy"` için de veri sağlar, ancak bu kimlik doğrulama modu daha katıdır: - trusted-proxy kimlik doğrulaması **varsayılan olarak loopback kaynaklı proxy'lerde kapalı şekilde başarısız olur** - aynı ana makinedeki loopback ters proxy'leri, yerel istemci algılama ve iletilen IP işleme için `gateway.trustedProxies` kullanabilir - aynı ana makinedeki loopback ters proxy'leri `gateway.auth.mode: "trusted-proxy"` koşulunu yalnızca `gateway.auth.trustedProxy.allowLoopback = true` olduğunda karşılayabilir; aksi halde token/parola kimlik doğrulaması kullanın ```yaml gateway: trustedProxies: - "10.0.0.1" # reverse proxy IP # Optional. Default false. # Only enable if your proxy cannot provide X-Forwarded-For. allowRealIpFallback: false auth: mode: password password: ${OPENCLAW_GATEWAY_PASSWORD} ``` `trustedProxies` yapılandırıldığında Gateway, istemci IP'sini belirlemek için `X-Forwarded-For` kullanır. `gateway.allowRealIpFallback: true` açıkça ayarlanmadıkça `X-Real-IP` varsayılan olarak yok sayılır. Güvenilen proxy başlıkları düğüm cihaz eşleştirmesini otomatik olarak güvenilir yapmaz. `gateway.nodes.pairing.autoApproveCidrs` ayrı, varsayılan olarak devre dışı bir operatör ilkesidir. Etkinleştirildiğinde bile loopback kaynaklı trusted-proxy başlık yolları düğüm otomatik onayından hariç tutulur, çünkü yerel çağıranlar bu başlıkları taklit edebilir; loopback trusted-proxy kimlik doğrulaması açıkça etkinleştirildiğinde de buna dahildir. İyi ters proxy davranışı (gelen iletme başlıklarının üzerine yazın): ```nginx proxy_set_header X-Forwarded-For $remote_addr; proxy_set_header X-Real-IP $remote_addr; ``` Kötü ters proxy davranışı (güvenilmeyen iletme başlıklarını ekleyin/koruyun): ```nginx proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; ``` ## HSTS ve origin notları - OpenClaw gateway, önce yerel/loopback çalışacak şekilde tasarlanmıştır. TLS'yi bir ters proxy'de sonlandırıyorsanız, HSTS'yi oradaki proxy'ye bakan HTTPS etki alanında ayarlayın. - Gateway HTTPS'yi kendisi sonlandırıyorsa, OpenClaw yanıtlarından HSTS üst bilgisini göndermek için `gateway.http.securityHeaders.strictTransportSecurity` ayarını yapabilirsiniz. - Ayrıntılı dağıtım kılavuzu [Güvenilir Proxy Kimlik Doğrulaması](/tr/gateway/trusted-proxy-auth#tls-termination-and-hsts) bölümündedir. - Loopback olmayan Control UI dağıtımları için `gateway.controlUi.allowedOrigins` varsayılan olarak gereklidir. - `gateway.controlUi.allowedOrigins: ["*"]`, sıkılaştırılmış bir varsayılan değil, tüm tarayıcı kaynaklarına açıkça izin veren bir politikadır. Sıkı denetimli yerel testler dışında bundan kaçının. - Loopback üzerindeki tarayıcı kaynağı kimlik doğrulama hataları, genel loopback muafiyeti etkin olsa bile yine hız sınırına tabidir; ancak kilitleme anahtarı, tek bir paylaşılan localhost kovası yerine normalize edilmiş her `Origin` değeri başına kapsamlandırılır. - `gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback=true`, Host üst bilgisi kaynak geri dönüş modunu etkinleştirir; bunu operatör tarafından seçilmiş tehlikeli bir politika olarak ele alın. - DNS rebinding ve proxy-host üst bilgisi davranışını dağıtım sıkılaştırma konuları olarak ele alın; `trustedProxies` değerini dar tutun ve gateway'i doğrudan genel internete açmaktan kaçının. ## Yerel oturum günlükleri diskte tutulur OpenClaw, oturum dökümlerini diskte `~/.openclaw/agents//sessions/*.jsonl` altında saklar. Bu, oturum sürekliliği ve isteğe bağlı olarak oturum belleği indeksleme için gereklidir, ancak aynı zamanda **dosya sistemi erişimi olan herhangi bir işlem/kullanıcı bu günlükleri okuyabilir** anlamına gelir. Disk erişimini güven sınırı olarak ele alın ve `~/.openclaw` üzerindeki izinleri sıkılaştırın (aşağıdaki denetim bölümüne bakın). Aracılar arasında daha güçlü yalıtım gerekiyorsa, onları ayrı OS kullanıcıları veya ayrı ana makineler altında çalıştırın. ## Node yürütme (system.run) Bir macOS node eşleştirilmişse, Gateway o node üzerinde `system.run` çağırabilir. Bu, Mac üzerinde **uzaktan kod yürütme** anlamına gelir: - Node eşleştirmesi gerektirir (onay + token). - Gateway node eşleştirmesi, komut başına bir onay yüzeyi değildir. Node kimliğini/güvenini ve token verilmesini kurar. - Gateway, `gateway.nodes.allowCommands` / `denyCommands` üzerinden kaba bir global node komut politikası uygular. - Mac üzerinde **Settings → Exec approvals** ile denetlenir (security + ask + allowlist). - Node başına `system.run` politikası, node'un kendi exec onayları dosyasıdır (`exec.approvals.node.*`); bu, gateway'in global komut kimliği politikasından daha katı veya daha gevşek olabilir. - `security="full"` ve `ask="off"` ile çalışan bir node, varsayılan güvenilir operatör modelini izliyordur. Dağıtımınız açıkça daha sıkı bir onay veya allowlist tutumu gerektirmediği sürece bunu beklenen davranış olarak ele alın. - Onay modu, tam istek bağlamını ve mümkün olduğunda tek bir somut yerel betik/dosya işlenenini bağlar. OpenClaw bir yorumlayıcı/çalışma zamanı komutu için tam olarak bir doğrudan yerel dosya belirleyemezse, onay destekli yürütme tam anlamsal kapsama sözü vermek yerine reddedilir. - `host=node` için onay destekli çalıştırmalar ayrıca kanonik hazırlanmış bir `systemRunPlan` saklar; daha sonraki onaylanmış iletmeler bu saklanan planı yeniden kullanır ve gateway doğrulaması, onay isteği oluşturulduktan sonra çağıranın komut/cwd/oturum bağlamı düzenlemelerini reddeder. - Uzaktan yürütme istemiyorsanız, güvenliği **deny** olarak ayarlayın ve ilgili Mac için node eşleştirmesini kaldırın. Bu ayrım triage için önemlidir: - Yeniden bağlanan eşleştirilmiş bir node'un farklı bir komut listesi ilan etmesi, Gateway global politikası ve node'un yerel exec onayları gerçek yürütme sınırını hâlâ zorunlu kılıyorsa tek başına bir güvenlik açığı değildir. - Node eşleştirme meta verilerini ikinci bir gizli komut başına onay katmanı olarak ele alan raporlar genellikle bir politika/UX karışıklığıdır, güvenlik sınırı atlatması değildir. ## Dinamik Skills (izleyici / uzak node'lar) OpenClaw oturum ortasında Skills listesini yenileyebilir: - **Skills izleyicisi**: `SKILL.md` değişiklikleri, bir sonraki aracı turunda Skills anlık görüntüsünü güncelleyebilir. - **Uzak node'lar**: bir macOS node'un bağlanması, macOS'a özgü Skills öğelerini uygun hâle getirebilir (bin yoklamasına göre). Skill klasörlerini **güvenilir kod** olarak ele alın ve bunları kimlerin değiştirebileceğini kısıtlayın. ## Tehdit modeli AI asistanınız şunları yapabilir: - Keyfi shell komutları çalıştırabilir - Dosyaları okuyabilir/yazabilir - Ağ hizmetlerine erişebilir - Herhangi birine mesaj gönderebilir (WhatsApp erişimi verirseniz) Size mesaj gönderen kişiler şunları yapabilir: - AI'nızı kötü şeyler yapmaya kandırmaya çalışabilir - Verilerinize erişim için sosyal mühendislik yapabilir - Altyapı ayrıntılarını yoklayabilir ## Temel kavram: zekâdan önce erişim denetimi Buradaki çoğu hata karmaşık exploit'ler değildir; "biri bota mesaj attı ve bot isteneni yaptı" durumudur. OpenClaw'ın yaklaşımı: - **Önce kimlik:** botla kimin konuşabileceğine karar verin (DM eşleştirmesi / allowlist'ler / açıkça "open"). - **Sonra kapsam:** botun nerede işlem yapmasına izin verileceğine karar verin (grup allowlist'leri + mention gating, araçlar, sandboxing, cihaz izinleri). - **En son model:** modelin manipüle edilebileceğini varsayın; manipülasyonun sınırlı etki alanına sahip olacağı şekilde tasarlayın. ## Komut yetkilendirme modeli Slash komutları ve yönergeler yalnızca **yetkili göndericiler** için kabul edilir. Yetkilendirme, kanal allowlist'leri/eşleştirmesi ve `commands.useAccessGroups` üzerinden türetilir ([Yapılandırma](/tr/gateway/configuration) ve [Slash komutları](/tr/tools/slash-commands) bölümlerine bakın). Bir kanal allowlist'i boşsa veya `"*"` içeriyorsa, komutlar o kanal için fiilen herkese açıktır. `/exec`, yetkili operatörler için yalnızca oturuma özgü bir kolaylıktır. Yapılandırma yazmaz veya diğer oturumları değiştirmez. ## Kontrol düzlemi araçları riski İki yerleşik araç kalıcı kontrol düzlemi değişiklikleri yapabilir: - `gateway`, `config.schema.lookup` / `config.get` ile yapılandırmayı inceleyebilir ve `config.apply`, `config.patch` ve `update.run` ile kalıcı değişiklikler yapabilir. - `cron`, özgün sohbet/görev bittikten sonra çalışmaya devam eden zamanlanmış işler oluşturabilir. Aracıya bakan `gateway` çalışma zamanı aracı, `tools.exec.ask` veya `tools.exec.security` değerlerini yeniden yazmayı hâlâ reddeder; eski `tools.bash.*` alias'ları yazmadan önce aynı korunan exec yollarına normalize edilir. Aracı güdümlü `gateway config.apply` ve `gateway config.patch` düzenlemeleri varsayılan olarak güvenli şekilde kapalıdır: yalnızca düşük riskli çalışma zamanı ayarlama, mention-gating ve görünür yanıt yollarından oluşan dar bir küme aracı tarafından ayarlanabilir. Global model varsayılanları ve prompt bindirmeleri operatör denetiminde kalır. Bu nedenle yeni hassas yapılandırma ağaçları, bilinçli olarak allowlist'e eklenmedikçe korunur. Güvenilmeyen içeriği işleyen herhangi bir aracı/yüzey için bunları varsayılan olarak reddedin: ```json5 { tools: { deny: ["gateway", "cron", "sessions_spawn", "sessions_send"], }, } ``` `commands.restart=false` yalnızca yeniden başlatma eylemlerini engeller. `gateway` yapılandırma/güncelleme eylemlerini devre dışı bırakmaz. ## Plugin'ler Plugin'ler Gateway ile **aynı süreç içinde** çalışır. Bunları güvenilir kod olarak ele alın: - Yalnızca güvendiğiniz kaynaklardan Plugin yükleyin. - Açık `plugins.allow` allowlist'lerini tercih edin. - Etkinleştirmeden önce Plugin yapılandırmasını gözden geçirin. - Plugin değişikliklerinden sonra Gateway'i yeniden başlatın. - Plugin yükler veya güncellerseniz (`openclaw plugins install `, `openclaw plugins update `), bunu güvenilmeyen kod çalıştırmak gibi ele alın: - Yükleme yolu, etkin Plugin yükleme kökü altındaki Plugin başına dizindir. - OpenClaw, yükleme/güncelleme sırasında yerleşik yerel tehlikeli kod engelleme çalıştırmaz. Operatöre ait yerel allow/block kararları için `security.installPolicy`, tanısal tarama için `openclaw security audit --deep` kullanın. - npm ve git Plugin yüklemeleri, paket yöneticisi bağımlılık yakınsamasını yalnızca açık yükleme/güncelleme akışı sırasında çalıştırır. Yerel yollar ve arşivler kendi kendine yeten Plugin paketleri olarak ele alınır; OpenClaw bunları `npm install` çalıştırmadan kopyalar/referanslar. - Sabitlenmiş, tam sürümleri (`@scope/pkg@1.2.3`) tercih edin ve etkinleştirmeden önce diskte açılmış kodu inceleyin. - `--dangerously-force-unsafe-install` kullanım dışıdır ve artık Plugin yükleme/güncelleme davranışını değiştirmez. - Operatörlerin Skills ve Plugin yüklemeleri için ana makineye özgü allow/block kararları verecek güvenilir bir yerel komuta ihtiyaç duyması durumunda `security.installPolicy` yapılandırın. Bu politika, kaynak malzeme hazırlanıp yerleştirildikten sonra ancak kurulum devam etmeden önce çalışır, ClawHub Skills için de geçerlidir ve kullanımdan kaldırılmış güvensiz bayraklarla atlanmaz. Ayrıntılar: [Plugin'ler](/tr/tools/plugin) ## DM erişim modeli: eşleştirme, allowlist, open, devre dışı Mevcut tüm DM destekli kanallar, gelen DM'leri ileti işlenmeden **önce** denetleyen bir DM politikası (`dmPolicy` veya `*.dm.policy`) destekler: - `pairing` (varsayılan): bilinmeyen göndericiler kısa bir eşleştirme kodu alır ve bot, onaylanana kadar mesajlarını yok sayar. Kodlar 1 saat sonra sona erer; tekrarlanan DM'ler yeni bir istek oluşturulana kadar kodu yeniden göndermez. Bekleyen istekler varsayılan olarak **kanal başına 3** ile sınırlandırılır. - `allowlist`: bilinmeyen göndericiler engellenir (eşleştirme el sıkışması yok). - `open`: herkesin DM göndermesine izin ver (genel). Kanal allowlist'inin `"*"` içermesini **gerektirir** (açık opt-in). - `disabled`: gelen DM'leri tamamen yok say. CLI ile onaylayın: ```bash openclaw pairing list openclaw pairing approve ``` Ayrıntılar + diskteki dosyalar: [Eşleştirme](/tr/channels/pairing) ## DM oturum yalıtımı (çok kullanıcılı mod) Varsayılan olarak OpenClaw, asistanınızın cihazlar ve kanallar arasında sürekliliğe sahip olması için **tüm DM'leri ana oturuma yönlendirir**. **Birden fazla kişi** bota DM gönderebiliyorsa (açık DM'ler veya çok kişili allowlist), DM oturumlarını yalıtmayı düşünün: ```json5 { session: { dmScope: "per-channel-peer" }, } ``` Bu, grup sohbetlerini yalıtılmış tutarken kullanıcılar arası bağlam sızıntısını önler. Bu bir mesajlaşma bağlamı sınırıdır, ana makine yöneticisi sınırı değildir. Kullanıcılar birbirine karşıt ise ve aynı Gateway ana makinesini/yapılandırmasını paylaşıyorsa, bunun yerine güven sınırı başına ayrı gateway'ler çalıştırın. ### Güvenli DM modu (önerilir) Yukarıdaki parçayı **güvenli DM modu** olarak ele alın: - Varsayılan: `session.dmScope: "main"` (süreklilik için tüm DM'ler tek bir oturumu paylaşır). - Yerel CLI onboarding varsayılanı: ayarlanmamışsa `session.dmScope: "per-channel-peer"` yazar (mevcut açık değerleri korur). - Güvenli DM modu: `session.dmScope: "per-channel-peer"` (her kanal+gönderici çifti yalıtılmış bir DM bağlamı alır). - Kanallar arası eş yalıtımı: `session.dmScope: "per-peer"` (her gönderici aynı türdeki tüm kanallar genelinde tek bir oturum alır). Aynı kanalda birden fazla hesap çalıştırıyorsanız bunun yerine `per-account-channel-peer` kullanın. Aynı kişi size birden fazla kanaldan ulaşıyorsa, bu DM oturumlarını tek bir kanonik kimlikte birleştirmek için `session.identityLinks` kullanın. [Oturum Yönetimi](/tr/concepts/session) ve [Yapılandırma](/tr/gateway/configuration) bölümlerine bakın. ## DM'ler ve gruplar için allowlist'ler OpenClaw'ın iki ayrı "beni kim tetikleyebilir?" katmanı vardır: - **DM izin listesi** (`allowFrom` / `channels.discord.allowFrom` / `channels.slack.allowFrom`; eski: `channels.discord.dm.allowFrom`, `channels.slack.dm.allowFrom`): doğrudan mesajlarda botla kimin konuşmasına izin verildiği. - `dmPolicy="pairing"` olduğunda, onaylar `~/.openclaw/credentials/` altındaki hesap kapsamlı eşleştirme izin listesi deposuna yazılır (varsayılan hesap için `-allowFrom.json`, varsayılan olmayan hesaplar için `--allowFrom.json`) ve yapılandırma izin listeleriyle birleştirilir. - **Grup izin listesi** (kanala özgü): botun hangi gruplardan/kanallardan/sunuculardan mesaj kabul edeceği. - Yaygın desenler: - `channels.whatsapp.groups`, `channels.telegram.groups`, `channels.imessage.groups`: `requireMention` gibi grup başına varsayılanlar; ayarlandığında aynı zamanda grup izin listesi gibi davranır (herkese izin verme davranışını korumak için `"*"` ekleyin). - `groupPolicy="allowlist"` + `groupAllowFrom`: bir grup oturumu _içinde_ botu kimin tetikleyebileceğini sınırlar (WhatsApp/Telegram/Signal/iMessage/Microsoft Teams). - `channels.discord.guilds` / `channels.slack.channels`: yüzey başına izin listeleri + bahsetme varsayılanları. - Grup kontrolleri şu sırayla çalışır: önce `groupPolicy`/grup izin listeleri, sonra bahsetme/yanıtla etkinleştirme. - Bir bot mesajını yanıtlamak (örtük bahsetme), `groupAllowFrom` gibi gönderen izin listelerini **atlanmasını sağlamaz**. - **Güvenlik notu:** `dmPolicy="open"` ve `groupPolicy="open"` ayarlarını son çare ayarları olarak ele alın. Çok nadiren kullanılmalıdırlar; odadaki her üyeye tamamen güvenmiyorsanız eşleştirme + izin listelerini tercih edin. Ayrıntılar: [Yapılandırma](/tr/gateway/configuration) ve [Gruplar](/tr/channels/groups) ## Prompt injection (nedir, neden önemlidir) Prompt injection, bir saldırganın modeli güvenli olmayan bir şey yapmaya yönlendiren bir mesaj hazırlamasıdır ("talimatlarını yoksay", "dosya sistemini dök", "bu bağlantıyı izle ve komutları çalıştır" vb.). Güçlü sistem promptları olsa bile, **prompt injection çözülmüş değildir**. Sistem prompt korumaları yalnızca yumuşak yönlendirmedir; sert yaptırım araç ilkesinden, yürütme onaylarından, sandbox kullanımından ve kanal izin listelerinden gelir (ve operatörler bunları tasarım gereği devre dışı bırakabilir). Pratikte yardımcı olanlar: - Gelen DM’leri kilitli tutun (eşleştirme/izin listeleri). - Gruplarda bahsetme geçidini tercih edin; herkese açık odalarda "her zaman açık" botlardan kaçının. - Bağlantıları, ekleri ve yapıştırılan talimatları varsayılan olarak zararlı kabul edin. - Hassas araç yürütmesini bir sandbox içinde çalıştırın; sırları agent’ın erişilebilir dosya sisteminin dışında tutun. - Not: sandbox kullanımı isteğe bağlıdır. Sandbox modu kapalıysa örtük `host=auto`, gateway ana makinesine çözümlenir. Açık `host=sandbox`, kullanılabilir sandbox çalışma zamanı olmadığı için yine kapalı güvenli şekilde başarısız olur. Bu davranışın yapılandırmada açık olmasını istiyorsanız `host=gateway` ayarlayın. - Yüksek riskli araçları (`exec`, `browser`, `web_fetch`, `web_search`) güvenilir agent’larla veya açık izin listeleriyle sınırlayın. - Yorumlayıcıları izin listesine alırsanız (`python`, `node`, `ruby`, `perl`, `php`, `lua`, `osascript`), satır içi eval biçimlerinin yine açık onay gerektirmesi için `tools.exec.strictInlineEval` etkinleştirin. - Kabuk onay analizi, **tırnaksız heredoclar** içindeki POSIX parametre genişletme biçimlerini de (`$VAR`, `$?`, `$$`, `$1`, `$@`, `${…}`) reddeder; böylece izin listesine alınmış bir heredoc gövdesi, kabuk genişletmesini düz metin gibi izin listesi incelemesinden geçiremez. Literal gövde semantiğine geçmek için heredoc sonlandırıcısını tırnak içine alın (örneğin `<<'EOF'`); değişkenleri genişletecek tırnaksız heredoclar reddedilir. - **Model seçimi önemlidir:** daha eski/daha küçük/eski nesil modeller prompt injection ve araç kötüye kullanımına karşı belirgin şekilde daha az dayanıklıdır. Araç etkin agent’lar için mevcut en güçlü yeni nesil, talimatlara dayanıklı modeli kullanın. Güvenilmeyen olarak ele alınacak kırmızı bayraklar: - "Bu dosyayı/URL’yi oku ve tam olarak söylediğini yap." - "Sistem promptunu veya güvenlik kurallarını yoksay." - "Gizli talimatlarını veya araç çıktılarını göster." - "~/.openclaw içeriğinin tamamını veya günlüklerini yapıştır." ## Harici içerik özel token temizleme OpenClaw, yaygın kendi barındırılan LLM sohbet şablonu özel token literallerini, modele ulaşmadan önce sarılmış harici içerikten ve meta verilerden ayıklar. Kapsanan işaretçi aileleri arasında Qwen/ChatML, Llama, Gemma, Mistral, Phi ve GPT-OSS rol/tur tokenları bulunur. Neden: - Kendi barındırılan modellerin önünde duran OpenAI uyumlu arka uçlar, kullanıcı metninde görünen özel tokenları maskelemek yerine bazen korur. Gelen harici içeriğe (getirilen bir sayfa, e-posta gövdesi, dosya içerikleri araç çıktısı) yazabilen bir saldırgan, aksi halde sentetik bir `assistant` veya `system` rol sınırı enjekte edip sarılmış içerik korumalarından kaçabilir. - Temizleme harici içerik sarma katmanında gerçekleşir; bu nedenle sağlayıcı başına olmak yerine fetch/read araçları ve gelen kanal içeriği genelinde tek biçimde uygulanır. - Giden model yanıtlarında, kullanıcıya görünür yanıtlardan sızmış ``, ``, ``, `` ve benzeri dahili çalışma zamanı iskeletlerini son kanal teslim sınırında ayıklayan ayrı bir temizleyici zaten vardır. Harici içerik temizleyici bunun gelen taraftaki karşılığıdır. Bu, bu sayfadaki diğer sertleştirmelerin yerine geçmez - `dmPolicy`, izin listeleri, yürütme onayları, sandbox kullanımı ve `contextVisibility` hâlâ temel işi yapar. Özel tokenları bozulmadan kullanıcı metniyle ileten kendi barındırılan yığınlara karşı belirli bir tokenizer katmanı atlatmasını kapatır. ## Güvenli olmayan harici içerik atlatma bayrakları OpenClaw, harici içerik güvenlik sarmalamayı devre dışı bırakan açık atlatma bayrakları içerir: - `hooks.mappings[].allowUnsafeExternalContent` - `hooks.gmail.allowUnsafeExternalContent` - Cron payload alanı `allowUnsafeExternalContent` Rehberlik: - Üretimde bunları ayarlamayın/false bırakın. - Yalnızca dar kapsamlı hata ayıklama için geçici olarak etkinleştirin. - Etkinleştirilirse, ilgili agent’ı izole edin (sandbox + en az araç + ayrılmış oturum ad alanı). Hooks risk notu: - Hook payloadları, teslimat kontrol ettiğiniz sistemlerden gelse bile güvenilmeyen içeriktir (posta/belge/web içeriği prompt injection taşıyabilir). - Zayıf model katmanları bu riski artırır. Hook güdümlü otomasyon için güçlü modern model katmanlarını tercih edin ve araç ilkesini sıkı tutun (`tools.profile: "messaging"` veya daha katısı), ayrıca mümkün olduğunda sandbox kullanın. ### Prompt injection herkese açık DM gerektirmez Bota **yalnızca siz** mesaj gönderebilseniz bile, prompt injection botun okuduğu herhangi bir **güvenilmeyen içerik** üzerinden gerçekleşebilir (web search/fetch sonuçları, tarayıcı sayfaları, e-postalar, belgeler, ekler, yapıştırılan günlükler/kod). Başka bir deyişle: gönderen tek tehdit yüzeyi değildir; **içeriğin kendisi** karşıt talimatlar taşıyabilir. Araçlar etkinleştirildiğinde tipik risk, bağlamı dışarı sızdırmak veya araç çağrılarını tetiklemektir. Etki alanını şu şekilde azaltın: - Güvenilmeyen içeriği özetlemek için salt okunur veya araçları devre dışı bir **okuyucu agent** kullanın, ardından özeti ana agent’ınıza aktarın. - Gerekli olmadıkça araç etkin agent’lar için `web_search` / `web_fetch` / `browser` kapalı tutun. - OpenResponses URL girdileri (`input_file` / `input_image`) için sıkı `gateway.http.endpoints.responses.files.urlAllowlist` ve `gateway.http.endpoints.responses.images.urlAllowlist` ayarlayın ve `maxUrlParts` değerini düşük tutun. Boş izin listeleri ayarlanmamış kabul edilir; URL getirmeyi tamamen devre dışı bırakmak istiyorsanız `files.allowUrl: false` / `images.allowUrl: false` kullanın. - OpenResponses dosya girdileri için, çözümlenen `input_file` metni yine **güvenilmeyen harici içerik** olarak enjekte edilir. Gateway yerelde çözümledi diye dosya metninin güvenilir olduğuna güvenmeyin. Enjekte edilen blok, bu yol daha uzun `SECURITY NOTICE:` başlığını atlasa bile açık `<<>>` sınır işaretçilerini ve `Source: External` meta verisini taşır. - Aynı işaretçi tabanlı sarma, medya anlama ekli belgelerden metin çıkarıp bu metni medya promptuna eklemeden önce de uygulanır. - Güvenilmeyen girdiye temas eden tüm agent’lar için sandbox kullanımını ve sıkı araç izin listelerini etkinleştirin. - Sırları promptların dışında tutun; bunun yerine gateway ana makinesinde env/config üzerinden geçirin. ### Kendi barındırılan LLM arka uçları vLLM, SGLang, TGI, LM Studio gibi OpenAI uyumlu kendi barındırılan arka uçlar veya özel Hugging Face tokenizer yığınları, sohbet şablonu özel tokenlarının nasıl işlendiği konusunda barındırılan sağlayıcılardan farklı olabilir. Bir arka uç, `<|im_start|>`, `<|start_header_id|>` veya `` gibi literal dizeleri kullanıcı içeriği içinde yapısal sohbet şablonu tokenları olarak tokenize ederse, güvenilmeyen metin tokenizer katmanında rol sınırları taklit etmeye çalışabilir. OpenClaw, modele göndermeden önce sarılmış harici içerikten yaygın model ailesi özel token literallerini ayıklar. Harici içerik sarmalamayı etkin tutun ve mevcut olduğunda kullanıcı tarafından sağlanan içerikteki özel tokenları bölen veya kaçışlayan arka uç ayarlarını tercih edin. OpenAI ve Anthropic gibi barındırılan sağlayıcılar kendi istek tarafı temizlemelerini zaten uygular. ### Model gücü (güvenlik notu) Prompt injection direnci model katmanları arasında **tekdüze değildir**. Daha küçük/daha ucuz modeller, özellikle karşıt promptlar altında araç kötüye kullanımına ve talimat ele geçirmeye genel olarak daha yatkındır. Araç etkin agent’lar veya güvenilmeyen içerik okuyan agent’lar için, eski/daha küçük modellerle prompt-injection riski genellikle çok yüksektir. Bu iş yüklerini zayıf model katmanlarında çalıştırmayın. Öneriler: - Araç çalıştırabilen veya dosyalara/ağlara temas edebilen herhangi bir bot için **en yeni nesil, en iyi katman modeli** kullanın. - Araç etkin agent’lar veya güvenilmeyen gelen kutuları için **daha eski/daha zayıf/daha küçük katmanlar kullanmayın**; prompt-injection riski çok yüksektir. - Daha küçük bir model kullanmak zorundaysanız **etki alanını azaltın** (salt okunur araçlar, güçlü sandbox kullanımı, en az dosya sistemi erişimi, sıkı izin listeleri). - Küçük modeller çalıştırırken **tüm oturumlar için sandbox kullanımını etkinleştirin** ve girdiler sıkı şekilde kontrol edilmiyorsa **web_search/web_fetch/browser devre dışı bırakın**. - Güvenilir girdili ve araçsız yalnızca sohbet amaçlı kişisel asistanlar için daha küçük modeller genellikle uygundur. ## Gruplarda reasoning ve ayrıntılı çıktı `/reasoning`, `/verbose` ve `/trace`; dahili reasoning, araç çıktısı veya herkese açık bir kanal için amaçlanmamış Plugin tanılamalarını açığa çıkarabilir. Grup ayarlarında bunları **yalnızca hata ayıklama** olarak ele alın ve açıkça ihtiyaç duymadıkça kapalı tutun. Rehberlik: - Herkese açık odalarda `/reasoning`, `/verbose` ve `/trace` devre dışı tutun. - Etkinleştirirseniz, bunu yalnızca güvenilir DM’lerde veya sıkı denetlenen odalarda yapın. - Unutmayın: ayrıntılı ve trace çıktısı araç argümanlarını, URL’leri, Plugin tanılamalarını ve modelin gördüğü verileri içerebilir. ## Yapılandırma sertleştirme örnekleri ### Dosya izinleri Gateway ana makinesinde config + state özel kalsın: - `~/.openclaw/openclaw.json`: `600` (yalnızca kullanıcı okuma/yazma) - `~/.openclaw`: `700` (yalnızca kullanıcı) `openclaw doctor` bu izinler için uyarabilir ve bunları sıkılaştırmayı önerebilir. ### Ağ maruziyeti (bind, port, güvenlik duvarı) Gateway, tek bir portta **WebSocket + HTTP** çoklar: - Varsayılan: `18789` - Config/bayraklar/env: `gateway.port`, `--port`, `OPENCLAW_GATEWAY_PORT` Bu HTTP yüzeyi Control UI ve canvas ana makinesini içerir: - Control UI (SPA varlıkları) (varsayılan temel yol `/`) - Canvas ana makinesi: `/__openclaw__/canvas/` ve `/__openclaw__/a2ui/` (rastgele HTML/JS; güvenilmeyen içerik olarak ele alın) Canvas içeriğini normal bir tarayıcıda yüklerseniz, başka herhangi bir güvenilmeyen web sayfası gibi ele alın: - Canvas ana makinesini güvenilmeyen ağlara/kullanıcılara açmayın. - Sonuçlarını tamamen anlamadıkça canvas içeriğinin ayrıcalıklı web yüzeyleriyle aynı origin’i paylaşmasına izin vermeyin. Bind modu, Gateway’in nerede dinlediğini kontrol eder: - `gateway.bind: "loopback"` (varsayılan): yalnızca yerel istemciler bağlanabilir. - Loopback olmayan bind’ler (`"lan"`, `"tailnet"`, `"custom"`) saldırı yüzeyini genişletir. Bunları yalnızca gateway kimlik doğrulaması (paylaşılan token/parola veya doğru yapılandırılmış güvenilir proxy) ve gerçek bir güvenlik duvarıyla kullanın. Pratik kurallar: - LAN bağlamaları yerine Tailscale Serve kullanmayı tercih edin (Serve, Gateway'i loopback üzerinde tutar ve erişimi Tailscale yönetir). - LAN'a bağlamanız gerekiyorsa, bağlantı noktasını kaynak IP'lerden oluşan dar bir izin listesiyle güvenlik duvarında sınırlandırın; geniş kapsamlı port yönlendirmesi yapmayın. - Gateway'i asla kimlik doğrulamasız olarak `0.0.0.0` üzerinde açmayın. ### UFW ile Docker bağlantı noktası yayımlama OpenClaw'ı bir VPS üzerinde Docker ile çalıştırıyorsanız, yayımlanan konteyner bağlantı noktalarının (`-p HOST:CONTAINER` veya Compose `ports:`) yalnızca ana makine `INPUT` kurallarından değil, Docker'ın yönlendirme zincirlerinden geçirildiğini unutmayın. Docker trafiğini güvenlik duvarı politikanızla uyumlu tutmak için kuralları `DOCKER-USER` içinde uygulayın (bu zincir, Docker'ın kendi kabul kurallarından önce değerlendirilir). Birçok modern dağıtımda `iptables`/`ip6tables`, `iptables-nft` ön yüzünü kullanır ve bu kuralları yine nftables arka ucuna uygular. En küçük izin listesi örneği (IPv4): ```bash # /etc/ufw/after.rules (append as its own *filter section) *filter :DOCKER-USER - [0:0] -A DOCKER-USER -m conntrack --ctstate ESTABLISHED,RELATED -j RETURN -A DOCKER-USER -s 127.0.0.0/8 -j RETURN -A DOCKER-USER -s 10.0.0.0/8 -j RETURN -A DOCKER-USER -s 172.16.0.0/12 -j RETURN -A DOCKER-USER -s 192.168.0.0/16 -j RETURN -A DOCKER-USER -s 100.64.0.0/10 -j RETURN -A DOCKER-USER -p tcp --dport 80 -j RETURN -A DOCKER-USER -p tcp --dport 443 -j RETURN -A DOCKER-USER -m conntrack --ctstate NEW -j DROP -A DOCKER-USER -j RETURN COMMIT ``` IPv6'nın ayrı tabloları vardır. Docker IPv6 etkinse `/etc/ufw/after6.rules` içine eşleşen bir politika ekleyin. Belge parçacıklarında `eth0` gibi arayüz adlarını sabit kodlamaktan kaçının. Arayüz adları VPS imajları arasında değişir (`ens3`, `enp*` vb.) ve eşleşmezlikler yanlışlıkla reddetme kuralınızı atlayabilir. Yeniden yüklemeden sonra hızlı doğrulama: ```bash ufw reload iptables -S DOCKER-USER ip6tables -S DOCKER-USER nmap -sT -p 1-65535 --open ``` Beklenen harici bağlantı noktaları yalnızca kasıtlı olarak açtıklarınız olmalıdır (çoğu kurulum için: SSH + ters proxy bağlantı noktalarınız). ### mDNS/Bonjour keşfi Paketle gelen `bonjour` plugin etkinleştirildiğinde, Gateway yerel cihaz keşfi için mDNS üzerinden (`_openclaw-gw._tcp`, bağlantı noktası 5353) varlığını yayınlar. Tam modda bu, operasyonel ayrıntıları açığa çıkarabilecek TXT kayıtlarını içerir: - `cliPath`: CLI ikili dosyasına tam dosya sistemi yolu (kullanıcı adını ve kurulum konumunu açığa çıkarır) - `sshPort`: ana makinede SSH kullanılabilirliğini duyurur - `displayName`, `lanHost`: ana makine adı bilgisi **Operasyonel güvenlik değerlendirmesi:** Altyapı ayrıntılarını yayınlamak, yerel ağdaki herkes için keşfi kolaylaştırır. Dosya sistemi yolları ve SSH kullanılabilirliği gibi "zararsız" bilgiler bile saldırganların ortamınızı haritalamasına yardımcı olur. **Öneriler:** 1. **LAN keşfi gerekmedikçe Bonjour'u devre dışı bırakın.** Bonjour, macOS ana makinelerinde otomatik başlar ve diğer yerlerde isteğe bağlıdır; doğrudan Gateway URL'leri, Tailnet, SSH veya geniş alan DNS-SD yerel multicast'ten kaçınır. 2. **Minimal mod** (Bonjour etkinleştirildiğinde varsayılan, açık gateway'ler için önerilir): hassas alanları mDNS yayınlarından çıkarın: ```json5 { discovery: { mdns: { mode: "minimal" }, }, } ``` 3. Plugin'i etkin tutmak ancak yerel cihaz keşfini bastırmak istiyorsanız **mDNS modunu devre dışı bırakın**: ```json5 { discovery: { mdns: { mode: "off" }, }, } ``` 4. **Tam mod** (isteğe bağlı): TXT kayıtlarına `cliPath` + `sshPort` ekleyin: ```json5 { discovery: { mdns: { mode: "full" }, }, } ``` 5. **Ortam değişkeni** (alternatif): yapılandırma değişikliği olmadan mDNS'yi devre dışı bırakmak için `OPENCLAW_DISABLE_BONJOUR=1` ayarlayın. Bonjour minimal modda etkinleştirildiğinde, Gateway cihaz keşfi için yeterli bilgiyi (`role`, `gatewayPort`, `transport`) yayınlar ancak `cliPath` ve `sshPort` alanlarını çıkarır. CLI yolu bilgisine ihtiyaç duyan uygulamalar bunu bunun yerine kimliği doğrulanmış WebSocket bağlantısı üzerinden alabilir. ### Gateway WebSocket'i kilitleyin (yerel kimlik doğrulama) Gateway kimlik doğrulaması **varsayılan olarak zorunludur**. Geçerli bir gateway kimlik doğrulama yolu yapılandırılmamışsa, Gateway WebSocket bağlantılarını reddeder (kapalı hata). Onboarding varsayılan olarak bir token oluşturur (loopback için bile), bu yüzden yerel istemciler kimlik doğrulamalıdır. **Tüm** WS istemcilerinin kimlik doğrulaması yapması için bir token ayarlayın: ```json5 { gateway: { auth: { mode: "token", token: "your-token" }, }, } ``` Doctor sizin için bir tane oluşturabilir: `openclaw doctor --generate-gateway-token`. `gateway.remote.token` ve `gateway.remote.password` istemci kimlik bilgisi kaynaklarıdır. Bunlar tek başlarına yerel WS erişimini korumaz. Yerel çağrı yolları, yalnızca `gateway.auth.*` ayarlanmamışsa `gateway.remote.*` değerlerini fallback olarak kullanabilir. `gateway.auth.token` veya `gateway.auth.password` SecretRef üzerinden açıkça yapılandırılmış ve çözümlenememişse, çözümleme kapalı hata verir (uzak fallback maskelemesi yoktur). İsteğe bağlı: `wss://` kullanırken uzak TLS'yi `gateway.remote.tlsFingerprint` ile sabitleyin. Düz metin `ws://`, loopback, özel IP literalleri, `.local` ve Tailnet `*.ts.net` gateway URL'leri için kabul edilir. Diğer güvenilir özel DNS adları için, acil durum istisnası olarak istemci sürecinde `OPENCLAW_ALLOW_INSECURE_PRIVATE_WS=1` ayarlayın. Bu özellikle yalnızca süreç ortamıdır, bir `openclaw.json` yapılandırma anahtarı değildir. Mobil eşleştirme ve Android manuel ya da taranmış gateway rotaları daha katıdır: şifresiz bağlantı loopback için kabul edilir, ancak özel LAN, link-local, `.local` ve noktasız ana makine adları, güvenilir özel ağ şifresiz yoluna açıkça katılmadığınız sürece TLS kullanmalıdır. Yerel cihaz eşleştirme: - Aynı ana makine istemcilerini sorunsuz tutmak için cihaz eşleştirme, doğrudan local loopback bağlantılarında otomatik onaylanır. - OpenClaw ayrıca güvenilir paylaşılan gizli yardımcı akışları için dar bir arka uç/konteyner-yerel kendine bağlanma yoluna sahiptir. - Aynı ana makine tailnet bağlamaları dahil Tailnet ve LAN bağlantıları, eşleştirme için uzak olarak ele alınır ve yine de onay gerektirir. - Bir loopback isteğindeki yönlendirilmiş başlık kanıtı, loopback yerelliğini geçersiz kılar. Metadata-yükseltme otomatik onayı dar kapsamlıdır. Her iki kural için [Gateway eşleştirme](/tr/gateway/pairing) bölümüne bakın. Kimlik doğrulama modları: - `gateway.auth.mode: "token"`: paylaşılan bearer token (çoğu kurulum için önerilir). - `gateway.auth.mode: "password"`: parola kimlik doğrulaması (env üzerinden ayarlamayı tercih edin: `OPENCLAW_GATEWAY_PASSWORD`). - `gateway.auth.mode: "trusted-proxy"`: kullanıcıların kimliğini doğrulamak ve kimliği başlıklar üzerinden geçirmek için kimlik farkındalığı olan bir ters proxy'ye güvenin (bkz. [Güvenilir Proxy Kimlik Doğrulaması](/tr/gateway/trusted-proxy-auth)). Döndürme kontrol listesi (token/parola): 1. Yeni bir secret oluşturun/ayarlayın (`gateway.auth.token` veya `OPENCLAW_GATEWAY_PASSWORD`). 2. Gateway'i yeniden başlatın (veya Gateway'i macOS uygulaması denetliyorsa uygulamayı yeniden başlatın). 3. Uzak istemcileri güncelleyin (Gateway'e çağrı yapan makinelerde `gateway.remote.token` / `.password`). 4. Eski kimlik bilgileriyle artık bağlanamadığınızı doğrulayın. ### Tailscale Serve kimlik başlıkları `gateway.auth.allowTailscale` `true` olduğunda (Serve için varsayılan), OpenClaw Control UI/WebSocket kimlik doğrulaması için Tailscale Serve kimlik başlıklarını (`tailscale-user-login`) kabul eder. OpenClaw, kimliği yerel Tailscale daemon'u (`tailscale whois`) üzerinden `x-forwarded-for` adresini çözümleyip başlıkla eşleştirerek doğrular. Bu yalnızca loopback'e ulaşan ve Tailscale tarafından enjekte edildiği gibi `x-forwarded-for`, `x-forwarded-proto` ve `x-forwarded-host` içeren istekler için tetiklenir. Bu asenkron kimlik denetimi yolu için, aynı `{scope, ip}` değerine ait başarısız denemeler sınırlayıcı hatayı kaydetmeden önce seri hale getirilir. Bu nedenle bir Serve istemcisinden gelen eşzamanlı hatalı yeniden denemeler, iki düz eşleşmezlik olarak yarışmak yerine ikinci denemeyi hemen kilitleyebilir. HTTP API uç noktaları (örneğin `/v1/*`, `/tools/invoke` ve `/api/channels/*`) Tailscale kimlik-başlığı kimlik doğrulamasını **kullanmaz**. Bunlar yine de gateway'in yapılandırılmış HTTP kimlik doğrulama modunu izler. Önemli sınır notu: - Gateway HTTP bearer kimlik doğrulaması fiilen ya hep ya hiç operatör erişimidir. - `/v1/chat/completions`, `/v1/responses`, `/api/v1/admin/rpc` gibi plugin rotaları veya `/api/channels/*` çağırabilen kimlik bilgilerini, bu gateway için tam erişimli operatör secret'ları olarak değerlendirin. - OpenAI uyumlu HTTP yüzeyinde, paylaşılan-secret bearer kimlik doğrulaması tam varsayılan operatör kapsamlarını (`operator.admin`, `operator.approvals`, `operator.pairing`, `operator.read`, `operator.talk.secrets`, `operator.write`) ve agent dönüşleri için sahip semantiklerini geri yükler; daha dar `x-openclaw-scopes` değerleri bu paylaşılan-secret yolunu azaltmaz. - HTTP üzerinde istek başına kapsam semantiği yalnızca istek, güvenilir proxy kimlik doğrulaması gibi kimlik taşıyan bir moddan veya açıkça kimlik doğrulamasız özel bir girişten geldiğinde geçerlidir. - Bu kimlik taşıyan modlarda, `x-openclaw-scopes` atlanırsa normal operatör varsayılan kapsam kümesine fallback yapılır; daha dar bir kapsam kümesi istediğinizde başlığı açıkça gönderin. `x-openclaw-model` gibi sahip düzeyindeki OpenAI uyumlu başlıklar, kapsamlar daraltıldığında `operator.admin` gerektirir. - `/tools/invoke` ve HTTP oturum geçmişi uç noktaları aynı paylaşılan-secret kuralını izler: token/parola bearer kimlik doğrulaması orada da tam operatör erişimi olarak ele alınır, kimlik taşıyan modlar ise bildirilen kapsamları yine de uygular. - Bu kimlik bilgilerini güvenilmeyen çağıranlarla paylaşmayın; her güven sınırı için ayrı gateway'leri tercih edin. **Güven varsayımı:** tokensız Serve kimlik doğrulaması, gateway ana makinesinin güvenilir olduğunu varsayar. Bunu, aynı ana makinedeki kötü niyetli süreçlere karşı koruma olarak değerlendirmeyin. Gateway ana makinesinde güvenilmeyen yerel kod çalışabiliyorsa, `gateway.auth.allowTailscale` özelliğini devre dışı bırakın ve `gateway.auth.mode: "token"` veya `"password"` ile açık paylaşılan-secret kimlik doğrulaması gerektirin. **Güvenlik kuralı:** bu başlıkları kendi ters proxy'nizden iletmeyin. Gateway'in önünde TLS sonlandırıyor veya proxy kullanıyorsanız, `gateway.auth.allowTailscale` özelliğini devre dışı bırakın ve bunun yerine paylaşılan-secret kimlik doğrulaması (`gateway.auth.mode: "token"` veya `"password"`) ya da [Güvenilir Proxy Kimlik Doğrulaması](/tr/gateway/trusted-proxy-auth) kullanın. Güvenilir proxy'ler: - Gateway'in önünde TLS sonlandırıyorsanız, `gateway.trustedProxies` değerini proxy IP'lerinize ayarlayın. - OpenClaw, yerel eşleştirme denetimleri ve HTTP kimlik doğrulama/yerel denetimleri için istemci IP'sini belirlemek üzere bu IP'lerden gelen `x-forwarded-for` (veya `x-real-ip`) başlığına güvenir. - Proxy'nizin `x-forwarded-for` değerinin **üzerine yazdığından** ve Gateway bağlantı noktasına doğrudan erişimi engellediğinden emin olun. Bkz. [Tailscale](/tr/gateway/tailscale) ve [Web genel bakışı](/tr/web). ### Node ana makinesi üzerinden tarayıcı kontrolü (önerilir) Gateway'iniz uzaksa ancak tarayıcı başka bir makinede çalışıyorsa, tarayıcı makinesinde bir **node host** çalıştırın ve Gateway'in tarayıcı eylemlerini proxy'lemesine izin verin (bkz. [Tarayıcı aracı](/tr/tools/browser)). Node eşleştirmesini yönetici erişimi gibi değerlendirin. Önerilen desen: - Gateway ve node host'u aynı tailnet (Tailscale) üzerinde tutun. - Node'u kasıtlı olarak eşleştirin; ihtiyacınız yoksa tarayıcı proxy yönlendirmesini devre dışı bırakın. Kaçının: - Röle/kontrol bağlantı noktalarını LAN veya genel İnternet üzerinden açmak. - Tarayıcı kontrol uç noktaları için Tailscale Funnel kullanmak (genel açılma). ### Diskteki secret'lar `~/.openclaw/` (veya `$OPENCLAW_STATE_DIR/`) altındaki her şeyin secret veya özel veri içerebileceğini varsayın: - `openclaw.json`: yapılandırma token'lar (gateway, uzak gateway), sağlayıcı ayarları ve izin listeleri içerebilir. - `credentials/**`: kanal kimlik bilgileri (örnek: WhatsApp kimlik bilgileri), eşleştirme izin listeleri, eski OAuth içe aktarımları. - `agents//agent/auth-profiles.json`: API anahtarları, token profilleri, OAuth token'ları ve isteğe bağlı `keyRef`/`tokenRef`. - `agents//agent/codex-home/**`: aracı başına Codex app-server hesabı, yapılandırma, skills, plugin'ler, yerel iş parçacığı durumu ve tanılamalar (varsayılan). - `$CODEX_HOME/**` veya `~/.codex/**`: Codex plugin'i açıkça `appServer.homeScope: "user"` kullandığında Gateway yerel Codex hesabını, yapılandırmasını, plugin'lerini ve iş parçacıklarını okuyup güncelleyebilir. Bunu ayrıcalıklı sahip erişimi olarak ele alın; mod yalnızca local-stdio'dur ve yerel iş parçacığı yönetimi yalnızca sahibe aittir. - `secrets.json` (isteğe bağlı): `file` SecretRef sağlayıcıları (`secrets.providers`) tarafından kullanılan dosya destekli gizli yük. - `agents//agent/auth.json`: eski uyumluluk dosyası. Statik `api_key` girdileri keşfedildiğinde temizlenir. - `agents//sessions/**`: özel mesajlar ve araç çıktısı içerebilen oturum dökümleri (`*.jsonl`) + yönlendirme meta verileri (`sessions.json`). - paketlenmiş plugin paketleri: yüklü plugin'ler (ayrıca bunların `node_modules/` dizinleri). - `sandboxes/**`: araç sandbox çalışma alanları; sandbox içinde okuduğunuz/yazdığınız dosyaların kopyalarını biriktirebilir. Sıkılaştırma ipuçları: - İzinleri sıkı tutun (dizinlerde `700`, dosyalarda `600`). - Gateway ana makinesinde tam disk şifreleme kullanın. - Ana makine paylaşılıyorsa Gateway için özel bir işletim sistemi kullanıcı hesabı tercih edin. ### Çalışma alanı `.env` dosyaları OpenClaw aracılar ve araçlar için çalışma alanına yerel `.env` dosyalarını yükler, ancak bu dosyaların gateway çalışma zamanı denetimlerini sessizce geçersiz kılmasına asla izin vermez. - Sağlayıcı kimlik bilgisi ortam değişkenleri güvenilmeyen çalışma alanı `.env` dosyalarından engellenir. Örnekler arasında `GEMINI_API_KEY`, `GOOGLE_API_KEY`, `XAI_API_KEY`, `MISTRAL_API_KEY`, `GROQ_API_KEY`, `DEEPSEEK_API_KEY`, `PERPLEXITY_API_KEY`, `BRAVE_API_KEY`, `TAVILY_API_KEY`, `EXA_API_KEY`, `FIRECRAWL_API_KEY` ve yüklü güvenilir plugin'ler tarafından bildirilen sağlayıcı kimlik doğrulama anahtarları bulunur. Sağlayıcı kimlik bilgilerini Gateway işlem ortamına, `~/.openclaw/.env` (`$OPENCLAW_STATE_DIR/.env`) dosyasına, yapılandırma `env` bloğuna veya isteğe bağlı login-shell içe aktarımına koyun. - `OPENCLAW_*` ile başlayan tüm anahtarlar güvenilmeyen çalışma alanı `.env` dosyalarından engellenir. - Matrix, Mattermost, IRC ve Synology Chat için kanal uç nokta ayarları da çalışma alanı `.env` geçersiz kılmalarından engellenir; böylece klonlanan çalışma alanları paketlenmiş bağlayıcı trafiğini yerel uç nokta yapılandırması üzerinden yeniden yönlendiremez. Uç nokta ortam anahtarları (`MATRIX_HOMESERVER`, `MATTERMOST_URL`, `IRC_HOST`, `SYNOLOGY_CHAT_INCOMING_URL` gibi) çalışma alanından yüklenen bir `.env` dosyasından değil, gateway işlem ortamından veya `env.shellEnv` değerinden gelmelidir. - Engel fail-closed çalışır: gelecekteki bir sürümde eklenen yeni bir çalışma zamanı denetim değişkeni, depoya işlenmiş veya saldırgan tarafından sağlanmış bir `.env` dosyasından devralınamaz; anahtar yok sayılır ve gateway kendi değerini korur. - Güvenilir işlem/işletim sistemi ortam değişkenleri, genel çalışma zamanı dotenv'i, yapılandırma `env` ve etkin login-shell içe aktarımı yine geçerlidir - bu yalnızca çalışma alanı `.env` dosyası yüklemeyi sınırlar. Neden: çalışma alanı `.env` dosyaları sık sık aracı kodunun yanında bulunur, yanlışlıkla commit'lenir veya araçlar tarafından yazılır. Sağlayıcı kimlik bilgilerini engellemek, klonlanan bir çalışma alanının saldırgan denetimindeki sağlayıcı hesaplarını kullanmasını önler. Tüm `OPENCLAW_*` önekini engellemek, daha sonra yeni bir `OPENCLAW_*` bayrağı eklendiğinde bunun çalışma alanı durumundan sessiz devralmaya gerilemesini imkansız kılar. ### Günlükler ve dökümler (redaksiyon ve saklama) Erişim denetimleri doğru olsa bile günlükler ve dökümler hassas bilgileri sızdırabilir: - Gateway günlükleri araç özetleri, hatalar ve URL'ler içerebilir. - Oturum dökümleri yapıştırılan gizli bilgileri, dosya içeriklerini, komut çıktısını ve bağlantıları içerebilir. Öneriler: - Günlük ve döküm redaksiyonunu açık tutun (`logging.redactSensitive: "tools"`; varsayılan). - Ortamınız için `logging.redactPatterns` üzerinden özel desenler ekleyin (token'lar, ana makine adları, dahili URL'ler). - Tanılamaları paylaşırken ham günlükler yerine `openclaw status --all` kullanmayı tercih edin (yapıştırılabilir, gizli bilgiler redakte edilmiş). - Uzun süreli saklamaya ihtiyacınız yoksa eski oturum dökümlerini ve günlük dosyalarını budayın. Ayrıntılar: [Günlükleme](/tr/gateway/logging) ### DM'ler: varsayılan olarak eşleştirme ```json5 { channels: { whatsapp: { dmPolicy: "pairing" } }, } ``` ### Gruplar: her yerde bahsetme gerektir ```json { "channels": { "whatsapp": { "groups": { "*": { "requireMention": true } } } }, "agents": { "list": [ { "id": "main", "groupChat": { "mentionPatterns": ["@openclaw", "@mybot"] } } ] } } ``` Grup sohbetlerinde yalnızca açıkça bahsedildiğinde yanıt verin. ### Ayrı numaralar (WhatsApp, Signal, Telegram) Telefon numarasına dayalı kanallar için yapay zekanızı kişisel numaranızdan ayrı bir telefon numarasında çalıştırmayı düşünün: - Kişisel numara: Konuşmalarınız gizli kalır - Bot numarası: Yapay zeka bunları uygun sınırlarla işler ### Salt okunur mod (sandbox ve araçlar üzerinden) Şunları birleştirerek salt okunur bir profil oluşturabilirsiniz: - `agents.defaults.sandbox.workspaceAccess: "ro"` (veya çalışma alanı erişimi olmaması için `"none"`) - `write`, `edit`, `apply_patch`, `exec`, `process` vb. engelleyen araç izin/ret listeleri. Ek sıkılaştırma seçenekleri: - `tools.exec.applyPatch.workspaceOnly: true` (varsayılan): sandbox kapalı olsa bile `apply_patch` komutunun çalışma alanı dizini dışında yazma/silme yapamamasını sağlar. Yalnızca `apply_patch` komutunun çalışma alanı dışındaki dosyalara dokunmasını bilerek istiyorsanız `false` olarak ayarlayın. - `tools.fs.workspaceOnly: true` (isteğe bağlı): `read`/`write`/`edit`/`apply_patch` yollarını ve yerel istem görüntüsü otomatik yükleme yollarını çalışma alanı diziniyle sınırlar (bugün mutlak yollara izin veriyorsanız ve tek bir güvenlik bariyeri istiyorsanız kullanışlıdır). - Dosya sistemi köklerini dar tutun: aracı çalışma alanları/sandbox çalışma alanları için ev dizininiz gibi geniş köklerden kaçının. Geniş kökler hassas yerel dosyaları (örneğin `~/.openclaw` altındaki durum/yapılandırma) dosya sistemi araçlarına açabilir. ### Güvenli temel yapılandırma (kopyala/yapıştır) Gateway'i özel tutan, DM eşleştirmesi gerektiren ve her zaman açık grup botlarından kaçınan bir "güvenli varsayılan" yapılandırma: ```json5 { gateway: { mode: "local", bind: "loopback", port: 18789, auth: { mode: "token", token: "your-long-random-token" }, }, channels: { whatsapp: { dmPolicy: "pairing", groups: { "*": { requireMention: true } }, }, }, } ``` Araç çalıştırmanın da "varsayılan olarak daha güvenli" olmasını istiyorsanız, sahip olmayan tüm aracılar için bir sandbox + tehlikeli araçları reddetme ekleyin (örnek aşağıda "Aracı başına erişim profilleri" altında). Sohbet güdümlü aracı turları için yerleşik temel: sahip olmayan gönderenler `cron` veya `gateway` araçlarını kullanamaz. ## Sandboxlama (önerilir) Özel belge: [Sandboxlama](/tr/gateway/sandboxing) Birbirini tamamlayan iki yaklaşım: - **Tam Gateway'i Docker içinde çalıştırın** (konteyner sınırı): [Docker](/tr/install/docker) - **Araç sandbox'ı** (`agents.defaults.sandbox`, ana makine gateway + sandbox ile yalıtılmış araçlar; Docker varsayılan arka uçtur): [Sandboxlama](/tr/gateway/sandboxing) Aracılar arası erişimi önlemek için `agents.defaults.sandbox.scope` değerini `"agent"` (varsayılan) veya daha sıkı oturum başına yalıtım için `"session"` olarak tutun. `scope: "shared"` tek bir konteyner veya çalışma alanı kullanır. Sandbox içindeki aracı çalışma alanı erişimini de değerlendirin: - `agents.defaults.sandbox.workspaceAccess: "none"` (varsayılan) aracı çalışma alanını erişime kapalı tutar; araçlar `~/.openclaw/sandboxes` altındaki bir sandbox çalışma alanına karşı çalışır - `agents.defaults.sandbox.workspaceAccess: "ro"` aracı çalışma alanını `/agent` üzerinde salt okunur bağlar (`write`/`edit`/`apply_patch` komutlarını devre dışı bırakır) - `agents.defaults.sandbox.workspaceAccess: "rw"` aracı çalışma alanını `/workspace` üzerinde okuma/yazma olarak bağlar - Ek `sandbox.docker.binds` değerleri normalize edilmiş ve kanonikleştirilmiş kaynak yollarına göre doğrulanır. Üst dizin symlink hileleri ve kanonik ev takma adları, `/etc`, `/var/run` veya işletim sistemi ev dizini altındaki kimlik bilgisi dizinleri gibi engellenmiş köklere çözümlenirse yine fail-closed olur. `tools.elevated`, exec'i sandbox dışında çalıştıran genel temel kaçış kapısıdır. Etkili ana makine varsayılan olarak `gateway` olur veya exec hedefi `node` olarak yapılandırıldığında `node` olur. `tools.elevated.allowFrom` değerini sıkı tutun ve yabancılar için etkinleştirmeyin. Yükseltilmiş modu aracı başına `agents.list[].tools.elevated` ile daha da kısıtlayabilirsiniz. Bkz. [Yükseltilmiş mod](/tr/tools/elevated). ### Alt aracı yetkilendirme güvenlik bariyeri Oturum araçlarına izin veriyorsanız, yetkilendirilen alt aracı çalıştırmalarını başka bir sınır kararı olarak ele alın: - Aracının gerçekten yetkilendirmeye ihtiyacı yoksa `sessions_spawn` komutunu reddedin. - `agents.defaults.subagents.allowAgents` ve aracı başına `agents.list[].subagents.allowAgents` geçersiz kılmalarını bilinen güvenli hedef aracılarla sınırlı tutun. - Sandbox içinde kalması gereken tüm iş akışları için `sessions_spawn` komutunu `sandbox: "require"` ile çağırın (varsayılan `inherit`). - `sandbox: "require"`, hedef alt çalışma zamanı sandbox içinde değilse hızlıca başarısız olur. ## Tarayıcı denetimi riskleri Tarayıcı denetimini etkinleştirmek modele gerçek bir tarayıcıyı kullanma yeteneği verir. Bu tarayıcı profili zaten oturum açılmış oturumlar içeriyorsa model bu hesaplara ve verilere erişebilir. Tarayıcı profillerini **hassas durum** olarak ele alın: - Aracı için özel bir profil tercih edin (varsayılan `openclaw` profili). - Aracıyı kişisel günlük kullanım profilinize yönlendirmekten kaçının. - Güvenmediğiniz sürece sandbox içindeki aracılar için ana makine tarayıcı denetimini devre dışı tutun. - Bağımsız loopback tarayıcı denetimi API'si yalnızca paylaşılan gizli kimlik doğrulamayı (gateway token bearer auth veya gateway parolası) dikkate alır. Trusted-proxy veya Tailscale Serve kimlik başlıklarını kullanmaz. - Tarayıcı indirmelerini güvenilmeyen girdi olarak ele alın; yalıtılmış bir indirme dizini tercih edin. - Mümkünse aracı profilinde tarayıcı senkronizasyonunu/parola yöneticilerini devre dışı bırakın (etki alanını azaltır). - Uzak gateway'ler için "tarayıcı denetimi"ni, profilin erişebildiği her şeye "operatör erişimi"ne eşdeğer varsayın. - Gateway ve node ana makinelerini yalnızca tailnet erişimli tutun; tarayıcı denetim portlarını LAN'a veya genel İnternet'e açmaktan kaçının. - İhtiyacınız olmadığında tarayıcı proxy yönlendirmesini devre dışı bırakın (`gateway.nodes.browser.mode="off"`). - Chrome MCP mevcut oturum modu **"daha güvenli" değildir**; o ana makine Chrome profilinin erişebildiği her yerde sizin gibi hareket edebilir. ### Tarayıcı SSRF politikası (varsayılan olarak katı) OpenClaw'ın tarayıcı gezinme politikası varsayılan olarak katıdır: özel/dahili hedefler, siz açıkça izin vermedikçe engelli kalır. - Varsayılan: `browser.ssrfPolicy.dangerouslyAllowPrivateNetwork` ayarlanmamıştır, bu nedenle tarayıcı gezinmesi özel/dahili/özel kullanımlı hedefleri engelli tutar. - Eski takma ad: `browser.ssrfPolicy.allowPrivateNetwork` uyumluluk için hâlâ kabul edilir. - İzinli mod: özel/dahili/özel kullanımlı hedeflere izin vermek için `browser.ssrfPolicy.dangerouslyAllowPrivateNetwork: true` ayarlayın. - Katı modda, açık istisnalar için `hostnameAllowlist` (`*.example.com` gibi desenler) ve `allowedHostnames` (`localhost` gibi engellenmiş adlar dahil kesin ana makine istisnaları) kullanın. - Yönlendirmeye dayalı geçişleri azaltmak için gezinme istekten önce kontrol edilir ve gezinmeden sonra son `http(s)` URL'sinde en iyi çabayla yeniden kontrol edilir. Örnek katı politika: ```json5 { browser: { ssrfPolicy: { dangerouslyAllowPrivateNetwork: false, hostnameAllowlist: ["*.example.com", "example.com"], allowedHostnames: ["localhost"], }, }, } ``` ## Aracı başına erişim profilleri (çok aracılı) Çok aracılı yönlendirme ile her aracı kendi sandbox + araç politikasına sahip olabilir: bunu aracı başına **tam erişim**, **salt okunur** veya **erişim yok** vermek için kullanın. Tüm ayrıntılar ve öncelik kuralları için [Çok Aracılı Sandbox ve Araçlar](/tr/tools/multi-agent-sandbox-tools) bölümüne bakın. Yaygın kullanım durumları: - Kişisel aracı: tam erişim, sandbox yok - Aile/iş aracı: sandbox içinde + salt okunur araçlar - Genel aracı: sandbox içinde + dosya sistemi/kabuk araçları yok ### Örnek: tam erişim (sandbox yok) ```json5 { agents: { list: [ { id: "personal", workspace: "~/.openclaw/workspace-personal", sandbox: { mode: "off" }, }, ], }, } ``` ### Örnek: salt okunur araçlar + salt okunur çalışma alanı ```json5 { agents: { list: [ { id: "family", workspace: "~/.openclaw/workspace-family", sandbox: { mode: "all", scope: "agent", workspaceAccess: "ro", }, tools: { allow: ["read"], deny: ["write", "edit", "apply_patch", "exec", "process", "browser"], }, }, ], }, } ``` ### Örnek: dosya sistemi/kabuk erişimi yok (sağlayıcı mesajlaşmasına izin verilir) ```json5 { agents: { list: [ { id: "public", workspace: "~/.openclaw/workspace-public", sandbox: { mode: "all", scope: "agent", workspaceAccess: "none", }, // Session tools can reveal sensitive data from transcripts. By default OpenClaw limits these tools // to the current session + spawned subagent sessions, but you can clamp further if needed. // See `tools.sessions.visibility` in the configuration reference. tools: { sessions: { visibility: "tree" }, // self | tree | agent | all allow: [ "sessions_list", "sessions_history", "sessions_send", "sessions_spawn", "session_status", "whatsapp", "telegram", "slack", "discord", ], deny: [ "read", "write", "edit", "apply_patch", "exec", "process", "browser", "canvas", "nodes", "cron", "gateway", "image", ], }, }, ], }, } ``` ## Olay müdahalesi Yapay zekanız kötü bir şey yaparsa: ### Sınırla 1. **Durdurun:** macOS uygulamasını durdurun (Gateway'i denetliyorsa) veya `openclaw gateway` sürecinizi sonlandırın. 2. **Açıklığı kapatın:** ne olduğunu anlayana kadar `gateway.bind: "loopback"` ayarlayın (veya Tailscale Funnel/Serve özelliğini devre dışı bırakın). 3. **Erişimi dondurun:** riskli DM'leri/grupları `dmPolicy: "disabled"` durumuna geçirin / bahsetme zorunluluğu getirin ve varsa `"*"` tümüne izin ver girişlerini kaldırın. ### Döndür (gizli bilgiler sızdıysa ele geçirilmiş varsayın) 1. Gateway kimlik doğrulamasını (`gateway.auth.token` / `OPENCLAW_GATEWAY_PASSWORD`) döndürün ve yeniden başlatın. 2. Gateway'i çağırabilen tüm makinelerde uzak istemci gizli bilgilerini (`gateway.remote.token` / `.password`) döndürün. 3. Sağlayıcı/API kimlik bilgilerini (WhatsApp kimlik bilgileri, Slack/Discord token'ları, `auth-profiles.json` içindeki model/API anahtarları ve kullanıldığında şifrelenmiş gizli yük değerleri) döndürün. ### Denetle 1. Gateway günlüklerini kontrol edin: `/tmp/openclaw/openclaw-YYYY-MM-DD.log` (veya `logging.file`). 2. İlgili transkriptleri gözden geçirin: `~/.openclaw/agents//sessions/*.jsonl`. 3. Son yapılandırma değişikliklerini gözden geçirin (erişimi genişletmiş olabilecek her şey: `gateway.bind`, `gateway.auth`, DM/grup ilkeleri, `tools.elevated`, plugin değişiklikleri). 4. `openclaw security audit --deep` komutunu yeniden çalıştırın ve kritik bulguların çözüldüğünü doğrulayın. ### Bir rapor için topla - Zaman damgası, gateway ana makine işletim sistemi + OpenClaw sürümü - Oturum transkriptleri + kısa bir günlük sonu (redaksiyondan sonra) - Saldırganın ne gönderdiği + agent'ın ne yaptığı - Gateway'in loopback ötesine açılıp açılmadığı (LAN/Tailscale Funnel/Serve) ## Gizli bilgi taraması CI, depo üzerinde pre-commit `detect-private-key` kancasını çalıştırır. Başarısız olursa, commit'lenmiş anahtar materyalini kaldırın veya döndürün, ardından yerelde yeniden üretin: ```bash pre-commit run --all-files detect-private-key ``` ## Güvenlik sorunlarını bildirme OpenClaw'da bir güvenlik açığı mı buldunuz? Lütfen sorumlu şekilde bildirin: 1. E-posta: [security@openclaw.ai](mailto:security@openclaw.ai) 2. Düzeltilene kadar herkese açık paylaşmayın 3. Size teşekkür edeceğiz (anonim kalmayı tercih etmezseniz)