Les webhooks publics sont le talon d’Achille des passerelles auto-hébergées : quiconque peut joindre votre listener et saturer les invocations d’outils tant que vous ne vérifiez pas les signatures HMAC, ne rejetez pas les horodatages périmés et ne dédupliquez pas les identifiants de livraison. Cet article propose deux matrices (choix d’algorithme versus coût CPU, conception de cache de rejeu versus mémoire), sept étapes HowTo alignées sur le JSON-LD, une FAQ structurée et des renvois vers les guides canaux Slack/Discord et l’idempotence déjà publiés pour les flottes NodeMac.
Menaces héritées dès qu’un port est exposé
- Rejeu après capture : un attaquant stocke une charge signée légitime et la reposte jusqu’à épuisement des quotas.
- Abus de skew d’horloge : élargir la fenêtre pour « réparer » un fournisseur instable élargit aussi la surface de rejeu.
- Écarts de parseur : vérifier la signature après avoir normalisé le corps JSON laisse passer des attaques de normalisation face à des comparaisons naïves.
Lisez en parallèle le câblage Slack et Discord pour les particularités de canaux, puis la matrice idempotence et rejeu afin qu’une signature valide ne permette toujours pas de « double dépenser » des appels d’outils.
Les équipes qui hébergent OpenClaw sur des Mac mini M4 loués doivent traiter le gateway comme un composant réseau de périmètre : la latence RTT vers les fournisseurs SaaS influence le taux de retries, et des retries agressifs ressemblent à une attaque si vos journaux ne distinguent pas dérive d’horloge et flood malveillant. Instrumentez des compteurs séparés pour « signature invalide », « skew dépassé » et « ID déjà vu » afin que l’astreinte sache quelle poignée tourner en premier.
Matrice A — coût de vérification de signature versus garantie
| Approche | Sécurité | CPU sur M4 | Notes |
|---|---|---|---|
| HMAC-SHA256 sur octets bruts | Forte | Triviale sur Apple Silicon | Défaut pour les listeners compatibles Slack |
| Secret partagé dans la query string | Faible | N/A | Fuite via journaux d’accès—interdit en production |
| Ed25519 asymétrique (personnalisé) | Forte | Faible mais risque de code plus élevé | Seulement si le fournisseur l’impose ; tester massivement |
Apple Silicon rend la crypto presque gratuite en latence utilisateur ; le vrai coût est organisationnel—rotation des secrets, alignement des horloges, et coordination avec l’équipe réseau lorsque TLS se termine sur un proxy. Documentez quelle composante (nginx, Cloudflare, Envoy) est autorisée à réécrire le corps ; toute transformation après signature casse la confiance et génère des tickets « intermittent » impossibles à prioriser.
Matrice B — conception du cache de rejeu (✓ / ✗)
| Conception | Survit aux redémarrages | RAM bornée | Compromis |
|---|---|---|---|
| LRU en mémoire d’IDs d’événement | ✗ | ✓ | Simple ; rejeu possible après redémarrage du gateway si le skew est large |
| SQLite sur APFS avec TTL | ✓ | ✓ | Plus de code ; mieux pour équipes réglementées |
| Aucun cache de rejeu | ✗ | ✓ | Jamais acceptable lorsque les outils mutent la production |
Sept étapes HowTo avec détails macOS
Étape 1 — Secrets : suivez le modèle Trousseau versus .env. Les secrets dans des dépôts workspace lisibles par le monde sont la première cause de rotation d’urgence ; launchd peut injecter des variables sans les exposer aux shells interactifs des opérateurs.
Étape 2 — Corps brut : lisez le corps HTTP tel qu’arrivé depuis le reverse proxy avant que tout middleware JSON ne reformate les espaces—les écarts de signature proviennent souvent du pretty-print, pas d’un attaquant. Si vous bufferisez dans un worker distinct, vérifiez que la file conserve les octets originaux et non une représentation resérialisée.
Étape 3 — NTP et skew : si la VM ou le Mac mini a perdu la synchro temporelle, des retries Slack légitimes ressemblent à une attaque. Reliez les alertes skew à la télémétrie utilisée pour la dérive d’horloge CI. Sur macOS, surveillez sntp ou le service système et refusez de « patcher » en désactivant la vérification.
Étape 4 — TTL de rejeu : fixez le TTL à environ deux fois l’espacement maximal documenté des retries du fournisseur ; tracez les livraisons dupliquées chaque semaine pour calibrer. Après un redémarrage de passerelle, un cache mémoire vide rouvre brièvement la fenêtre : combinez skew serré et persistance SQLite si votre menace inclut des adversaires rapides post-failover.
Étape 5 — Idempotence : même lorsque HTTP rejette un rejeu, la couche outil peut avoir appliqué une mutation partielle ; utilisez des clés d’idempotence côté effets de bord et réconciliez avec le guide messagerie. Les équipes finance doivent voir une corrélation claire entre ID de livraison et transaction interne.
Étape 6 — Journaux : comptez les échecs, n’imprimez pas les charges ni les secrets dans syslog. Pour le diagnostic opérateur, préférez des sessions VNC courtes sur un bastion conforme plutôt que d’activer des dumps HTTP complets en production.
Étape 7 — Doctor : après changement de listener ou TLS, exécutez doctor pour attraper des ports mal liés avant les attaquants. Documentez la sortie dans le ticket de changement pour prouver la non-régression.
Valeurs numériques à centraliser dans la configuration
- Fenêtre de skew : démarrer à 300 secondes, resserrer après trente jours de métriques propres.
- TTL de rejeu : au moins 2× l’espacement maximal documenté des retries du fournisseur.
- Alerte : pager si le taux d’échec de signature dépasse 1 % du trafic pendant dix minutes—souvent rotation de secret désalignée, pas attaque.
Avertissement : ne désactivez jamais les signatures « temporairement » pour une démo ; faites tourner les secrets et corrigez les clients.
FAQ
Les certificats client TLS remplacent-ils le HMAC ?
Ils authentifient le transport, pas chaque événement webhook. Conservez le HMAC sauf si le fournisseur documente explicitement une sémantique mTLS de bout en bout.
Les passerelles doivent-elles être derrière Cloudflare ou nginx ?
Oui—terminez TLS en amont, transmettez les corps bruts et conservez les en-têtes originaux attendus par le schéma de signature.
Comment l’hébergement régional aide-t-il ?
Exécutez les passerelles proches des bords de sortie des fournisseurs (HK, JP, KR, SG, US) pour réduire les retries dus au RTT, pas pour sauter la crypto.
Que faire si la passerelle OpenClaw partage le host avec la CI ?
Isolez les comptes et ports, gardez des journaux séparés, et évitez que des jobs CI ne redémarrent launchd pendant un pic de webhooks—planifiez des fenêtres et utilisez le centre d’aide pour les runbooks.
Comment prouver la conformité sans exposer les secrets ?
Fournissez des captures de configuration redactées, des graphiques de taux d’échec et des extraits de politique réseau ; les échantillons de charge complètes restent dans un bac à sable interne.
Une hygiene webhook solide traite les passerelles Mac mini M4 comme des appliances de production : Apple Silicon rend la crypto bon marché, donc aucune excuse pour sauter la vérification. macOS natif avec SSH pour l’automatisation et VNC pour les sessions d’urgence correspond à la gestion d’autres démons. Louer des Mac mini M4 dédiés à Hong Kong, au Japon, en Corée, à Singapour ou aux États-Unis isole le rayon d’explosion par locataire, et un réseau prévisible réduit les retries factices qui imitent des attaques. Quand les signatures sont stables, montez en charge via les tarifs ; quand elles ne le sont pas, consultez l’aide avant d’élargir les pare-feu.