Was niemals passieren darf
Sicherheit ist nicht ein Modul, das man einschaltet. Sie ist eine Haltung, mit der das System gebaut wird.
- Niemals
- API-Keys im Frontend
- Tokens im Klartext
- Hartcodierte Passwörter
- Sensitive Daten im localStorage
- Externe Tracker / Fonts
- Console-Logs mit Secrets
- Niemals
- Backend-Status erfinden
- OpenClaw eigenständig starten
- Zahlungen ohne Freigabe auslösen
- Fremde Geräte verändern
- Versteckte Persistenz
- Auto-Ausführung riskanter Befehle
Damit niemand aus versehen etwas Falsches glaubt, gibt es feste Statusbezeichnungen mit klarer Bedeutung.
- Status · Bedeutung
- READY · Läuft, getestet, freigegeben
- PREPARED · Vorbereitet, aber nicht angebunden
- NICHT VERIFIZIERT · Wert unbekannt / unsicher
- FRONTEND ONLY · Nur UI, kein echtes Backend
- BLOCKED · Blockiert, klare Aktion nötig
OpenClaw ist kein eigener Dienst: es läuft kein
Port, kein eigener Auth-Dienst, kein eigener Prozess. Es gibt
kein OpenClaw-Binary auf diesem System. Was existiert,
ist genau ein Verzeichnis ~/.openclaw/skills/ mit
Symbolischen Links auf ~/.agents/skills/ —
dieselben Skills, die Hermes lädt. Wird ausschließlich als Hermes-Modul
erwähnt.
Die folgenden Zeilen werden beim Laden der Seite abgefragt. Angezeigt wird der Status dieses Aufrufs — nicht ein eingetragener Wert. Fehlt das Backend, steht dort eine Fehlermeldung, keine Zahl.
Systemzustand
Auth- und Zugriffsrouten
Früher stand hier, die Login-Logik sei Frontend-only und
NICHT VERIFIZIERT. Das war unzutreffend:
Die Anmeldung läuft serverseitig. Das Feld username ist
erforderlich (gemessene Antwort bei leerem Aufruf:
„Benutzername und Passwort sind erforderlich.“),
und ein Abmeldepfad existiert
(POST /api/logout = 200, POST /auth/logout = 200).
Was tatsächlich fehlt, ist schmaler und wird hier benannt statt versteckt:
- Offene Lücken (gemessen)
- Kein serverseitiger Passwort-Reset — geprüft, es gibt keine Reset-Route.
- OAuth ist eingeschränkt:
POST /api/auth/oauthmitprovider=google= 500 (nicht konfiguriert). Microsoft und GitHub werden vom Server abgelehnt (400). - 2FA ist nicht einschaltbar: die MFA-Route
POST /auth/mfa/verifyantwortet 400 bei leerem Aufruf, aber keine Route aktiviert den Kanal am Konto. - Ohne Token sind
/api/agents(401) und/api/tailscale(401) gesperrt — das ist beabsichtigt.
Sie führt keine eigenen Sicherheitstests aus, keineintrusion und keinen „Security-Score“. Sie bindet kein fremdes Skript ein und enthält keinen Schreibvorgang. Sie misst nur die eigenen Routen des Systems und benennt deren Antwort.