Was niemals passieren darf
Sicherheit ist nicht ein Modul, das man einschaltet. Sie ist eine Haltung, mit der das System gebaut wird.
- Niemals
- API-Keys im Frontend
- Tokens im Klartext
- Hartcodierte Passwörter
- Sensitive Daten im localStorage
- Externe Tracker / Fonts
- Console-Logs mit Secrets
- Niemals
- Backend-Status erfinden
- OpenClaw eigenständig starten
- Zahlungen ohne Freigabe auslösen
- Fremde Geräte verändern
- Versteckte Persistenz
- Auto-Ausführung riskanter Befehle
Damit niemand aus versehen etwas Falsches glaubt, gibt es feste Statusbezeichnungen mit klarer Bedeutung.
- Status · Bedeutung
- READY · Läuft, getestet, freigegeben
- PREPARED · Vorbereitet, aber nicht angebunden
- NICHT VERIFIZIERT · Wert unbekannt / unsicher
- FRONTEND ONLY · Nur UI, kein echtes Backend
- BLOCKED · Blockiert, klare Aktion nötig
OpenClaw ist in Hermes integriert. Es hat keinen eigenen Port,
keine eigene Authentifizierung, keine eigene Ausführungslogik.
Konkret geprueft: es gibt kein openclaw-Binary auf dem
System, und ~/.openclaw/ enthaelt ausschliesslich
skills/ mit Verweisen auf ~/.agents/skills/
– keine Dienste, keine Units. Die alte Formulierung
„als Hermes-Modul“ beschrieb einen Bestaendigungsstatus,
den es nicht gibt.
Diese Seite behauptete in drei Ticks in Folge, die Anmeldung sei
„Frontend-only“ und NICHT VERIFIZIERT. Das war
falsch. POST /auth/login mit leerem Koerper antwortet
400 und nennt die fehlenden Felder; mit falschen Daten
antwortet der Server 401 und unterscheidet damit
Felder von Zugangsdaten. POST /api/logout
antwortet 200. Die Validierung liegt also serverseitig.
Welche Route genau was antwortet, steht in der Tabelle darunter –
sie wird beim Laden dieser Seite abgerufen.
Jede Zeile dieser Tabelle wird beim Laden dieser Seite tatsaechlich abgerufen. Angezeigt wird der HTTP-Status des Aufrufs, nicht ein fest eingetragener Wert.
| Route | Methode | Erwartet | Gemessen | Bedeutung |
|---|---|---|---|---|
| Wird geladen … | ||||
Die Regeln dieser Seite nennen Schutzmechanismen. Diese Tabelle fragt den Server, ob es fuer jede davon eine Route gibt. Angezeigt wird der HTTP-Status des Aufrufs — nicht ein Wunschwert.
| Behauptete Regel | Route | Gemessen | Bedeutung |
|---|---|---|---|
| Wird geladen … | |||
Nicht jede Regel dieser Seite ist eine Server-Route. Zwei Behauptungen haben aber eine echte Route hinter sich: die Statuspruefung des Systems und die Messung der Automationsauftraege. Diese Tabelle fragt den Server ab. Angezeigt wird der HTTP-Status des Aufrufs.
| Behauptete Regel | Route | Gemessen | Bedeutung |
|---|---|---|---|
| Wird geladen … | |||
Wenn eine der Regeln auf dieser Seite fuer deinen Fall relevant ist, schreib an [email protected] – Antwort innerhalb von 24 Stunden.