Authentifizierung und Zugriffskontrolle

Wie Authentifizierung bei ClawHosters funktioniert

ClawHosters verwendet verschiedene Authentifizierungsmethoden, je nachdem worauf du zugreifst. Dein Dashboard, die Web-Oberfläche deiner Instanz, verbundene Chat-Kanäle, die API und SSH haben jeweils eigene Authentifizierungsmechanismen.

Diese Seite erklärt jede Methode, wie Zugangsdaten verwaltet werden und was jeweils geschützt wird.

Gateway-Authentifizierung (Instanz-Web-Oberfläche)

Wenn du über einen Webbrowser auf Port 8080 auf deine OpenClaw-Instanz zugreifst, nutzt das Gateway HTTP-Basic-Authentifizierung. Der Browser fragt dich nach Benutzername und Passwort.

Das Passwort wird beim Erstellen deiner Instanz automatisch generiert. Du kannst es in deinem Instanz-Dashboard unter den Verbindungsdetails einsehen. Wenn du ein neues Passwort brauchst, kannst du es in den Instanz-Einstellungen neu generieren.

HTTP-Basic-Auth schützt die Gateway-Web-Oberfläche. Jede Browser-Sitzung erfordert diese Zugangsdaten. Das Passwort wird als SHA256-Hash auf der Instanz gespeichert, nicht im Klartext.

Kanal-Pairing (Telegram, WhatsApp, Discord)

Chat-Kanäle werden über einen Pairing-Ablauf mit deiner Instanz verbunden. Das ist ein einmaliger Vorgang pro Kanal.

So funktioniert das Pairing:

1. Öffne dein Instanz-Dashboard und gehe zum Bereich "Kanäle"
2. Klicke auf "Pairing-Code generieren" für den gewünschten Kanal-Typ
3. Das Dashboard zeigt einen kurzlebigen Pairing-Code an
4. Sende den Pairing-Code als Nachricht im Chat (Telegram-Gruppe, WhatsApp-Chat oder Discord-Kanal)
5. Deine Instanz bestätigt das Pairing und der Kanal ist verknüpft

Einmal verbunden, bleibt der Kanal verknüpft, bis du ihn explizit trennst. Der Pairing-Code läuft nach wenigen Minuten ab, wenn er nicht verwendet wird.

Jeder Kanal-Typ hat seinen eigenen Pairing-Ablauf, aber das Prinzip ist dasselbe: Code im Dashboard generieren, im Chat eingeben. Für Telegram- und WhatsApp-Kanäle brauchst du keine eigenen API-Schlüssel oder Bot-Tokens, da diese von der ClawHosters-Infrastruktur bereitgestellt werden.

Dashboard-Authentifizierung

Das ClawHosters-Dashboard (clawhosters.com) nutzt Standard-Authentifizierung mit E-Mail und Passwort.

Wenn du ein ClawHosters-Konto erstellst, wird dein Passwort vor dem Speichern mit bcrypt gehasht. Das ursprüngliche Passwort wird nie gespeichert. Sitzungen werden über sichere Cookies verwaltet und laufen nach einer Inaktivitätsperiode automatisch ab.

Du kannst dein Passwort jederzeit in deinen Kontoeinstellungen ändern.

API-Token-Authentifizierung

Die ClawHosters-API nutzt Bearer-Token-Authentifizierung. API-Tokens haben das Präfix oc_live_ und werden im Authorization-Header jeder Anfrage mitgesendet.

Authorization: Bearer oc_live_dein_token_hier

Du kannst API-Tokens in deinem Dashboard erstellen und widerrufen. Jeder Token hat vollen Zugriff auf die Ressourcen deines Kontos. Behandle API-Tokens wie Passwörter, denn jeder mit einem gültigen Token kann deine Instanzen und Abrechnung verwalten.

Für alle Details zur API, einschließlich verfügbarer Endpunkte, Anfrageformate und Fehlercodes, siehe die API-Übersicht.

SSH-Zugang-Authentifizierung

Der SSH-Zugang zum VPS deiner Instanz nutzt schlüsselbasierte Authentifizierung. Passwort-basierter SSH-Login ist deaktiviert.

Um SSH-Zugang zu aktivieren, lädst du deinen öffentlichen SSH-Schlüssel über das Instanz-Dashboard hoch. Sobald aktiviert, kannst du dich als Root mit deinem privaten Schlüssel verbinden.

Wichtig: Das Aktivieren von SSH-Zugang markiert deine Instanz dauerhaft als "Kein Support." Das ist eine Einweg-Aktion.

Für den vollständigen SSH-Einrichtungsprozess, Sicherheitshinweise und Verbindungsanweisungen siehe SSH-Zugang zu deiner Instanz.

Zugriffskontrolle im Überblick

Tipps zur Verwaltung von Zugangsdaten

• Gateway-Passwort: Generiere es in den Instanz-Einstellungen neu, wenn du vermutest, dass es unbeabsichtigt weitergegeben wurde
• API-Tokens: Widerrufe Tokens, die du nicht mehr nutzt. Erstelle separate Tokens für verschiedene Integrationen, damit du sie einzeln widerrufen kannst
• SSH-Schlüssel: Lade nur Schlüssel hoch, die du aktiv nutzt. Entferne alte Schlüssel beim Rotieren von Zugangsdaten
• Dashboard-Passwort: Verwende ein starkes, einzigartiges Passwort. Erwäge die Nutzung eines Passwort-Managers

Verwandte Dokumentation

• Sicherheitsübersicht -- Infrastruktur-, Netzwerk- und Container-Sicherheitsmaßnahmen
• API-Übersicht -- Vollständige API-Dokumentation mit Endpunkten und Beispielen
• SSH-Zugang zu deiner Instanz -- SSH-Einrichtung, Verbindung und Sicherheitshinweise