Auto-hébergement d'OpenClaw sur un VPS pour un accès privé à l'IA via Telegram

OpenClaw propose une alternative auto-hébergée aux assistants IA basés sur le cloud, fonctionnant localement sur le matériel de l'utilisateur et maintenant une mémoire persistante. Un récent guide technique décrit la procédure pour déployer cet outil open-source sur un serveur privé virtuel (VPS) utilisant Ubuntu et le connecter à Telegram pour un accès sécurisé et permanent.

Ce qui s'est passé

Le guide fournit une méthode étape par étape pour installer OpenClaw sur un VPS neuf sous Ubuntu 22.04 ou 24.04. Il souligne que bien que les ordinateurs portables puissent exécuter le logiciel, ils sont peu fiables en raison des modes veille, ce qui rend un VPS à faible coût fourni par des hébergeurs comme Hetzner, DigitalOcean, Vultr ou Linode un choix plus stable. La configuration nécessite un accès SSH root, un compte Telegram et une clé API d'un fournisseur de modèles tel qu'Anthropic ou OpenAI, car OpenClaw fonctionne selon le principe « apportez votre propre clé ».

La sécurité est un thème central du processus de déploiement. Les instructions exigent la création d'un utilisateur dédié non-root pour l'application et la configuration du pare-feu pour autoriser uniquement le trafic SSH, laissant explicitement le port de la passerelle fermé à Internet public. L'installation peut être effectuée via un script officiel qui gère le provisionnement de Node.js ou via npm, bien que cette dernière méthode nécessite des versions spécifiques de Node (24.16+ ou 26.1+). Une fois installé, le logiciel fonctionne comme un démon systemd, garantissant son redémarrage automatique en cas de plantage ou après un redémarrage du serveur.

La connexion de l'assistant à Telegram implique la création d'un bot privé via BotFather et la configuration des paramètres de canal d'OpenClaw. Le guide met en avant une fonctionnalité de sécurité critique appelée politique d'appariement, qui garantit que le bot ignore les messages des utilisateurs inconnus jusqu'à ce qu'un administrateur les approuve via un code généré sur le serveur. Cela empêche tout accès non autorisé aux capacités de l'assistant, qui peuvent inclure l'exécution de commandes ou l'accès à des fichiers.

Détails clés

• OpenClaw fonctionne sur Ubuntu 22.04 ou 24.04 avec 1–2 Go de RAM, car le traitement intensif est effectué chez le fournisseur du modèle.
• Le service de passerelle écoute sur le port 18789, qui doit rester lié à localhost et ne jamais être exposé à Internet public.
• Le contrôle d'accès utilise un mécanisme d'appariement où les nouveaux expéditeurs reçoivent un code qui doit être approuvé via la ligne de commande dans l'heure.
• La configuration prend en charge les variables d'environnement pour les données sensibles comme les jetons de bot, les gardant hors des fichiers de configuration en texte clair.
• L'interface de contrôle (Control UI) est accessible de manière sécurisée via un tunnel SSH depuis la machine locale de l'utilisateur plutôt que par une interface web publique.
• Les scripts d'installation gèrent les dépendances d'exécution, mais les installations manuelles via npm nécessitent Node 24.16+ ou 26.1+ et peuvent requérir de l'espace swap sur les petites instances.

Contexte

L'auto-hébergement d'assistants IA répond aux préoccupations de confidentialité associées aux plateformes cloud, où l'historique des conversations et les données résident sur des serveurs tiers. En exécutant le logiciel sur une infrastructure personnelle, les utilisateurs conservent un contrôle total sur leurs données et leur mémoire de session. OpenClaw agit comme un pont entre les grands modèles de langage et les applications de chat, gérant l'état localement tout en déléguant l'inférence réelle aux fournisseurs d'API externes.

L'exécution de services sur un VPS introduit des responsabilités opérationnelles généralement prises en charge par les fournisseurs cloud. Les administrateurs doivent gérer manuellement les mises à jour du système d'exploitation, les permissions des utilisateurs et la sécurité réseau. Des outils comme systemd assurent la fiabilité du service, tandis que des pare-feu comme UFW limitent l'exposition réseau. La compréhension de ces bases est essentielle pour maintenir un environnement auto-hébergé sécurisé et disponible.

Pourquoi c'est important

Pour les équipes et les individus qui privilégient la souveraineté des données, cette approche élimine le risque de verrouillage fournisseur et de terminaison de service inattendue. Elle permet une disponibilité continue de l'assistant sans dépendre de l'allumage d'un appareil spécifique. Cependant, elle transfère la charge de la disponibilité et de la sécurité à l'utilisateur, exigeant une vigilance accrue en matière de correctifs et de gestion de la configuration.

Le modèle de contrôle d'accès basé sur l'appariement est particulièrement pertinent pour les outils capables d'exécuter des commandes système. Contrairement aux bots publics qui pourraient répondre à n'importe quel utilisateur, cette configuration garantit que seuls les individus vérifiés peuvent interagir avec l'assistant. Cela réduit considérablement la surface d'attaque, empêchant les utilisateurs non autorisés d'exploiter l'IA pour sonder le serveur ou accéder à des fichiers sensibles.

L'efficacité économique est un autre facteur, car la dépense VPS est fixe et faible, tandis que les coûts d'utilisation du modèle sont transparents et contrôlables via la console du fournisseur. Cela contraste avec les services IA par abonnement qui peuvent avoir une tarification opaque ou des fonctionnalités limitées. Les utilisateurs peuvent adapter le comportement de l'assistant et ses compétences connectées à leur flux de travail spécifique sans être contraints par les capacités prédéfinies d'une plateforme.

Ce que vous pouvez faire

• Provisionnez un petit VPS Ubuntu et créez un utilisateur dédié non-root avant d'installer tout logiciel.
• Utilisez le script d'installation officiel pour éviter les conflits de version Node.js, ou vérifiez que votre version de Node respecte l'exigence 24.16+.
• Configurez le pare-feu pour bloquer tout trafic entrant sauf SSH, en veillant à ce que le port de la passerelle reste inaccessible depuis Internet.
• Stockez les jetons de bot et les clés API dans des variables d'environnement plutôt que de les coder en dur dans les fichiers de configuration.
• Activez la politique d'appariement pour les canaux Telegram afin d'empêcher les utilisateurs non autorisés d'interagir avec votre assistant.
• Mettez en place un tunnel SSH pour accéder à l'interface de contrôle de manière sécurisée sans exposer l'interface web au réseau public.