macduty

الدليل

OpenClaw على Mac mini مخصص: إعداد آمن

شغّل OpenClaw على جهاز Mac mini خاص به، بعيدًا عن بياناتك الشخصية. ثبّته من المصدر الصحيح، وأحكم تأمين Gateway، واتصل به عن بُعد دون كشفه، وافحص كل مهارة (skill).

وقت القراءة: ⁦45⁩ د، آخر تحديث ⁦2026-09-15⁩

يستطيع OpenClaw قراءة رسائلك وتشغيل الأوامر وفتح متصفح والتصرف نيابة عنك. هذا ما يجعله مفيدًا، وهو أيضًا سبب عدم وضعه على الحاسوب المحمول الذي يحتوي صورك وكلمات مرورك وعملك.

يشرح هذا الدليل إعداد OpenClaw على جهاز Mac mini لا يقوم بأي عمل آخر، مع تأمين Gateway منذ الدقيقة الأولى.

لماذا جهاز Mac منفصل

أثبت عام 2026 ذلك وحده:

  • استيلاء بنقرة واحدة. في يناير، كشف باحثون عن الثغرة CVE-2026-25253، التي سمحت لصفحة ويب معدة خصيصًا بالاستيلاء على نسخة OpenClaw مثبتة محليًا وتشغيل أوامر. وجرى إصلاحها في الإصدار 2026.1.29.
  • مهارات خبيثة. وجد تدقيق أجري على ClawHub، سوق المهارات، مئات الإدخالات الخبيثة، ينشر معظمها برمجيات خبيثة تسرق كلمات مرور macOS والمحافظ المشفرة.
  • برامج تثبيت مزيفة. انتحلت حزمة npm باسم مشابه صفة برنامج تثبيت OpenClaw.

يكون ضرر كل منها أشد على جهاز مليء بالبيانات الشخصية. أما على جهاز Mac مخصص، فأسوأ الاحتمالات جهاز Mac يمسح ويعاد تثبيته، بطلب عبر الدعم.

أي Mac mini

  • نماذج سحابية فقط (Claude وGPT وGemini عبر API): أي Mac mini بشريحة Apple silicon وذاكرة 16 GB أكثر من كافٍ. الوكيل نفسه يستهلك القليل جدًا.
  • نماذج محلية أيضًا: الذاكرة تحدد ما يمكنك تشغيله. يشرح الدليل أدناه أي نموذج يتسع في أي ذاكرة، ويستحق القراءة قبل أن تختار.

1. تجهيز جهاز Mac

حدّث macOS بالكامل قبل تثبيت أي شيء.

اجعل جهاز Mac لا يدخل في وضع السكون، واضبطه ليعيد التشغيل بعد انقطاع التيار:

ssh
sudo pmset -a sleep 0 disksleep 0 displaysleep 0
sudo pmset -a autorestart 1

أنشئ مستخدمًا قياسيًا (وليس مسؤولًا) للوكيل، وشغّل OpenClaw بهذا المستخدم فقط:

ssh
sudo sysadminctl -addUser agent -fullName "OpenClaw Agent" -password -

إذا أردت تكاملات Apple مثل التذكيرات أو الملاحظات أو iMessage، فسجّل دخول هذا المستخدم بحساب Apple ID جديد أنشئ للوكيل، وليس بحسابك الشخصي أبدًا.

2. التثبيت من المصدر الرسمي

استخدم فقط برنامج التثبيت من openclaw.ai، أو حزمة npm الرسمية openclaw. تحقق من تهجئة كل أمر تنسخه.

ssh
curl -fsSL https://openclaw.ai/install.sh | bash

إذا كنت تدير Node بنفسك:

ssh
npm install -g openclaw@latest --allow-scripts=openclaw
openclaw onboard --install-daemon

تبقي خدمة daemon تشغيل Gateway في الخلفية، وتعيده للعمل بعد إعادة التشغيل.

3. ربط نموذج

أثناء الإعداد الأولي، يسأل OpenClaw عن النموذج الذي سيستخدمه.

  • مفتاح API هو الخيار الأكثر قابلية للتنبؤ، والخيار الصحيح لأي شيء يعتمد عليه عمل تجاري.
  • قد يصلح الاشتراك للاستخدام الشخصي، لكن القواعد تختلف من مزود لآخر وتغيرت عدة مرات هذا العام. اقرأ الدليل أدناه أولًا.

4. تأمين Gateway

Gateway هو الجزء الذي يستقبل الرسائل ويشغّل الأدوات. ابدأ من الإعداد الأساسي الآمن الذي يوفره OpenClaw نفسه:

openclaw config
{
  gateway: {
    mode: "local",
    bind: "loopback",
    auth: { mode: "token", token: "replace-with-a-long-random-token" },
  },
  session: {
    dmScope: "per-channel-peer",
  },
  channels: {
    whatsapp: {
      dmPolicy: "pairing",
      groups: { "*": { requireMention: true } },
    },
  },
}

ما الذي يفعله هذا:

  • bind: "loopback": يستمع Gateway على جهاز Mac نفسه فقط. لا يمكن لأي شيء على الإنترنت الوصول إليه.
  • المصادقة بالرمز المميز (token): حتى الاتصالات المحلية تحتاج إليه. أنشئ رمزًا طويلًا عشوائيًا باستخدام openssl rand -hex 32.
  • dmPolicy: "pairing": يحصل الغريب الذي يراسل البوت الخاص بك على رمز إقران، لا على وكيل.
  • requireMention: في المجموعات، لا يرد الوكيل إلا عندما يذكره أحد.

ثم قيّد الأدوات. لا تعط الوكيل إلا ما تحتاجه مهمته، واجعل الوصول إلى shell مشروطًا بموافقة:

openclaw config
{
  tools: {
    exec: { security: "deny", ask: "always" },
    fs: { workspaceOnly: true },
    elevated: { enabled: false },
  },
}

خفف هذه القيود واحدًا تلو الآخر، عندما تحتاج مهمة ذلك فعلًا.

5. الوصول إليه عن بُعد دون كشفه

لا تفتح منفذ Gateway على الإنترنت أبدًا. استخدم نفق SSH من حاسوبك أنت:

حاسوبك
ssh -N -L 18789:127.0.0.1:18789 agent@your-mac-address

How you reach it

Your computer

A browser open on 127.0.0.1:18789, and one SSH tunnel: ssh -N -L 18789:127.0.0.1:18789

One SSH connection, port 22

Mac mini, our rack

The Gateway is bound to loopback and wants a token. Its port is never published.

Nothing else on the machine

A standard user, a separate Apple ID, no personal accounts signed in.

The Gateway only ever sees a local client.

اتصال واحد إلى الخارج، ولا شيء مكشوف للداخل.

ثم افتح http://127.0.0.1:18789 في متصفحك. يمر الاتصال داخل SSH، ويظل Gateway لا يرى إلا عميلًا محليًا.

للوصول من هاتف أو من عدة أجهزة، الخطوة التالية هي شبكة خاصة مثل Tailscale. اقرأ دليل OpenClaw حول كشف الشبكة قبل تغيير إعداد bind.

6. تعامل مع المهارات كبرامج تثبتها

المهارات شيفرة تعمل بصلاحيات وكيلك.

  • ثبّت ما تحتاجه فقط، لا كل ما يبدو مثيرًا للاهتمام.
  • اقرأ ما تفعله المهارة قبل تثبيتها. احذر من أي شيء يطلب بيانات اعتماد أو ينزّل ملفات إضافية.
  • فضّل المطورين المعروفين والمهارات التي لها سجل ظاهر.
  • أزل المهارات التي توقفت عن استخدامها.

7. استخدام حسابات منفصلة

  • عنوان بريد إلكتروني منفصل للوكيل.
  • رقم هاتف منفصل لبوتات WhatsApp أو Signal أو Telegram، لتبقى محادثاتك الشخصية خاصة.
  • لا حسابات مصرفية، ولا مدير كلمات مرور، ولا تخزين سحابي شخصي مسجل الدخول على جهاز Mac هذا.

8. تشغيل التدقيق، والاستمرار في تشغيله

يفحص OpenClaw إعداداته بنفسه:

ssh
openclaw security audit
openclaw security audit --deep
openclaw security audit --fix

يفحص --deep مثيل Gateway قيد التشغيل. ويطبق --fix إصلاحات آمنة، مثل تشديد صلاحيات الملفات وتحويل سياسات المجموعات المفتوحة إلى قوائم سماح. شغّل التدقيق بعد كل تغيير في الإعدادات، وكل مهارة جديدة، وكل تحديث.

قائمة التحقق

  • macOS محدث بالكامل
  • جهاز Mac لا يدخل السكون أبدًا، ويعيد التشغيل بعد انقطاع التيار
  • الوكيل يعمل كمستخدم قياسي بحساب Apple ID خاص به
  • مثبت من openclaw.ai أو من حزمة npm الرسمية
  • Gateway على loopback برمز مميز طويل
  • الإقران في الرسائل المباشرة مفعّل، والمجموعات تشترط الإشارة (mention)
  • الوصول إلى shell ممنوع أو مشروط بموافقة
  • الوصول عن بُعد عبر SSH أو شبكة خاصة فقط
  • مراجعة كل مهارة قبل تثبيتها
  • بريد إلكتروني ورقم هاتف منفصلان
  • openclaw security audit بلا مشكلات

لماذا تشغله على MacDuty

  • جهاز Mac لمهمة واحدة. جهاز Mac mini مخصص، لك وحدك، بعيدًا عن أجهزتك الشخصية.
  • يعمل دائمًا. تغذية كهربائية وتبريد واتصال على مدار الساعة، ولا غطاء حاسوب محمول لتغلقه.
  • ابدأ من جديد متى احتجت. اطلب من الدعم نسخة macOS جديدة.
  • مُستضاف في الاتحاد الأوروبي.

متوفر اليوم

هذه الأجهزة في الخزانة الآن. اختر واحدًا، واطّلع على ما يأتي معه، ولا تُنشئ حسابك إلا عند الطلب.

جارٍ التحقق من الخزائن

جهاز ⁦Mac mini⁩ خاص بك

اختر تكوينًا. وإن لم يكن متوفرًا، اترك بريدك الإلكتروني ونراسلك يوم تركيبه في الخزانة.

سنويًا: أقل بنسبة ⁦19%⁩ على الأقل من الدفع الشهري

  • 16GB

    ذاكرة موحدة، ⁦120 GB/s⁩

    النوى
    10 CPU, 10 GPU
    التخزين
    متاح
    متوفر
  • الأكثر اختيارًا
    24GB

    ذاكرة موحدة، ⁦120 GB/s⁩

    النوى
    10 CPU, 10 GPU
    التخزين
    متاح
    متوفر
  • 32GB

    ذاكرة موحدة، ⁦120 GB/s⁩

    النوى
    10 CPU, 10 GPU
    التخزين
    متاح
    متوفر
Visa Mastercard تحويل ⁦SEPA⁩الأسعار بعملة ⁦EUR⁩، وتُضاف ضريبة القيمة المضافة عند الدفع حيثما تنطبق. شهر واحد كحد أدنى، ثم يمكنك الإلغاء في أي شهر.

التالي