macduty

Panduan

OpenClaw di Mac mini dedicated: penyiapan yang aman

Jalankan OpenClaw di Mac mini tersendiri, jauh dari data pribadi Anda. Instal dari sumber yang benar, kunci Gateway, akses dari jarak jauh tanpa mengeksposnya, dan periksa setiap skill.

45 menit, diperbarui 2026-09-15

OpenClaw bisa membaca pesan Anda, menjalankan perintah, membuka browser, dan bertindak atas nama Anda. Itulah yang membuatnya berguna, dan itulah alasan ia tidak boleh tinggal di laptop yang menyimpan foto, kata sandi, dan pekerjaan Anda.

Panduan ini menyiapkan OpenClaw di Mac mini yang tidak dipakai untuk hal lain, dengan Gateway terkunci sejak menit pertama.

Mengapa Mac terpisah

Tahun 2026 sudah membuktikannya sendiri:

  • Pengambilalihan dengan satu klik. Pada bulan Januari, peneliti mengungkap CVE-2026-25253, celah yang memungkinkan halaman web rekayasa mengambil alih instalasi OpenClaw lokal dan menjalankan perintah. Celah ini diperbaiki di versi 2026.1.29.
  • Skill berbahaya. Audit terhadap ClawHub, marketplace skill, menemukan ratusan entri berbahaya, sebagian besar menyebarkan malware yang mencuri kata sandi macOS dan dompet kripto.
  • Installer palsu. Sebuah paket npm tiruan menyamar sebagai installer OpenClaw.

Semua ini paling merugikan di mesin yang penuh data pribadi. Di Mac dedicated, kemungkinan terburuknya adalah Mac dihapus dan diinstal ulang, atas permintaan melalui dukungan.

Mac mini yang mana

  • Hanya model cloud (Claude, GPT, Gemini melalui API): Mac mini Apple silicon apa pun dengan 16 GB sudah lebih dari cukup. Agennya sendiri hanya memakai sedikit sumber daya.
  • Juga model lokal: memori menentukan apa yang bisa Anda jalankan. Panduan di bawah menjelaskan apa yang muat di konfigurasi mana, dan layak dibaca sebelum Anda memilih.

1. Siapkan Mac

Perbarui macOS sepenuhnya sebelum Anda menginstal apa pun.

Biarkan Mac tetap menyala dan atur agar memulai ulang setelah listrik padam:

ssh
sudo pmset -a sleep 0 disksleep 0 displaysleep 0
sudo pmset -a autorestart 1

Buat pengguna standar (bukan admin) untuk agen, dan jalankan OpenClaw hanya sebagai pengguna itu:

ssh
sudo sysadminctl -addUser agent -fullName "OpenClaw Agent" -password -

Jika Anda ingin integrasi Apple seperti Pengingat, Catatan, atau iMessage, di pengguna itu masuklah dengan Apple ID baru yang dibuat untuk agen, jangan pernah dengan Apple ID pribadi Anda.

2. Instal dari sumber resmi

Gunakan hanya installer dari openclaw.ai, atau paket npm openclaw resmi. Periksa ejaan setiap perintah yang Anda salin.

ssh
curl -fsSL https://openclaw.ai/install.sh | bash

Jika Anda mengelola Node sendiri:

ssh
npm install -g openclaw@latest --allow-scripts=openclaw
openclaw onboard --install-daemon

Daemon menjaga Gateway tetap berjalan di latar belakang dan menyalakannya kembali setelah Mac dimulai ulang.

3. Hubungkan model

Saat onboarding, OpenClaw menanyakan model mana yang akan dipakai.

  • Kunci API adalah pilihan yang paling dapat diprediksi, dan pilihan yang tepat untuk apa pun yang diandalkan sebuah bisnis.
  • Langganan bisa dipakai untuk penggunaan pribadi, tetapi aturannya berbeda di tiap penyedia dan sudah berubah beberapa kali tahun ini. Baca panduan di bawah terlebih dahulu.

4. Kunci Gateway

Gateway adalah bagian yang menerima pesan dan menjalankan tool. Mulailah dari baseline aman milik OpenClaw sendiri:

openclaw config
{
  gateway: {
    mode: "local",
    bind: "loopback",
    auth: { mode: "token", token: "replace-with-a-long-random-token" },
  },
  session: {
    dmScope: "per-channel-peer",
  },
  channels: {
    whatsapp: {
      dmPolicy: "pairing",
      groups: { "*": { requireMention: true } },
    },
  },
}

Fungsinya:

  • bind: "loopback": Gateway hanya mendengarkan di Mac itu sendiri. Tidak ada apa pun dari internet yang bisa menjangkaunya.
  • Autentikasi token: koneksi lokal pun memerlukan token. Buat token acak yang panjang dengan openssl rand -hex 32.
  • dmPolicy: "pairing": orang asing yang mengirim pesan ke bot Anda mendapat kode pairing, bukan agen.
  • requireMention: di grup, agen hanya membalas jika ada yang menyebutnya.

Lalu batasi tool. Berikan agen hanya yang dibutuhkan untuk tugasnya, dan letakkan akses shell di balik persetujuan:

openclaw config
{
  tools: {
    exec: { security: "deny", ask: "always" },
    fs: { workspaceOnly: true },
    elevated: { enabled: false },
  },
}

Longgarkan pengaturan ini satu per satu, saat sebuah tugas benar-benar membutuhkannya.

5. Akses dari jarak jauh tanpa mengeksposnya

Jangan pernah membuka port Gateway ke internet. Gunakan tunnel SSH dari komputer Anda sendiri:

komputer Anda sendiri
ssh -N -L 18789:127.0.0.1:18789 agent@your-mac-address

How you reach it

Your computer

A browser open on 127.0.0.1:18789, and one SSH tunnel: ssh -N -L 18789:127.0.0.1:18789

One SSH connection, port 22

Mac mini, our rack

The Gateway is bound to loopback and wants a token. Its port is never published.

Nothing else on the machine

A standard user, a separate Apple ID, no personal accounts signed in.

The Gateway only ever sees a local client.

Satu koneksi keluar, tidak ada yang dibuka ke dalam.

Lalu buka http://127.0.0.1:18789 di browser Anda. Koneksinya berjalan di dalam SSH, dan Gateway tetap hanya melihat klien lokal.

Untuk akses dari ponsel atau beberapa perangkat, jaringan privat seperti Tailscale adalah langkah berikutnya. Baca panduan network exposure OpenClaw sebelum Anda mengubah pengaturan bind.

6. Perlakukan skill seperti software yang Anda instal

Skill adalah kode yang berjalan dengan izin agen Anda.

  • Instal hanya yang Anda butuhkan, bukan semua yang tampak menarik.
  • Baca apa yang dilakukan sebuah skill sebelum Anda menginstalnya. Waspadai apa pun yang meminta kredensial atau mengunduh file tambahan.
  • Utamakan pembuat yang dikenal luas dan skill dengan riwayat yang terlihat.
  • Hapus skill yang sudah tidak Anda pakai.

7. Gunakan akun terpisah

  • Alamat email terpisah untuk agen.
  • Nomor telepon terpisah untuk bot WhatsApp, Signal, atau Telegram, agar chat pribadi Anda tetap privat.
  • Tidak ada perbankan, pengelola kata sandi, atau penyimpanan cloud pribadi yang masuk di Mac ini.

8. Jalankan audit, dan terus jalankan

OpenClaw memeriksa konfigurasinya sendiri:

ssh
openclaw security audit
openclaw security audit --deep
openclaw security audit --fix

--deep memeriksa Gateway yang sedang berjalan. --fix menerapkan perbaikan yang aman, seperti memperketat izin file dan mengubah kebijakan grup yang terbuka menjadi allowlist. Jalankan audit setelah setiap perubahan konfigurasi, setiap skill baru, dan setiap update.

Daftar periksa

  • macOS diperbarui sepenuhnya
  • Mac tidak pernah tidur, memulai ulang setelah listrik padam
  • Agen berjalan sebagai pengguna standar dengan Apple ID sendiri
  • Diinstal dari openclaw.ai atau paket npm resmi
  • Gateway di loopback dengan token panjang
  • Pairing DM aktif, grup memerlukan mention
  • Akses shell ditolak atau di balik persetujuan
  • Akses jarak jauh hanya melalui SSH atau jaringan privat
  • Setiap skill diperiksa sebelum diinstal
  • Email dan nomor telepon terpisah
  • openclaw security audit bersih

Mengapa menjalankannya di MacDuty

  • Mac untuk satu tugas. Mac mini dedicated, hanya untuk Anda, jauh dari perangkat pribadi Anda.
  • Selalu menyala. Listrik, pendinginan, dan koneksi sepanjang waktu, tanpa tutup laptop yang bisa ditutup.
  • Mulai dari awal saat Anda perlu. Minta dukungan untuk menginstal ulang macOS dari awal.
  • Di-hosting di Uni Eropa.

Tersedia hari ini

Mac ini sudah ada di rak sekarang. Pilih satu, lihat apa saja yang termasuk, dan buat akun Anda hanya saat memesan.

Memeriksa rak

Mac mini milik Anda sendiri

Pilih konfigurasi. Jika belum tersedia, tinggalkan email Anda dan kami kabari pada hari Mac itu terpasang di rak.

Tahunan: setidaknya 19% lebih murah daripada membayar bulanan

  • 16GB

    Memori terpadu, 120 GB/s

    Core
    10 CPU, 10 GPU
    Penyimpanan
    Tersedia
    Tersedia
  • Paling banyak dipilih
    24GB

    Memori terpadu, 120 GB/s

    Core
    10 CPU, 10 GPU
    Penyimpanan
    Tersedia
    Tersedia
  • 32GB

    Memori terpadu, 120 GB/s

    Core
    10 CPU, 10 GPU
    Penyimpanan
    Tersedia
    Tersedia
Visa Mastercard Transfer SEPAHarga dalam EUR, PPN ditambahkan saat pembayaran jika berlaku. Minimal satu bulan, lalu sewa bisa diakhiri di bulan mana pun.

Berikutnya