--- read_when: - Вы увидели конкретный `checkId` в выводе `openclaw security audit` и хотите узнать, что он означает - Вам нужен ключ/путь исправления для конкретной найденной проблемы - Вы определяете уровни критичности в рамках аудита безопасности summary: Справочный каталог идентификаторов checkId, выдаваемых аудитом безопасности OpenClaw title: Проверки аудита безопасности x-i18n: generated_at: "2026-07-13T19:50:23Z" model: gpt-5.6 postprocess_version: locale-links-v1 prompt_version: 24 provider: openai source_hash: 10ad6c83327fb3e299b80c35761256e2bac46a2d9d5204de6bef63976818e255 source_path: gateway/security/audit-checks.md workflow: 16 --- `openclaw security audit` выводит структурированные результаты, сгруппированные по `checkId`. Эта страница представляет собой справочный каталог этих идентификаторов. Общую модель угроз и рекомендации по усилению защиты см. в разделе [Безопасность](/ru/gateway/security). Некоторые проверки выполняются только с `openclaw security audit --deep`: сканирование кода плагинов и Skills (`plugins.code_safety*`, `skills.code_safety*`) и проверки с активным зондированием Gateway (`gateway.probe_*`). Все остальные проверки в этой таблице выполняются при обычном `openclaw security audit`. Уровень серьёзности вида `warn/critical` означает, что один и тот же `checkId` может выводиться с любым из этих уровней в зависимости от конфигурации (например, от того, доступен ли Gateway извне). Наиболее значимые значения, которые вы, скорее всего, увидите в реальных развёртываниях (список не исчерпывающий): | `checkId` | Серьезность | Почему это важно | Основной ключ/путь исправления | Автоисправление | | --------------------------------------------------------------- | ------------------ | --------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------- | -------- | | `fs.state_dir.perms_world_writable` | критическая | Другие пользователи или процессы могут изменять всё состояние OpenClaw | права файловой системы для `~/.openclaw` | да | | `fs.state_dir.perms_group_writable` | предупреждение | Пользователи группы могут изменять всё состояние OpenClaw | права файловой системы для `~/.openclaw` | да | | `fs.state_dir.perms_readable` | предупреждение | Каталог состояния доступен другим для чтения | права файловой системы для `~/.openclaw` | да | | `fs.state_dir.symlink` | предупреждение | Целевой каталог состояния становится дополнительной границей доверия | структура файловой системы каталога состояния | нет | | `fs.config.perms_writable` | критическая | Другие могут изменять политику аутентификации и инструментов, а также конфигурацию | права файловой системы для `~/.openclaw/openclaw.json` | да | | `fs.config.symlink` | предупреждение | Конфигурационные файлы, являющиеся символическими ссылками, не поддерживаются для записи и создают дополнительную границу доверия | замените обычным конфигурационным файлом или укажите в `OPENCLAW_CONFIG_PATH` реальный файл | нет | | `fs.config.perms_group_readable` | предупреждение | Пользователи группы могут читать токены и настройки конфигурации | права файловой системы для конфигурационного файла | да | | `fs.config.perms_world_readable` | критическая | Конфигурация может раскрывать токены и настройки | права файловой системы для конфигурационного файла | да | | `fs.config_include.perms_writable` | критическая | Другие могут изменять подключаемый конфигурационный файл | права подключаемого файла, указанного в `openclaw.json` | да | | `fs.config_include.perms_group_readable` | предупреждение | Пользователи группы могут читать подключенные секреты и настройки | права подключаемого файла, указанного в `openclaw.json` | да | | `fs.config_include.perms_world_readable` | критическая | Подключенные секреты и настройки доступны всем для чтения | права подключаемого файла, указанного в `openclaw.json` | да | | `fs.auth_profiles.perms_writable` | критическая | Другие могут внедрять или заменять сохраненные учетные данные модели | права для `agents//agent/auth-profiles.json` | да | | `fs.auth_profiles.perms_readable` | предупреждение | Другие могут читать ключи API и токены OAuth | права для `agents//agent/auth-profiles.json` | да | | `fs.credentials_dir.perms_writable` | критическая | Другие могут изменять состояние сопряжения каналов и учетных данных | права файловой системы для `~/.openclaw/credentials` | да | | `fs.credentials_dir.perms_readable` | предупреждение | Другие могут читать состояние учетных данных каналов | права файловой системы для `~/.openclaw/credentials` | да | | `fs.sessions_store.perms_readable` | предупреждение | Другие могут читать расшифровки сеансов и метаданные | права хранилища сеансов | да | | `fs.log_file.perms_readable` | предупреждение | Другие могут читать отредактированные, но всё еще конфиденциальные журналы | права файла журнала Gateway | да | | `fs.synced_dir` | предупреждение | Хранение состояния или конфигурации в iCloud/Dropbox/Drive расширяет доступ к токенам и расшифровкам | переместите конфигурацию и состояние из синхронизируемых папок | нет | | `gateway.bind_no_auth` | критическая | Привязка к удаленному интерфейсу без общего секрета | `gateway.bind`, `gateway.auth.*` | нет | | `gateway.loopback_no_auth` | критическая | Доступ через обратный прокси к интерфейсу обратной петли может оказаться неаутентифицированным | `gateway.auth.*`, настройка прокси | нет | | `gateway.trusted_proxies_missing` | предупреждение | Заголовки обратного прокси присутствуют, но не считаются доверенными | `gateway.trustedProxies` | нет | | `gateway.http.no_auth` | предупреждение/критическая | HTTP API Gateway доступны при `auth.mode="none"` | `gateway.auth.mode`, `gateway.http.endpoints.*`, `plugins.entries.admin-http-rpc` | нет | | `gateway.http.session_key_override_enabled` | информация | Клиенты HTTP API могут переопределять `sessionKey` | `gateway.http.allowSessionKeyOverride` | нет | | `gateway.tools_invoke_http.dangerous_allow` | предупреждение/критическая | Повторно включает опасные инструменты через HTTP API для вызывающих сторон с правами владельца или администратора | `gateway.tools.allow` | нет | | `gateway.nodes.allow_commands_dangerous` | предупреждение/критическая | Включает команды Node с серьезными последствиями (ввод с рабочего стола/камера/экран/контакты/календарь/SMS) | `gateway.nodes.allowCommands` | нет | | `gateway.nodes.deny_commands_ineffective` | предупреждение | Записи запрета, похожие на шаблоны, не сопоставляются с текстом оболочки или группами | `gateway.nodes.denyCommands` | нет | | `gateway.tailscale_funnel` | критическая | Доступ из общедоступного Интернета | `gateway.tailscale.mode` | нет | | `gateway.tailscale_serve` | информация | Доступ из tailnet включен через Serve | `gateway.tailscale.mode` | нет | | `gateway.control_ui.allowed_origins_required` | критическая | Control UI не на интерфейсе обратной петли без явного списка разрешенных источников браузера | `gateway.controlUi.allowedOrigins` | нет | | `gateway.control_ui.allowed_origins_wildcard` | предупреждение/критическая | `allowedOrigins=["*"]` отключает проверку списка разрешенных источников браузера | `gateway.controlUi.allowedOrigins` | нет | | `gateway.control_ui.host_header_origin_fallback` | предупреждение/критическая | Включает резервное определение источника по заголовку Host (ослабляет защиту от перепривязки DNS) | `gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback` | нет | | `gateway.control_ui.insecure_auth` | предупреждение | Включен переключатель совместимости с небезопасной аутентификацией | `gateway.controlUi.allowInsecureAuth` | нет | | `gateway.control_ui.device_auth_disabled` | критическая | Отключает проверку идентичности устройства | `gateway.controlUi.dangerouslyDisableDeviceAuth` | нет | | `gateway.real_ip_fallback_enabled` | предупреждение/критическая | Доверие к резервному варианту `X-Real-IP` может позволить подмену IP-адреса источника при неверной настройке прокси | `gateway.allowRealIpFallback`, `gateway.trustedProxies` | нет | | `gateway.token_too_short` | предупреждение | Короткий общий токен легче подобрать перебором | `gateway.auth.token` | нет | | `gateway.auth_no_rate_limit` | предупреждение | Открытая аутентификация без ограничения частоты запросов повышает риск перебора | `gateway.auth.rateLimit` | нет | | `gateway.trusted_proxy_auth` | критическая | Идентичность прокси теперь становится границей аутентификации | `gateway.auth.mode="trusted-proxy"` | нет | | `gateway.trusted_proxy_no_proxies` | критическая | Аутентификация через доверенный прокси без доверенных IP-адресов прокси небезопасна | `gateway.trustedProxies` | нет | | `gateway.trusted_proxy_no_user_header` | критическая | Аутентификация через доверенный прокси не может безопасно определить идентичность пользователя | `gateway.auth.trustedProxy.userHeader` | нет | | `gateway.trusted_proxy_no_allowlist` | предупреждение | Аутентификация через доверенный прокси принимает любого пользователя, аутентифицированного вышестоящим сервисом | `gateway.auth.trustedProxy.allowUsers` | нет | | `gateway.trusted_proxy_allow_loopback` | предупреждение | Аутентификация через доверенный прокси принимает явно разрешенные источники прокси на интерфейсе обратной петли | `gateway.auth.trustedProxy.allowLoopback` | нет | | `gateway.probe_auth_secretref_unavailable` | предупреждение | Глубокая проверка не смогла разрешить ссылки SecretRef для аутентификации в этом пути команды | источник аутентификации для глубокой проверки / доступность SecretRef | нет | | `gateway.probe_failed` | предупреждение | Проверка работающего Gateway завершилась неудачно (только `--deep`) | доступность Gateway/аутентификация | нет | | `discovery.mdns_full_mode` | предупреждение/критическая | Полный режим mDNS публикует метаданные `cliPath`/`sshPort` в локальной сети | `discovery.mdns.mode`, `gateway.bind` | нет | | `config.insecure_or_dangerous_flags` | предупреждение | Включён один небезопасный/опасный флаг отладки | ключ, указанный в подробностях обнаруженной проблемы | нет | | `security.audit.suppressions.active` | информация | Для результатов аудита настроены исключения, поэтому они могут быть отфильтрованы | `security.audit.suppressions` | нет | | `config.secrets.gateway_password_in_config` | предупреждение | Пароль Gateway хранится непосредственно в конфигурации | `gateway.auth.password` | нет | | `config.secrets.hooks_token_in_config` | предупреждение | Bearer-токен хука хранится непосредственно в конфигурации | `hooks.token` | нет | | `hooks.token_reuse_gateway_token` | критическая | Токен входящих запросов хука также предоставляет доступ к аутентификации Gateway | `hooks.token`, `gateway.auth.token`, `gateway.auth.password` | нет | | `hooks.token_too_short` | предупреждение | Упрощён перебор токена входящих запросов хука | `hooks.token` | нет | | `hooks.default_session_key_unset` | предупреждение | Запуски агента через хук распределяются по создаваемым для каждого запроса сеансам | `hooks.defaultSessionKey` | нет | | `hooks.allowed_agent_ids_unrestricted` | предупреждение/критическая | Аутентифицированные вызывающие стороны хука могут направлять запросы любому настроенному агенту | `hooks.allowedAgentIds` | нет | | `hooks.request_session_key_enabled` | предупреждение/критическая | Внешняя вызывающая сторона может выбирать sessionKey | `hooks.allowRequestSessionKey` | нет | | `hooks.request_session_key_prefixes_missing` | предупреждение/критическая | Формат внешних ключей сеансов не ограничен | `hooks.allowedSessionKeyPrefixes` | нет | | `hooks.path_root` | критическая | Путь хука — `/`, что повышает риск коллизии или ошибочной маршрутизации входящих запросов | `hooks.path` | нет | | `hooks.installs_unpinned_npm_specs` | предупреждение | Записи об установке хуков не привязаны к неизменяемым спецификациям npm | метаданные установки хука | нет | | `hooks.installs_missing_integrity` | предупреждение | В записях об установке хуков отсутствуют метаданные целостности | метаданные установки хука | нет | | `hooks.installs_version_drift` | предупреждение | Записи об установке хуков расходятся с установленными пакетами | метаданные установки хука | нет | | `logging.redact_off` | предупреждение | Конфиденциальные значения попадают в журналы/данные о состоянии | `logging.redactSensitive` | да | | `browser.control_invalid_config` | предупреждение | Конфигурация управления браузером недопустима ещё до запуска | `browser.*` | нет | | `browser.control_no_auth` | критическая | Управление браузером доступно без аутентификации по токену/паролю | `gateway.auth.*` | нет | | `browser.remote_cdp_http` | предупреждение | Для удалённого CDP по обычному HTTP отсутствует шифрование транспорта | профиль браузера `cdpUrl` | нет | | `browser.remote_cdp_private_host` | предупреждение | Удалённый CDP обращается к частному/внутреннему хосту | профиль браузера `cdpUrl`, `browser.ssrfPolicy.*` | нет | | `sandbox.docker_config_mode_off` | предупреждение | Конфигурация Docker для песочницы существует, но неактивна | `agents.*.sandbox.mode` | нет | | `sandbox.bind_mount_non_absolute` | предупреждение | Относительные bind-монтирования могут разрешаться непредсказуемо | `agents.*.sandbox.docker.binds[]` | нет | | `sandbox.dangerous_bind_mount` | критическая | Цели bind-монтирования песочницы указывают на заблокированные системные пути, пути учётных данных или сокета Docker | `agents.*.sandbox.docker.binds[]` | нет | | `sandbox.dangerous_network_mode` | критическая | Сеть Docker песочницы использует режим объединения пространств имён `host` или `container:*` | `agents.*.sandbox.docker.network` | нет | | `sandbox.dangerous_seccomp_profile` | критическая | Профиль seccomp песочницы ослабляет изоляцию контейнера | `agents.*.sandbox.docker.securityOpt` | нет | | `sandbox.dangerous_apparmor_profile` | критическая | Профиль AppArmor песочницы ослабляет изоляцию контейнера | `agents.*.sandbox.docker.securityOpt` | нет | | `sandbox.browser_cdp_bridge_unrestricted` | предупреждение | Мост браузера песочницы доступен без ограничения диапазона исходных адресов | `sandbox.browser.cdpSourceRange` | нет | | `sandbox.browser_container.non_loopback_publish` | критическая | Существующий контейнер браузера публикует CDP на интерфейсах, отличных от loopback | конфигурация публикации контейнера браузера в песочнице | нет | | `sandbox.browser_container.hash_label_missing` | предупреждение | Существующий контейнер браузера создан до введения текущих меток хеша конфигурации | `openclaw sandbox recreate --browser --all` | нет | | `sandbox.browser_container.hash_epoch_stale` | предупреждение | Существующий контейнер браузера создан до текущей эпохи конфигурации браузера | `openclaw sandbox recreate --browser --all` | нет | | `sandbox.browser_container.docker_probe_timeout` | предупреждение | Истекло время ожидания проверки меток Docker для контейнера браузера | доступность демона Docker | нет | | `tools.exec.host_sandbox_no_sandbox_defaults` | предупреждение | `exec host=sandbox` запрещает операцию при отключённой песочнице | `tools.exec.host`, `agents.defaults.sandbox.mode` | нет | | `tools.exec.host_sandbox_no_sandbox_agents` | предупреждение | `exec host=sandbox` для отдельных агентов запрещает операцию при отключённой песочнице | `agents.list[].tools.exec.host`, `agents.list[].sandbox.mode` | нет | | `tools.exec.security_full_configured` | предупреждение/критическая | Выполнение команд на хосте работает с `security="full"` | `tools.exec.security`, `agents.list[].tools.exec.security` | нет | | `tools.exec.agent_skill_mcp_boundary_drift` | предупреждение | Списки разрешённых Skills агента заданы, хотя выполнение команд на хосте может обращаться к клиентам/реестрам MCP | `agents.list[].tools.exec.*`, изоляция песочницы/ОС, учётные данные сервера MCP | нет | | `tools.exec.fs_tools_disabled_but_exec_enabled` | предупреждение | Политика инструментов файловой системы не переводит выполнение команд оболочки в режим только для чтения | `tools.deny`, `agents.list[].tools.deny`, `agents.*.sandbox.workspaceAccess` | нет | | `tools.exec.auto_allow_skills_enabled` | предупреждение | Подтверждения выполнения неявно доверяют исполняемым файлам Skills | файл подтверждений хоста | нет | | `tools.exec.allowlist_interpreter_without_strict_inline_eval` | предупреждение | Списки разрешённых интерпретаторов допускают встроенное вычисление выражений без обязательного повторного подтверждения | `tools.exec.strictInlineEval`, `agents.list[].tools.exec.strictInlineEval`, список разрешённых подтверждений выполнения | нет | | `tools.exec.safe_bins_interpreter_unprofiled` | предупреждение | Исполняемые файлы интерпретаторов/сред выполнения в `safeBins` без явных профилей расширяют риски выполнения команд | `tools.exec.safeBins`, `tools.exec.safeBinProfiles`, `agents.list[].tools.exec.*` | нет | | `tools.exec.safe_bins_broad_behavior` | предупреждение | Инструменты с широким спектром поведения в `safeBins` ослабляют модель доверия к фильтру stdin с низким уровнем риска | `tools.exec.safeBins`, `agents.list[].tools.exec.safeBins` | нет | | `tools.exec.safe_bin_trusted_dirs_risky` | предупреждение | `safeBinTrustedDirs` включает изменяемые или рискованные каталоги | `tools.exec.safeBinTrustedDirs`, `agents.list[].tools.exec.safeBinTrustedDirs` | нет | | `tools.elevated.allowFrom..wildcard` | критическая | `tools.elevated.allowFrom.` включает `"*"`, разрешая доступ каждому отправителю | `tools.elevated.allowFrom.` | нет | | `tools.elevated.allowFrom..large` | предупреждение | Расширенный список разрешённых для `` содержит более 25 записей | `tools.elevated.allowFrom.` | нет | | `agents.claude_cli.permission_mode_overridden_by_yolo` | предупреждение | `--permission-mode` Claude CLI игнорируется, поскольку выполнение команд OpenClaw полностью автоматизировано | аргументы `tools.exec.security`, `tools.exec.ask`, `cliBackends.claude-cli` | нет | | `skills.workspace.symlink_escape` | предупреждение | Рабочая область `skills/**/SKILL.md` разрешается за пределами корня рабочей области (отклонение цепочки символических ссылок) | состояние файловой системы рабочей области `skills/**` | нет | | `skills.workspace.scan_truncated` | предупреждение | Сканирование Skills рабочей области достигло ограничения на количество посещённых каталогов до завершения | сделать дерево каталогов рабочей области `skills/` более плоским или простым | нет | | `plugins.extensions_no_allowlist` | предупреждение | Плагины установлены без явного списка разрешённых плагинов | `plugins.allowlist` | нет | | `plugins.allow_phantom_entries` | предупреждение | `plugins.allow` содержит идентификатор, которому не соответствует ни один установленный плагин | `plugins.allow` | нет | | `plugins.installs_unpinned_npm_specs` | предупреждение | Записи индекса плагинов не привязаны к неизменяемым спецификациям npm | метаданные установки плагина | нет | | `plugins.installs_missing_integrity` | предупреждение | В записях индекса плагинов отсутствуют метаданные целостности | метаданные установки плагина | нет | | `plugins.installs_version_drift` | предупреждение | Записи индекса плагинов расходятся с установленными пакетами | метаданные установки плагина | нет | | `plugins.code_safety` | предупреждение/критично | Сканирование кода плагина обнаружило подозрительные или опасные шаблоны (только `--deep`) | код плагина / источник установки | нет | | `plugins.code_safety.entry_path` | предупреждение | Путь точки входа плагина указывает на скрытые расположения или расположения `node_modules` | манифест плагина `entry` | нет | | `plugins.code_safety.entry_escape` | критично | Точка входа плагина выходит за пределы каталога плагина | манифест плагина `entry` | нет | | `plugins.code_safety.manifest_parse_error` | предупреждение | Не удалось разобрать манифест плагина во время сканирования безопасности кода | файл манифеста плагина | нет | | `plugins.code_safety.scan_failed` | предупреждение | Не удалось завершить сканирование кода плагина (только `--deep`) | путь плагина / среда сканирования | нет | | `plugins..security_audit_failed` | предупреждение | Сборщик аудита безопасности, принадлежащий плагину, вызвал ошибку | сборщик аудита безопасности этого плагина | нет | | `skills.code_safety` | предупреждение/критично | Метаданные или код установщика Skills содержат подозрительные или опасные шаблоны (только `--deep`) | источник установки Skills | нет | | `skills.code_safety.scan_failed` | предупреждение | Не удалось завершить сканирование кода Skills (только `--deep`) | среда сканирования Skills | нет | | `security.exposure.open_channels_with_exec` | предупреждение/критично | Общие или публичные комнаты могут обращаться к агентам с разрешённым выполнением команд | `channels.*.dmPolicy`, `channels.*.groupPolicy`, `tools.exec.*`, `agents.list[].tools.exec.*` | нет | | `security.exposure.open_groups_with_elevated` | критично | Открытые личные сообщения/группы в сочетании с инструментами с повышенными привилегиями создают высокоопасные пути внедрения промптов | пути политики личных сообщений верхнего уровня или вложенные, переопределения учётных записей, `channels.*.groupPolicy` | нет | | `security.exposure.open_groups_with_runtime_or_fs` | критично/предупреждение | Открытые личные сообщения/группы могут обращаться к инструментам командной строки и файлов без защиты песочницы/рабочей области | пути политик личных сообщений/групп, `tools.profile/deny`, `tools.fs.workspaceOnly`, `agents.*.sandbox.mode` | нет | | `security.exposure.open_groups_with_control_plane_tools` | критично | Открытые личные сообщения/группы могут обращаться к инструментам плоскости управления Gateway/Cron | пути политик личных сообщений/групп, `tools.allow`, `tools.alsoAllow`, `tools.profile`, `gateway`, `cron` | нет | | `security.trust_model.multi_user_heuristic` | предупреждение | Конфигурация выглядит многопользовательской, тогда как модель доверия Gateway рассчитана на персонального помощника | разделить границы доверия или усилить защиту для совместного использования (`sandbox.mode`, запрет инструментов/ограничение рабочей областью) | нет | | `tools.profile_minimal_overridden` | предупреждение | Переопределения агентов обходят глобальный минимальный профиль | `agents.list[].tools.profile` | нет | | `plugins.tools_reachable_permissive_policy` | предупреждение | Инструменты расширений доступны в разрешительных контекстах | `tools.profile` + разрешение/запрет инструментов | нет | | `models.legacy` | предупреждение | Устаревшие семейства моделей всё ещё настроены | выбор модели | нет | | `models.weak_tier` | предупреждение | Настроенные модели ниже текущих рекомендуемых уровней | выбор модели | нет | | `models.small_params` | критично/информация | Малые модели в сочетании с небезопасными поверхностями инструментов повышают риск внедрения | выбор модели + политика песочницы/инструментов | нет | | `channels..dm.open` | критично | Политика личных сообщений `` имеет значение `"open"`; любой может отправить боту личное сообщение | `channels..dmPolicy`, `.allowFrom` | нет | | `channels..dm.open_invalid` | предупреждение | `dmPolicy="open"` без `"*"` в `allowFrom` является несогласованной настройкой | `channels..allowFrom` | нет | | `channels..dm.scope_main_multiuser` | предупреждение | Несколько отправителей личных сообщений сейчас используют общий основной сеанс | `session.dmScope` | нет | | `channels..allowFrom.dangerous_name_matching_enabled` | информация | `dangerouslyAllowNameMatching` повторно включает сопоставление отправителей по изменяемым имени, адресу электронной почты или тегу | отключить `dangerouslyAllowNameMatching`, использовать стабильные идентификаторы отправителей | нет | | `channels..account.read_only_resolution` | предупреждение | Не удалось полностью определить учётную запись канала для аудита (отсутствует секрет/Gateway) | убедиться, что указанные секреты доступны, или выполнить проверку по снимку работающего Gateway | нет | | `channels..warning.` | информация/предупреждение/критично | Предупреждение безопасности конкретного провайдера, классифицированное на основе неструктурированного текста плагина | см. сведения о результате проверки | нет | | `summary.attack_surface` | информация | Сводка состояния аутентификации, каналов, инструментов и открытости | несколько ключей (см. сведения о результате проверки) | нет | `channels..*` и `tools.elevated.allowFrom..*` — это идентификаторы проверок, создаваемые для каждого настроенного канала или провайдера, поэтому в фактическом выводе `` является реальным идентификатором канала (например, `telegram`, `discord`), а не строковым литералом. ## Связанные материалы - [Безопасность](/ru/gateway/security) - [Конфигурация](/ru/gateway/configuration) - [Аутентификация через доверенный прокси](/ru/gateway/trusted-proxy-auth)