2026 — OpenClaw sur Mac physique distant : variables d'environnement, SecretRef, openclaw env, LaunchAgent vs SSH au premier plan, et risques Trousseau vs plist en clair

1. Points de friction

(1) Environnement « cerveau coupé en deux » : ssh user@mac charge les profils shell et souvent un PATH riche ; les LaunchAgents, non. Symptômes : « module introuvable », mauvais binaire Node, SSL_CERT_FILE manquant — tout cela intermittent jusqu'au reboot.

(2) SecretRef contre commodité : coller des clés API dans EnvironmentVariables du plist règle vite une démo mais multiplie la surface d'explosion sur images disque, sauvegardes et comptes admin partagés — surtout sur des Mac distants mutualisés.

(3) Audit et conformité : sans documenter qui peut lire ~/Library/LaunchAgents/*.plist et les répertoires de montage SecretRef, vous ne pouvez pas répondre aux questionnaires sécurité sur le matériel physique.

2. Matrice de décision : SSH au premier plan vs LaunchAgent vs connexion graphique

Utilisez cette grille avant de modifier les configs — choisissez une ligne comme source de vérité et alignez les autres dessus.

3. SecretRef et openclaw env

SecretRef (ou l'indirection équivalente de votre déploiement) sort les valeurs sensibles ou volumineuses du fichier de config principal tout en laissant OpenClaw les résoudre vers un chemin filesystem stable ou une injection d'environnement. openclaw env est le moyen le plus rapide d'afficher ce que la CLI considère actif — exécutez-le dans le même contexte que le processus en panne (session SSH contre sudo -u contre launchd).

Quand les valeurs divergent, ne « corrigez » pas SecretRef en premier — prouvez d'abord que WorkingDirectory et l'identité utilisateur concordent. Un chemin SecretRef valide pour /Users/alice échouera si le job tourne par erreur sous un autre UID après copier-coller de plist.

4. Runbook reproductible en sept étapes

1. Geler le symptôme : noter les chaînes d'erreur exactes (401, ENOENT, EACCES) et si elles n'apparaissent qu'après reboot ou seulement sans SSH.
2. Référence SSH : en SSH, lancer openclaw env (ou le dump d'environnement de votre version) et archiver la sortie.
3. Référence launchd : pour le label LaunchAgent, exécuter launchctl print gui/$(id -u)/<label> et comparer les clés d'environnement.
4. Normaliser PATH et HOME : ne copier dans le plist EnvironmentVariables que les clés nécessaires ; éviter de coller tout le bloc export du shell interactif.
5. Vérifier les chemins SecretRef : répertoires présents, droits POSIX pour l'UID passerelle, chemins openclaw.json identiques entre dev et distant.
6. Démarrage à froid : reboot (ou launchctl kickstart -k sur le job) sans connexion Bureau à distance — confirmer écoute et auth amont.
7. Documenter le stockage : indiquer si les secrets sont dans le Trousseau, SecretRef ou plist en clair ; joindre les modes de fichier (ls -le) en annexe du runbook.

Trousseau vs plist en clair : qu'est-ce qui casse vraiment ?

5. Points de contrôle citables

• Écart PATH : le PATH zsh interactif dépasse souvent 12 entrées ; launchd en a souvent moins de 6 — chemins Homebrew ou fnm manquants : cause n°1 du « ça marche en SSH ».
• SLA reboot : exiger un démarrage à froid réussi en moins de 5 minutes après mise sous tension pour les passerelles de production sur Mac physiques.
• Bit de permission : les répertoires SecretRef ne doivent pas être world-writable ni appartenir à root si la passerelle tourne en utilisateur standard — EACCES signifie souvent décalage d'UID, pas « mauvais secret ».

6. FAQ

Pourquoi OpenClaw fonctionne-t-il en SSH mais pas sous LaunchAgent ? SSH charge les fichiers de démarrage du shell et peut hériter d'un contexte d'identifiants différent ; launchd ne voit que l'environnement plist. Alignez PATH, HOME et les chemins SecretRef — ou passez par un script enveloppe qui exporte un bloc d'environnement minimal et audité.

Dois-je mettre les clés API dans le plist ? Seulement en connaissance de cause : les plists se prêtent au grep et entrent souvent dans les sauvegardes. Préférez SecretRef ou les flux Trousseau ; si vous devez utiliser le plist, restreignez les droits et documentez les propriétaires.

Le SSH au premier plan compte-t-il comme la production ? C'est acceptable pour le débogage, mais les sessions SSH tombent quand le réseau fluctue ; LaunchAgent + contrôles de santé, c'est la forme production pour les passerelles sur Mac distants.

Et si openclaw env montre la clé mais la passerelle renvoie encore 401 ? Séparez « variable présente » et « profil auth pris en compte amont » : vérifiez quel profil d'authentification la passerelle utilise dans openclaw.json et faites tourner les identifiants volontairement plutôt que de dupliquer les clés à trois endroits.

7. Pourquoi le Mac mini convient à OpenClaw sans présence

Tout ce qui précède — stabilité launchd, chemins SecretRef, récupération SSH — fonctionne mieux sur du matériel pensé pour faire tourner macOS silencieusement pendant des mois. Un Mac mini sur Apple Silicon combine un userland Unix complet avec une consommation au repos très faible (souvent de l'ordre de quelques watts), un fonctionnement sans ventilateur ou quasi silencieux, et SSH, launchd et Trousseau natifs sans les aléas d'un portable utilisé comme serveur. Pour des équipes qui ont besoin d'hôtes passerelle reproductibles entre régions, cette fiabilité prime sur le pic de performance ponctuel.

macOS offre Gatekeeper, SIP et FileVault : la menace malware reste nettement plus faible que sur la plupart des postes Windows équivalents, ce qui compte quand des secrets et des plist traînent sur le disque. Si vous voulez la même automatisation fondée sur launchd que décrit ici, mais sur du métal dédié avec un réseau prévisible, partir d'un Mac mini M4 limite les surprises opérationnelles et le coût total de possession face à des laptops grand public recyclés en serveurs.

Si vous êtes prêt à faire tourner OpenClaw sur des hôtes macOS stables conçus pour le service 24/7, le Mac mini M4 est l'un des points d'entrée les plus rentables pour réunir Apple Silicon et silence de baie dans le même boîtier — découvrez les offres ZoneMac via le CTA ci-dessous.