2026 — OpenClaw, Feishu / Lark et Microsoft Teams : authentification, longues connexions et politique de sortie d'entreprise sur une passerelle Mac physique distant ZoneMac — runbook reproductible (extraits openclaw.json + FAQ 401 / 429)

1. Points de friction que les entreprises rencontrent vraiment

1. Identité multi-tenant fragmentée : Feishu domestique, Lark global et Entra ID pour Teams ne partagent pas le même annuaire d'applications. Un couple identifiant / secret valide en bac à sable échoue en production avec des 401 opaques tant que les URL d'autorité et les secrets de vérification ne sont pas alignés.
2. Listes de sortie et dérive SNAT : les éditeurs épinglent votre IP sortante pour les webhooks ou les politiques de débit. Les pools de Mac distants qui font tourner la sortie sans ticket réseau mis à jour provoquent des échecs de vérification et des reprises d'événements en double.
3. Sessions longue durée vs coupe idle proxy : les SDK bot maintiennent WebSockets ou HTTP fragmenté ; les proxys forward ferment souvent les flux silencieux entre cinq et quinze minutes sans keepalives et routage PAC adaptés.
4. Audit et moindre privilège : chaque plateforme exige des périmètres différents — famille Graph ChannelMessage.Read.All, scopes Lark im:message, abonnements Feishu. Trop d'étendue échoue à la revue sécurité ; trop peu génère du bruit 403 / 404 en production.

2. Matrice : passerelle Mac distante unique ou bots fragmentés par région

Tableau pour arbitrer avec l'architecture et la sécurité lorsque plusieurs canaux métiers partagent un même hôte OpenClaw.

3. Runbook reproductible en sept étapes (Mac physique distant ZoneMac)

1. Geler l'inventaire des points de terminaison : énumérez *.feishu.cn, open.feishu.cn, les hôtes open platform Lark de votre région, login.microsoftonline.com, graph.microsoft.com (ou équivalents cloud national / souverain) et les URL connecteur bot Teams. Déposez un unique change réseau avec commandes de test.
2. Ancrer le Mac sur secteur et filaire : désactivez la veille pour l'utilisateur passerelle, imposez NTP et enregistrez l'IP de sortie que verra l'éditeur après NAT.
3. Lier OpenClaw en boucle locale : terminez le TLS sur nginx / Envoy ou votre tunnel Zero Trust ; proxifiez vers 127.0.0.1:18789 (ou le port choisi) pour que les scanners n'atteignent pas l'écoute brute.
4. Injecter les secrets sans GUI : SecretRef, variables EnvironmentVariables launchd ou scripts adossés au Trousseau — ne jamais committer les secrets d'application à côté de openclaw.json.
5. Compléter les défis éditeur sur le chemin production : enregistrez les URL d'événements Feishu / Lark et les points de terminaison messagerie Teams avec la même chaîne DNS, certificat et proxy que les utilisateurs finaux.
6. Tests fumée auth et limitation : scriptez une lecture Graph /me ou canal avec la même classe de jeton qu'OpenClaw ; envoyez un événement test Lark / Feishu et contrôlez les en-têtes de signature.
7. Observer et jeu d'incident : publiez des compteurs 401 / 403 / 429 et les motifs de reconnexion ; après ligne de base, coupez le proxy local et vérifiez la récupération automatique dans la fenêtre SLO documentée.

4. Extraits openclaw.json (illustratifs)

Remplacez les clés fictives par les noms documentés chez l'éditeur ; la structure montre comment cohabiter trois canaux sur un même hôte passerelle.

{
  "gateway": {
    "bind": "127.0.0.1:18789",
    "publicBaseUrl": "https://openclaw-gateway.corp.example",
    "logFormat": "jsonl"
  },
  "channels": {
    "feishu": {
      "appId": "${FEISHU_APP_ID}",
      "appSecret": "${FEISHU_APP_SECRET}",
      "encryptKey": "${FEISHU_ENCRYPT_KEY}",
      "verificationToken": "${FEISHU_VERIFICATION_TOKEN}"
    },
    "lark": {
      "appId": "${LARK_APP_ID}",
      "appSecret": "${LARK_APP_SECRET}",
      "encryptKey": "${LARK_ENCRYPT_KEY}"
    },
    "teams": {
      "tenantId": "${ENTRA_TENANT_ID}",
      "clientId": "${TEAMS_BOT_APP_ID}",
      "clientSecret": "${TEAMS_BOT_SECRET}",
      "graphAudience": "https://graph.microsoft.com/"
    }
  },
  "httpClient": {
    "proxyUrl": "${CORP_HTTPS_PROXY}",
    "respectRetryAfter": true,
    "maxConcurrentGraphRequests": 4
  }
}

Si la sécurité interdit un HTTP_PROXY global, scindez les proxys par canal lorsque la passerelle le permet, ou routez tout via une VM forward proxy dans la même région que le Mac.

4.1 Façade TLS nginx vers localhost

server {
  listen 443 ssl;
  server_name openclaw-gateway.corp.example;
  ssl_certificate     /etc/ssl/internal/fullchain.pem;
  ssl_certificate_key /etc/ssl/internal/privkey.pem;

  location /feishu/events {
    proxy_pass http://127.0.0.1:18789/feishu/events;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_read_timeout 120s;
  }
  location /teams/api/messages {
    proxy_pass http://127.0.0.1:18789/teams/api/messages;
    proxy_set_header Host $host;
    proxy_read_timeout 120s;
  }
}

5. Paramètres prêts à citer dans une note de conception

• Dérive d'horloge JWT : prévoir pour les jetons Entra une tolérance d'environ ±300 secondes entre le Mac et l'heure de référence ; au-delà, Graph renvoie 401 même avec un secret « valide ».
• Comportement 429 : honorer Retry-After lorsque Graph renvoie 429 ; un backoff exponentiel démarre souvent vers 1 à 2 secondes de base avec jitter complet pour les charges en éventail.
• Fenêtre idle proxy : de nombreux proxys d'entreprise coupent les flux TLS silencieux entre 300 s et 900 s ; les keepalives applicatifs doivent battre nettement sous le minimum observé sur captures.

6. FAQ : triage HTTP 401 et 429

6.1 Microsoft Graph 401

Contrôlez l'identifiant de tenant dans l'URL de demande de jeton, confirmez que le bot utilise le bon hôte cloud national, relancez le consentement administrateur après changement de périmètre, et vérifiez les exclusions d'accès conditionnel pour le principal de service. Comparez les revendications iat / exp avec sntp -sS time.apple.com sur le Mac.

6.2 Graph ou plate-forme ouverte 429

Réduisez les synchronisations parallèles par canal, mettez en cache les identifiants d'annuaire, évitez le sondage serré lorsque des webhooks existent, et étalez les tâches cron en lecture sur plusieurs minutes. Si plusieurs produits partagent une inscription d'application, isolez le trafic Teams pour qu'une expérience marketing n'affame pas les notifications CI.

6.3 Échecs de vérification Feishu / Lark

Faites tourner clés de chiffrement et jetons de vérification ensemble, assurez-vous que le défi d'écho utilise les octets bruts du corps avant parsing JSON, et vérifiez que l'URL de rappel enregistrée dans la console développeur correspond au SAN TLS du nom public — y compris la discipline du slash final.