2026: OpenClaw Telegram — длинный опрос или webhook на удалённом физическом Mac? HTTPS-обратный прокси, регистрация и runbook по 409 / TLS (openclaw.json + FAQ)

2. Типичные боли

1. Недооценка публичного HTTPS для webhook. Telegram ждёт проверяемую цепочку и доступный HTTPS (часто порт 443). Самоподписанные сертификаты, отсутствие промежуточных или DNS только в LAN дают ошибки TLS или «тихую» недоставку.
2. HTTP 409 — не случайный шум. Общий токен между staging и prod или старый узел без deleteWebhook приводят к конфликтам setWebhook: корень — состояние регистрации, а не бизнес-логика OpenClaw.
3. Long polling не бесплатен. Трансграничный RTT и долгоживущие соединения усиливают джиттер; у операторов возможен троттлинг. Для PoC сойдёт; в проде обычно возвращаются к webhook и здоровому периметру.

3. Матрица: long polling vs webhook

Лёгкая «архитектурная подпись» для узлов ZoneMac.

4. Фрагменты openclaw.json (иллюстративно)

Только структурный пример — имена ключей и вложенность должны совпадать с вашей версией OpenClaw. Делайте резервные копии и сливайте вручную с существующими секциями gateway и учётными данными; держите локальный слушатель на loopback и согласуйте экспозицию с политикой периметра.

4.1 Канал Telegram: webhook и локальный слушатель

{
  "channels": {
    "telegram": {
      "enabled": true,
      "botTokenRef": "env:TELEGRAM_BOT_TOKEN",
      "transport": "webhook",
      "webhook": {
        "publicUrl": "https://bot.example.com/openclaw/telegram/webhook",
        "path": "/openclaw/telegram/webhook",
        "secretTokenRef": "env:TELEGRAM_WEBHOOK_SECRET",
        "maxConnections": 40,
        "dropPendingUpdates": false
      },
      "localServer": {
        "bind": "127.0.0.1",
        "port": 18789,
        "readTimeoutSeconds": 30,
        "writeTimeoutSeconds": 30
      }
    }
  },
  "gateway": {
    "reverseProxy": {
      "trustedProxies": ["10.0.0.0/8"],
      "forwardedHeaders": ["X-Forwarded-For", "X-Forwarded-Proto"]
    }
  }
}

Для long polling выставьте transport в "longPolling" (или эквивалент в вашем релизе) и задайте опции getUpdates, например timeout / allowed_updates; убедитесь, что Telegram не указывает webhook на старый URL.

4.2 Обратный прокси (набросок Caddy)

# TLS на периметре; прокси на 127.0.0.1:18789 на Mac.
# Согласуйте Host/путь с OpenClaw; лимиты тела — по рекомендациям шлюза.

bot.example.com {
  reverse_proxy 127.0.0.1:18789 {
    header_up X-Forwarded-Proto {scheme}
    header_up X-Forwarded-For {remote_host}
  }
}

5. Семишаговый runbook (удалённый физический Mac)

1. Зафиксировать режим транспорта. Должен быть активен только один путь. При переходе с long polling на webhook сначала остановите процесс опроса, чтобы избежать двойной доставки.
2. Проверить TLS end-to-end. Из интернета проверьте порт 443: полная цепочка, SNI, правила файрвола для диапазонов Telegram (по актуальной документации).
3. Слить openclaw.json. cp openclaw.json openclaw.json.bak.$(date +%Y%m%d%H%M); задайте publicUrl, ссылки на секреты и локальный bind.
4. Очистить старое состояние webhook. getWebhookInfo → при неверном URL deleteWebhook → setWebhook из одного места, чтобы реже ловить 409.
5. Перезагрузить и проверить здоровье процесса. Перезагрузка по вашей схеме; убедитесь, что порт слушается и в логах launchd нет циклов падений.
6. Позитивные и негативные тесты. Тестовое сообщение; запросы с неверным secret_token должны быстро отклоняться; следите за pending_update_count.
7. Архивация. Зафиксируйте домен, владельца продления сертификата, параметры setWebhook и процедуру отката на long polling.

6. Разбор 409 и таймаутов TLS

7. Цифры и пункты чек-листа

• getUpdates long poll: по документации Bot API timeout обычно 0–50 секунд; на каналах с высоким RTT начните с консервативных значений.
• Локальный HTTP: пример 127.0.0.1:18789 остаётся на loopback; TLS и публичное лицо — у прокси — в духе SSH-first узлов ZoneMac.
• Параллелизм webhook: согласуйте maxConnections с числом воркеров и QPS к upstream-моделям, чтобы ingress не принимал быстрее, чем ядро успевает разгребать.

8. FAQ

9. Итог: почему Mac mini здесь уместен

Выбор между long polling и webhook — не про «новизну», а про готовность принять продакшен-качество HTTPS и единый источник правды по регистрации. Webhook переносит наблюдаемость в getWebhookInfo; long polling держит сложность в исходящих соединениях и сопровождении процессов.

На удалённом физическом Mac ZoneMac узел класса Mac mini M4 сочетает низкое энергопотребление в простое (порядка нескольких ватт), нативный Unix и удобные для launchd демоны — на одной машине можно держать обратный прокси и OpenClaw для круглосуточного шлюза. Усиление macOS (Gatekeeper, SIP, FileVault) снижает долгосрочные риски по сравнению с типичным Windows-хостом утилит.

Если нужны вход Telegram, TLS и OpenClaw на тихом и предсказуемом железе, Mac mini M4 остаётся сильным соотношением цена/стабильность — арендуйте удалённый физический Mac у ZoneMac и прогоните этот runbook на реальном metal.