セキュリティ初期設定

{
  gateway: {
    auth: {
      mode: "token",
      token: "your-cryptographically-random-token-here"
    },
    // リモートCLIアクセス用（ローカルWebSocket認証とは別）
    remote: {
      token: "separate-remote-cli-token",
      // TLS証明書フィンガープリント固定（MITM対策）
      tlsFingerprint: "sha256:..."
    }
  }
}

{
  gateway: {
    bind: "loopback",  // ローカルのみ
    port: 18789,
    auth: {
      mode: "token",
      token: "..."
    }
  }
}

{
  gateway: {
    trustedProxies: ["192.168.1.0/24"],
    auth: {
      // Tailscaleアイデンティティヘッダーによる認証
      allowTailscale: true
    }
  }
}

{
  discovery: {
    mdns: {
      mode: "minimal"  // 推奨
    }
  }
}

{
  channels: {
    discord: {
      dmPolicy: "pairing"
    },
    telegram: {
      dmPolicy: "allowlist",
      dmAllowFrom: ["user123", "user456"]
    },
    whatsapp: {
      dmPolicy: "disabled"
    }
  }
}

{
  session: {
    // DMセッションのスコープ
    dmScope: "per-channel-peer"  // 推奨（各ユーザーごとに別セッション）
    // dmScope: "main"  // デフォルト（全DMが同じセッションを共有）
    // dmScope: "per-account-channel-peer"  // マルチアカウント環境
  }
}

{
  session: {
    identityLinks: {
      alice: ["telegram:123456789", "discord:987654321012345678"],
      bob: ["whatsapp:+1234567890", "discord:123456789012345678"]
    }
  }
}

{
  channels: {
    discord: {
      groupPolicy: "open",
      groups: {
        "*": {  // すべてのグループ
          requireMention: true,  // メンション時のみ応答
          mentionPatterns: ["@OpenClaw", "oc>", "!oc"]
        }
      }
    },
    telegram: {
      groups: {
        "*": {
          requireMention: true,
          mentionPatterns: ["@OpenClawBot", "/oc"]
        }
      }
    },
    whatsapp: {
      groups: {
        "*": {
          requireMention: true,
          mentionPatterns: ["@OpenClaw"]
        }
      }
    }
  }
}

{
  channels: {
    discord: {
      groupPolicy: "allowlist",
      groups: {
        "123456789": {  // グループID
          requireMention: false,  // このグループでは常時応答
          groupAllowFrom: ["admin_user_id"]  // このユーザーのみボット起動可能
        },
        "987654321": {
          requireMention: true
        }
      }
    }
  }
}

{
  tools: {
    // profile: "coding",  // minimal/coding/messaging/full から選択（省略時はデフォルト）
    allow: [
      "read",
      "web_fetch",
      "group:fs"  // ファイルシステムツールグループ
    ],
    deny: [
      "exec",  // deny は always wins
      "write"
    ]
  }
}

{
  agents: {
    list: [
      {
        name: "researcher",
        tools: {
          allow: ["read", "web_fetch"],
          deny: ["exec", "write", "edit"]
        }
      },
      {
        name: "coder",
        tools: {
          allow: ["group:fs", "exec"]
        }
      }
    ]
  }
}

{
  tools: {
    elevated: {
      enabled: true,
      allowFrom: {
        discord: ["your_discord_id"],
        telegram: ["@your_username"]
      }
    }
  }
}

{
  agents: {
    list: [
      {
        name: "admin-agent",
        tools: {
          elevated: {
            enabled: true
          }
        }
      }
    ]
  }
}

{
  version: 1,
  defaults: {
    security: "deny",           // deny | allowlist | full
    ask: "on-miss",             // off | on-miss | always
    askFallback: "deny",        // 確認がタイムアウトした場合の動作
    autoAllowSkills: false      // スキルCLIの自動許可
  },
  agents: {
    main: {
      security: "allowlist",
      ask: "on-miss",
      askFallback: "deny",
      autoAllowSkills: true,
      allowlist: [
        // CLIの「Always allow」で自動追加される形式
        { id: "...", pattern: "/usr/bin/ls" },
        { id: "...", pattern: "/usr/bin/git" }
      ]
    },
    coder: {
      security: "allowlist",
      allowlist: [
        { id: "...", pattern: "/usr/bin/make" }
      ]
    }
  }
}

{
  tools: {
    exec: {
      safeBins: ["jq", "sed", "awk", "grep"]  // stdin経由のみ実行可能
    }
  }
}

{
  approvals: {
    exec: {
      enabled: true,
      mode: "session",        // "session" | "targets" | "both"
      agentFilter: ["main"],  // 対象エージェント
      targets: [
        { channel: "discord", to: "your_channel_id" }
      ]
    }
  }
}

{
  browser: {
    defaultProfile: "openclaw"  // 専用プロファイル（推奨）
    // defaultProfile: "chrome"  // 日常使用のChromeプロファイル（非推奨）
  }
}

{
  gateway: {
    nodes: {
      browser: {
        mode: "off"  // ブラウザノード機能を無効化
      }
    }
  }
}

{
  plugins: {
    allow: [
      "@openclaw/plugin-github",
      "@openclaw/plugin-jira",
      "my-trusted-plugin"
    ]
  }
}

{
  logging: {
    redactSensitive: "tools",  // デフォルト、推奨
    // redactSensitive: "off"  // 秘匿化なし（デバッグ時のみ）
    redactPatterns: [
      "password=.*",
      "token=.*",
      "api_key=.*",
      "sk-[a-zA-Z0-9]+"  // OpenAI APIキーパターン
    ]
  }
}

{
  agents: {
    defaults: {
      model: "anthropic/claude-opus-4-6"  // 最新Opus推奨
    },
    list: [
      {
        name: "chat-only",
        model: "anthropic/claude-haiku-3-5",  // チャット専用なら小型OK
        tools: {
          deny: ["*"]  // ツールなし
        }
      },
      {
        name: "tooled-agent",
        model: "anthropic/claude-opus-4-6",  // ツール使用は大型モデル
        tools: {
          deny: ["exec", "write", "edit"]  // 危険なツールは拒否
        }
      }
    ]
  }
}

{
  // Gateway認証（必須）
  gateway: {
    bind: "loopback",  // ローカルのみ
    port: 18789,
    auth: {
      mode: "token",
      token: "REPLACE_WITH_GENERATED_TOKEN"  // openclaw doctor --generate-gateway-token
    }
  },

  // mDNS最小化
  discovery: {
    mdns: {
      mode: "minimal"
    }
  },

  // DMペアリング必須
  // ⚠️ channels は既存設定がある場合、このテンプレートで上書きしないこと。
  // 使用中のチャンネル（telegram, discord等）ごとに個別に dmPolicy を追加する。
  // 例:
  // channels: {
  //   <your-channel>: {
  //     dmPolicy: "pairing",
  //     groups: { "*": { requireMention: true } }
  //   }
  // },

  // DMセッション分離（マルチユーザー環境）
  session: {
    dmScope: "per-channel-peer"
  },

  agents: {
    defaults: {
      model: "anthropic/claude-opus-4-6"  // 最新Opus推奨
    }
  },

  // ツールポリシー
  tools: {
    // profile: "coding",  // minimal/coding/messaging/full から選択（省略可）
    // Elevated exec無効（必要なら個別有効化）
    elevated: {
      enabled: false
    },
    // Exec設定
    exec: {
      ask: "on-miss",
      safeBins: ["jq", "sed", "awk", "grep"]
    }
  },
  // 注: exec-approvals.json（allowlist等）はCLIまたはControl UIから管理

  // ログ秘匿化
  logging: {
    redactSensitive: "tools",
    redactPatterns: [
      "password=.*",
      "token=.*",
      "api_key=.*",
      "sk-[a-zA-Z0-9]+"
    ]
  },

  // プラグイン許可リスト（必要な場合のみ設定）
  // ⚠️ plugins.allow を空配列 [] にするとすべてのプラグインがブロックされる。
  // 使用するプラグインがある場合のみ設定すること:
  // plugins: { allow: ["@openclaw/plugin-github"] }
}

{
  gateway: {
    remote: {
      token: "NEW_REMOTE_TOKEN"
    }
  }
}