01 · Schmerzklassen: leeres WebView, Domain vs. Kanal, Gateway-Falschalarme

Wenn der Gateway stabil ist und normale Nachrichten funktionieren, inline-web_app aber weiß bleibt, springen Teams oft zu früh auf Gateway-Restarts. Dieser Leitfaden richtet sich an Ops und Entwickler: drei Schmerzklassen, eine Matrix aus BotFather/TLS/Gateway, sieben Schritte, eine Triage-Tabelle, drei zitierfähige Kennzahlen und ein 1–3-Tage-Mietfenster für natives macOS, verlinkt mit Kanal-Kopplung, Installationsleitfaden, models-Sync, v2026.5.5 und SSH/VNC-FAQ.

1) HTTPS-Kette, Mixed Content und BotFather-Domains sind orthogonal zu „Kanal antwortet“. 2) Tool-Timeouts nicht mit leerem WebView vermischen. 3) TLS- und npm-Plugin-Nächte trennen.

02 · Abnahmematrix: BotFather, HTTPS, Mixed Content, Gateway

A	B	C
TLS	openssl / curl -I	Desktop+Mobile
BotFather	domain list	timestamp screenshot
Gateway	request id	tool budget

Links: Telegram-Kanäle & Allowlist, Installationsleitfaden, models-Sync, v2026.5.5.

03 · Sieben Schritte: Freeze bis Archiv

Version und openclaw.json-Pfad einfrieren
TLS-Sonde und Chain speichern
BotFather-Domains gegen live Host
Minimale inline-web_app-Nachricht
Frontend-CSP/Service-Worker
Gateway per Request-ID korrelieren
Logs redigieren, Tokens löschen

openssl s_client -servername app.example.com -connect app.example.com:443 </dev/null

04 · Triage: Symptom, erste Aktion, typischer Fehler

S	F	M
white	mixed content	restart gw
no callback	ingress 502	tweak allowlist only

05 · Kennzahlen, Mythen, 1–3-Tage-Mietfenster

D1: Unter 15 GB freiem Platz steigen parallele Build-Risiken
D2: TLS+Desktop+Mobile reduziert Fehl-Restarts
D3: Request-ID-Bindung verkürzt Übergaben

Day1 freeze+TLS; Day2 CSP+gateway; Day3 rollback+wipe.

06 · Linux-SSH vs. Tag-Miet-macOS: Evidence-Kette

Linux-SSH-Gateways sind kostengünstig; wenn Sie jedoch Telegram-Desktop, Safari/Chrome und TLS-Sonden in einem Fenster vergleichen, kosten Doppel-Hops und Zeitzonenversatz versteckte Stunden. Kurzfristig gemietetes natives macOS bündelt die Evidenzkette; Container eignen sich für Spikes, Tagmiete richtet OPEX am Fenster aus. Siehe SSH/VNC-FAQ und Preisleitfaden.

07 · Callbacks: initData-Validierung, Uhrzeit, Idempotenz, Tool-Budgets

Wenn Mini-Apps POSTs an Ihre API senden und diese OpenClaw-Tools auslöst, verschiebt sich die Fehlerfläche von rein statischen Assets zu Signatur, Replay und Kontingenten. Ungeprüfte Telegram-initData-Felder in Logs führen klassisch zu gefälschtem Traffic, der nächtlich Budgets verbrennt. NTP-Drift lässt JWT-Grenzen flattern und wird fälschlich als Modellstörung gelesen. Dokumentieren Sie auf der Miet-Maschine Zeit-Screenshots plus Gateway-Timestamps und setzen Sie Idempotenzschlüssel (Hash aus query_id und Nutzer-ID).

Trennen Sie Webhook/cron-Queues von Mini-App-Callbacks mit eigenen Alerts. Für Human-in-the-Loop-Tools SLA und strukturierte „nicht ausgeführt weil“-Felder statt nackter 504.

08 · Observability-Gates: vom Laden bis messbarem Rollback

Messen Sie LCP/FCP in Telegram-WebView und Safari doppelt; Abweichungen über etwa 800 ms brauchen eine Root-Cause-Klasse. API p95/p99 und Fehlerbuckets dürfen nach Zertifikatsrotation 24 Stunden lang nicht silent um mehr als etwa 20 % degenerieren (Schwelle schriftlich fixieren). Gateway: Fehler nach tool_name aggregieren und Spikes automatisch markieren.

Hartes Gate: Kein Produktions-Domain-Switch ohne erfolgreiche Rollback-Übung für statisches Bundle und Zertifikatsfingerabdruck.