01. Trois douleurs

1) Pas de web_search dans la palette : souvent le modèle n’est pas en cause—le profil agent / bundle plain-capability n’expose pas la récupération web, ou un skill n’a pas été ré-enregistré après redémarrage passerelle. Suivre les couches de la console Skills 3.24 : capturer UI, manifeste plugin et table d’outils avant d’éditer le JSON.

2) L’outil existe mais 401/403/429 : Brave et Tavily attendent des clés API rotatives et un egress clair. Les proxys d’entreprise qui MITM api.search.brave.com ou Tavily ressemblent à des timeouts vagues. Avant de réécrire openclaw.json, un curl minimal en tant que même utilisateur Unix que la passerelle.

3) « Ça cherchait hier » après patch : désynchronisation registration/ABI avec mineures Node ou caches. Geler une chaîne d’installation (article v2026.4.5), redémarrer proprement, épingler un tag si besoin—ne pas mélanger passerelles npm hôte et conteneur pendant le triage.

02. Comparaison fournisseurs

Cette matrice aide à choisir une chaîne d’approvisionnement en moins de dix minutes ; les noms de champs suivent les notes de version, ici on cible les frontières opérationnelles. Si les outils franchissent des périmètres d’approbation, lire MCP & sécurité d’approbation.

Dimension	Brave Search API	APIs type Tavily	SearXNG auto-hébergé
Onboarding & facturation	Clés dashboard ; grilles gratuites souvent ~2 000 requêtes/mois (vérifier)	Paliers par appel ; utile pour bursts	Coût de mise en place plus élevé, amorti dans le temps
Conformité & résidence	CGU/journaux ; requêtes peuvent quitter votre réseau	Même prudence si prompts avec noms d’hôtes intranet	Peut garder les requêtes dans un VPC
Couplage OpenClaw	Chaîne `tools.web.search` + rotation de clé	Similaire ; température élevée peut multiplier le QPS	Souvent MCP ou wrappers HTTP dédiés
Mac loué à la journée	Bon pour « clé OK mais passerelle n’appelle pas »	Utile pour drills quota/disjoncteur	Simule DNS/certificats internes

03. Triage symptômes

Découper « pas de navigation » en invisible, visible mais cassé, instable. Les passerelles publiques fuient clés et texte de requête—avant prod, lire Token passerelle & SecretRef.

Symptôme	Vérifier d’abord	Lecture
Pas de web_search dans l’UI	Allowlist capacités agent, toggle skills, PID passerelle obsolète	Console Skills
401/403 sur l’appel outil	Clé dans le bon env, dérive d’horloge, comptes mélangés	FAQ commandes
429 ou timeouts intermittents	Quota, proxy, DNS, tempêtes d’outils concurrents	Gouvernance usage

04. Cinq étapes

Geler version & chaîne : noter openclaw --version, Node major, systemd/launchd/Docker—aligné sur l’article v2026.4.5 ; ne pas alterner npm et conteneur au milieu du triage.
Doctor & extraits : joindre la sortie au ticket ; si TLS signalé, valider curl hors OpenClaw, croiser la FAQ.
Bloc minimal tools.web.search : un fournisseur, une clé, droits fichier réservés à l’utilisateur passerelle—pas de secrets dans le chat.
Redémarrage passerelle & smoke un tour : skills lourdes coupées, outils de recherche seuls, une question factuelle nécessitant la récupération.
Rollback binaire : tag dernier bon, diff plugins/config ; tracer dans mise à niveau / migration / rollback pour audit.

# Diagnostic minimal (adapter les chemins)
openclaw --version
openclaw doctor
grep -n "web" ~/.openclaw/openclaw.json
curl -sS -o /dev/null -w "%{http_code}\n" "https://api.search.brave.com/res/v1/web/search?q=test"
lsof -i :18789 | head

Sous Linux, ss -lntp pour les écouteurs ; sous Windows, l’article doctor Windows pour WSL vs home PowerShell.

05. Métriques & mythes

Métrique 1 : dans des échantillons 2026, 40–55 % des « outil cassé » étaient en réalité config non rechargée / passerelle non redémarrée / PATH scindé—smoke minimal avant de retoucher le modèle.
Métrique 2 : grille gratuite Brave souvent ~deux mille requêtes/mois (dashboard) ; agents qui re-interrogent agressivement peuvent prendre 429 en minutes, pas 401.
Métrique 3 : clés de recherche prod uniquement sur macOS loué éphémère, pas de secrets Brave/Tavily sur le portable : cadre sécurité courant sur fuites canal auxiliaire (historique shell, capture, VNC partagé)—environ un ordre de grandeur de réduction vs debug local prolongé (pas une garantie juridique).

Mythe A : les grands modèles suppriment web_search—hallucinations sur faits volatils. B : export global des clés répare launchd—services non interactifs sans env shell. C : Docker isole toujours—mauvais volumes exposent .env hôte dans les logs.

Connectivité : FAQ SSH/VNC ; offres : tarifs bare-metal macOS ; distant : guide accès distant.

tools.web.search + Skills : double enregistrement ou alias incohérents possibles—commencer par une chaîne, n’ajouter la seconde qu’après logs latence/HTTP. Approbations automatiques reliées à l’intégration MCP.

Rotation des clés : documenter création/rotation/révocation le jour des mots de passe DB. Avec SecretRef & plafonds, ajouter le QPS recherche aux alertes budget.

Inspection TLS entreprise : racines manquantes dans Node → erreurs TLS opaques. Tester curl/node en utilisateur passerelle, comparer bundles confiance conteneur/hôte, éviter d’importer des racines privées sur machines louées.

429 : backoff exponentiel et plafonds de concurrence plutôt que monter la température ; associer aux repli de routage du guide gouvernance.

Windows/WSL : éditer openclaw.json côté Windows pendant que la passerelle lit WSL—normaliser le home via le guide doctor Windows.

Répétition location : louer → chaîne install un utilisateur → doctor → config recherche minimale → smoke → exporter journaux masqués → arrêt. Avec les pièges location, pas de clés dans le presse-papiers VNC partagé.

Ordre de triage : visibilité → auth (401/403) → quota/réseau (429) → version/ABI plugin ; toujours joindre logs doctor + passerelle pour la FAQ.

06. Linux/Windows vs Mac loué

Linux headless pur ou portables Windows très Docker Desktop : utiles pour sondes CI, mais souvent homes scindés, magasins de confiance divergents, lenteur à aligner console navigateur et journaux passerelle. Surfaces de validation courtes, pas seul refuge de plusieurs clés prod.

Pour un TLS et une toolchain identiques à Apple avec risque credential borné dans le temps, smoke recherche d’abord sur macOS natif, puis décision hébergement Linux/Windows long terme. Mac à la journée préserve la parité console et détruit l’environnement en fin de bail. Croiser essai coût location vs local et pièges de déploiement et consigner dans le runbook.