01. Три класса боли

1) Нет web_search в палитре: чаще модель ни при чём—профиль агента / plain-capability bundle не отдаёт web retrieval, либо skill установлен, но после перезапуска шлюза не перерегистрирован. Следуйте слоям консоли Skills 3.24: зафиксируйте UI, манифест плагина и таблицу инструментов до правок JSON.

2) Инструмент есть, но 401/403/429: Brave Search и Tavily ожидают ротируемые API-ключи и явный egress. Корпоративные прокси с MITM на api.search.brave.com или Tavily выглядят как размытые таймауты. До переписывания openclaw.json выполните минимальный curl от того же Unix-пользователя, что и шлюз.

3) «Вчера искало» после патча: регистрация инструментов и ABI плагинов могут разъехаться с минорными версиями Node или кэшем. Заморозьте одну цепочку установки (статья v2026.4.5), перезапустите чисто, при необходимости закрепите тег—не смешивайте npm-шлюз на хосте и контейнерный во время триажа.

02. Сравнение провайдеров

Таблица помогает за меньше чем десять минут выбрать цепочку поставки поиска; точные имена полей — в release notes, здесь — операционные границы. Если инструменты пересекают границы одобрения, читайте MCP и безопасность.

Измерение	Brave Search API	API в духе Tavily	Self-hosted SearXNG
Онбординг и биллинг	Ключи в консоли; бесплатные уровни часто ~2 000 запросов/мес (проверить)	Тарификация за вызов; удобно для burst-экспериментов	Выше стоимость ввода, окупается со временем
Комплаенс и резидентность	ToS/логирование; запросы могут уходить из сети	Та же осторожность при интранет-именах в промптах	Можно держать запросы внутри VPC
Связка с OpenClaw	Строка provider в `tools.web.search` + ротация ключа	Похоже; высокая температура модели умножает QPS	Часто нужны MCP или свои HTTP-обёртки
Посуточный Mac	Удобно для «ключ жив, шлюз не вызывает»	Полезно для учений по квотам/breaker	Моделирует внутренние DNS/сертификаты

03. Триаж симптомов

Разделите «не может искать» на невидимо, видно но сломано, нестабильно, чтобы не крутить JSON бесконечно. Публичные шлюзы утекают и ключами, и текстом запроса—перед прод-триажем прочитайте токен шлюза и SecretRef.

Симптом	Сначала проверить	Доп. чтение
Нет web_search в UI	Allowlist возможностей агента, переключатели skills, старый PID шлюза	Консоль Skills
401/403 на вызове	Ключ в верном окружении, сдвиг часов, смешанные аккаунты	FAQ команд
429 или рваные таймауты	Квота, прокси, DNS, шторм параллельных инструментов	Управление нагрузкой и маршрутизацией

04. Пять шагов

Зафиксировать версию и цепочку: записать openclaw --version, мажор Node, кто поднимает шлюз—как в статье v2026.4.5; в триаже не прыгать между npm и контейнером.
Запустить doctor и сохранить фрагменты: вывод приложить к тикету; при TLS—curl вне OpenClaw, сопоставить строки с FAQ.
Минимальный блок tools.web.search: один провайдер, один ключ, права только у пользователя шлюза—секреты не в чат.
Перезапуск шлюза и одноходовый смоук: тяжёлые skills отключить, оставить поисковые инструменты, задать фактический вопрос с необходимостью выборки.
Откат бинарным поиском: последний рабочий тег, diff списков плагинов и конфига; последовательность занести в обновление / миграция / откат для аудита.

# Минимальная диагностика (пути подстроить)
openclaw --version
openclaw doctor
grep -n "web" ~/.openclaw/openclaw.json
curl -sS -o /dev/null -w "%{http_code}\n" "https://api.search.brave.com/res/v1/web/search?q=test"
lsof -i :18789 | head

В Linux для слушателей — ss -lntp; в Windows — статья doctor про разделение home WSL и PowerShell.

05. Метрики и мифы

Метрика 1: в выборках 2026 года около 40–55 % отчётов «инструмент сломан» оказались конфиг не перечитан / шлюз не перезапущен / раздвоенный PATH—до настройки модели гоняйте минимальный смоук.
Метрика 2: типичный бесплатный уровень Brave — порядка двух тысяч запросов в месяц (подтвердить в консоли); агрессивные повторные запросы дают 429 за минуты, а не 401.
Метрика 3: держать прод-ключи поиска только на посуточном эфемерном macOS, без секретов Brave/Tavily на ноутбуке — распространённая оценка снижения утечек по побочным каналам (история shell, скриншоты, общий VNC) примерно на порядок относительно долгой локальной отладки (не юридическая гарантия).

Миф A: сильные модели заменяют web_search—галлюцинации на волатильных фактах. B: глобальный export ключей чинит launchd—нет интерактивной shell. C: Docker всегда изолирует—плохие тома сливают .env хоста в логи.

Связь: FAQ SSH/VNC; железо: тарифы bare-metal macOS; удалёнка: руководство по удалённому доступу.

tools.web.search + Skills: возможны двойная регистрация и несовпадение имён—начните с одной цепочки, вторую добавляйте после логирования задержек и HTTP. Автоодобрения вязать к интеграции MCP.

Ротация ключей: в тот же день, что пароли БД, документируйте кто создаёт/крутит/отзывает ключи. При SecretRef и лимитах расхода добавьте QPS поиска в бюджетные алерты.

Корпоративная TLS-инспекция: без корпоративных корней в trust store Node — непрозрачные TLS-ошибки. Пробуйте curl/node от пользователя шлюза, сравнивайте бандлы доверия контейнера и хоста, не тащите частные корни на арендованные машины.

429: экспоненциальный backoff и лимиты параллелизма вместо повышения temperature; сочетать с fallback-маршрутизацией из статьи по governance.

Windows/WSL: правка openclaw.json в Windows при чтении копии в WSL — классика «файл изменился, процесс не подхватил». Нормализуйте home через гайд doctor Windows.

Репетиция посуточной аренды: аренда → одна пользовательская цепочка установки → doctor → минимальная поисковая конфигурация → смоук → экспорт замаскированных логов → выключение. Вместе с подводными камнями, без ключей в общем буфере VNC.

Порядок триажа: видимость → auth (401/403) → квота/сеть (429) → версия/ABI плагина; всегда прикладывайте логи doctor и шлюза для сопоставления с FAQ.

06. Linux/Windows против аренды Mac

Чистый headless Linux или ноутбуки с тяжёлым Docker Desktop подходят для CI-зондов, но часто дают раздельные home, разные хранилища доверия и медленное совмещение консоли браузера с логами шлюза. Используйте как краткую площадку проверки, не как единственный дом для нескольких прод-ключей поиска.

Если нужны TLS и поведение toolchain как у Apple с ограничением риска учётных данных по времени, сначала прогоните поисковый смоук на нативном macOS, затем решайте долгий хостинг на Linux/Windows. Посуточный Mac сохраняет паритет консоли и уничтожает среду в конце аренды. Сочетайте пробу стоимости аренда vs локально и риски развёртывания, фиксируя итог в runbook.