Checklist de Hardening de 12 Pontos para OpenClaw em Produção

Você instalou o OpenClaw, configurou suas skills, está pronto pra colocar dinheiro real. Pare. Este checklist é o mínimo necessário antes de qualquer centavo entrar no jogo. Cada item aqui vem de incidentes reais — gente perdeu dinheiro pulando exatamente esses passos.

1. VPS dedicado, não desktop pessoal

Rode OpenClaw em VPS dedicado pra trading. Não no seu desktop principal junto com navegador, email, downloads aleatórios. Compartimentação é o princípio mais básico de segurança — se algo for comprometido, fica isolado.

Custo: US$ 5-10/mês. Hetzner, DigitalOcean, Vultr são opções. Comparação de VPS.

2. Usuário não-root, SSH key-only

No VPS:

• Crie usuário não-root pra rodar OpenClaw (ex: botuser)
• Configure SSH key auth, desabilite password auth
• Desabilite login root via SSH
• Instale fail2ban pra bloquear tentativas de brute force

# Setup básico
sudo adduser botuser
sudo usermod -aG sudo botuser
ssh-copy-id botuser@vps-ip
sudo nano /etc/ssh/sshd_config
# Set: PasswordAuthentication no
# Set: PermitRootLogin no
sudo systemctl restart sshd
sudo apt install fail2ban

3. Firewall (UFW) restritivo

Permita só portas estritamente necessárias:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp  # SSH
sudo ufw enable

Pra acessar OpenClaw remotamente, use túnel SSH em vez de expor porta direto.

4. API keys trade-only, sem withdrawal

O passo mais importante deste checklist inteiro. Toda API key usada por skills de exchange:

• ✅ Permita: read account info, read market data, place orders
• ❌ NUNCA permita: withdrawal, transfer entre subcontas, API key management

Mesmo que sua skill seja comprometida ou tenha bug, sem permissão de withdrawal, o atacante não consegue tirar seu dinheiro do broker.

Se a exchange permite, também:

• IP whitelist (só do IP do seu VPS)
• Expiração automática (90 dias)
• 2FA obrigatório pra operações sensíveis

5. Hot wallet com saldo mínimo

Se você usa wallets crypto (não custodial em exchange), nunca tenha mais saldo no hot wallet do que o bot precisa pra próximas 24-48h.

Estrutura recomendada:

• Hot wallet (chave acessível ao bot): saldo operacional só
• Warm wallet (chave em hardware wallet, transações manuais): reserva pra recargas
• Cold wallet (chave offline, em papel): bulk dos fundos

Detalhes: Hot wallet hygiene pra bots.

6. Kill switch acessível remotamente

Você precisa conseguir desligar o bot rapidamente de qualquer lugar — celular, qualquer dispositivo. Implementações comuns:

• Telegram bot command: /killswitch que para todo trading e cancela ordens abertas
• SSH script: ssh vps "systemctl stop openclaw"
• Webhook endpoint: URL HTTPS que ao ser chamada, mata o processo

Teste o kill switch antes de operar. Garanta que funciona em todas as situações (rede instável, etc.).

7. Position size limits hardcoded

Mesmo se sua estratégia mandar "abre posição de US$ 50K", o código deve hardcode rejeitar acima de um limite que você definiu. Limites de exemplo:

• Max posição: 5% do saldo total da conta
• Max ordens abertas simultâneas: 3
• Max perda diária: 2% do saldo (kill switch automático ao atingir)
• Max alavancagem: 3x (mesmo que exchange permita 100x)

Esses limites são guard rails — não dependa do LLM pra obedecer. Implemente como validação no código antes de qualquer ordem.

8. Skills auditadas e versionadas

• Audite código de toda skill antes de instalar (guia)
• Pin versões: nunca use "latest". Use versão específica auditada.
• Reaudite antes de atualizar versão
• Use só skills oficiais quando possível

9. Logging detalhado + monitoramento

Log tudo:

• Cada decisão do LLM com razão
• Cada ordem (intent, executed, filled, canceled)
• Cada chamada de API com response code
• Erros e warnings
• Métricas de performance (latência de API, etc.)

Logs em arquivo rotacionado + envio pra serviço externo (Telegram para alertas críticos, ou serviço como Papertrail/Loggly pra histórico).

Alertas em Telegram pra eventos importantes:

• Ordens abertas/fechadas
• Erros de API
• Saldo de hot wallet baixo
• Limite de perda diária aproximando

10. Backups offline e recovery

• Seed phrases: escritas em papel, em local físico seguro (cofre, banco). NUNCA em screenshot, NUNCA em cloud.
• Config do OpenClaw: backup encrypted pra serviço offsite
• Snapshots do VPS: weekly
• Documentação de recovery: você consegue reconstituir o setup em outro VPS em < 2h?

11. Updates de segurança aplicados

• OpenClaw atualizado pra última versão (sempre)
• Sistema operacional atualizado (apt update && apt upgrade semanalmente)
• Inscreva-se em alertas de segurança do OpenClaw project
• Subscreva CVE alerts pra dependências críticas

12. Paper trading antes de live

Antes de qualquer dinheiro real:

• 2-4 semanas mínimo em paper trading (testnet ou conta demo)
• Logs revisados linha por linha pra entender comportamento
• Edge cases testados (volatilidade alta, exchange offline, etc.)
• Kill switch testado em pelo menos 3 cenários
• Revisão final do checklist inteiro

Se você não consegue passar 2-4 semanas em paper sem grandes drawdowns, não vai com dinheiro real — vai mudar de estratégia.

A pergunta final antes de ir live

Se hoje à noite seu VPS for completamente comprometido e o atacante tiver acesso total a tudo que está rodando, qual é o seu prejuízo máximo?

• Se a resposta for "perderia tudo no broker" — você falhou no item 4 (API keys).
• Se a resposta for "perderia o que está no hot wallet só" — bom trabalho no item 5.
• Se a resposta for "alguns milhares no hot wallet, mas reserve em cold storage está seguro" — você fez o trabalho.

Esse exercício mental define se você está pronto pra ir live ou não. 🦞