OpenClaw tourne sur un Mac distant, mais les réponses restent « hors ligne » tant que la recherche Web intégrée n’est pas correctement câblée. En 2026, web_search couvre l’exploration large, web_fetch les URL uniques, avec repli Firecrawl sur pages JS lourdes. Ce guide complète les approbations v2026.3.28 et le MCP navigateur, en ciblant fournisseurs, ordre d’activation, clés, allowlists, /approve, 429/résultats vides, journaux et une checklist VNC. Si la recherche marche mais l’agent se tait : silence / no-reply et launchd.
Collage de docs, 429 après démo, « web search disabled » malgré .env : la solution est une séquence (doctor → configure → env launchd → allowlist → test canal → approbations → réduction de charge), pas un seul interrupteur.
Public & périmètre
Pour équipes qui exploitent OpenClaw en production sur macOS et veulent une recherche Web fiable—ce n’est pas un guide de première installation.
Dès que la recherche devient critique, versionnez la configuration, tracez le profil d’agent actif et prévoyez un rollback avec allowlist plus stricte.
Points de friction et périmètre
- Confusion d’outils: Le MCP pilote Chrome réel ; la recherche intégrée appelle des API. Sans frontière, coût et citations doublonnent.
- Dérive d’allowlist: Sans
web_searchougroup:web, hallucinations. - Secrets: Export shell seul ≠ process Gateway launchd.
- Blocages d’approbation:
requireApprovalpeut bloquer jusqu’à /approve. - Quota: 429 souvent = sous-agents parallèles.
- Résultats vides: Filtres stricts → HTTP 200 sans lignes.
- Trous d’observabilité: Si seuls les transcripts modèle existent, les statuts HTTP outil manquent. Activez des traces Gateway/outil avec fournisseur, latence et code avant de changer de vendor.
- Clés partagées multi-env: Staging + prod avec la même clé rendent les 429 intraçables. Séparez les clés et étiquetez le trafic canary.
Journaux, politiques, runbooks qui survivent aux upgrades
Séparer web_search, web_fetch et crawls de secours
« La recherche est cassée » peut être un timeout de fetch, une inspection TLS ou un quota Firecrawl. Prenez un ID de conversation ou de requête et suivez fournisseur, code HTTP, relances et parallélisme côté modèle. Mélanger les traces de sous-agents fait souvent prendre un 429 pour un problème d’auth.
Egress d’entreprise et DNS déguisés en quotas
DNS scindé, portail captif et inspection TLS produisent des corps vides en HTTP 200 ou des latences extrêmes. Documentez la sortie réseau du Gateway à côté de la matrice fournisseurs ; en VNC, testez Safari ou curl dans le même contexte utilisateur que le service. SSH interactif et launchd n’ont pas toujours les mêmes proxys.
Ordre du runbook : env du PID → diff allowlist → replay minimal → parallélisme
Vérifiez d’abord l’environnement du PID Gateway, comparez l’allowlist effective aux notes de version, rejouez la requête minimale hors LLM si possible, puis réduisez la parallélisation. Après upgrade, il manque souvent group:web pendant qu’on fait tourner les clés inutilement.
Garde-fous coût/sécurité au-delà du tableau de bord
Les tableaux mensuels masquent les rafales. Ajoutez plafonds côté orchestration : parallélisme max par conversation, déduplication des requêtes proches, mode « pas de recherche » pour canaux sensibles. Consignez la raison dans SOUL/MEMORY.
Matrice fournisseurs (indicative)
| Modèle | Quand | Risques |
|---|---|---|
| Brave Search (défaut courant) | Recherche générale, vie privée | Plafonds, citations |
| Tavily etc. | JSON structuré | Payant, domaines |
| Style Perplexity | Réponses avec liens | Coût, conformité |
| Clés Gemini/Google | Facturation Google AI | Pas de clés en repo |
| Firecrawl sur fetch | URL unique, anti-bot | Budget séparé |
| Bing / API SERP larges | Liens bleus classiques ou SERP régionales | Conformité, cache ; SERP brute parfois interdite |
| Retrieval maison / index intranet | Recherche publique bloquée ou offline | Vous portez fraîcheur, SLO et embeddings—ce n’est pas « gratuit » |
Neuf étapes d’activation
Baseline doctor
openclaw doctor—archiver web/search/tools + version.
Section web
openclaw configure --section web ou JSON.
Secrets comme le démon
Variables dans plist/service ; test reboot.
Allowlist
web_search + web_fetch si besoin.
Canari sur le canal
fait public, latence logs.
Approbations
before_tool_call via UI native.
Triage ordonné
401/403, 429, timeout, JSON vide, TLS.
Paquet de repro
Journaux masqués, extrait tools.web sans secrets, résumé allowlist par incident pour comparer après upgrade.
Mode dégradé documenté
Textes lecture seule ou recherche limitée, sous-agents coupés, modèle plus petit si autorisé—écrit, pas improvisé.
Repères opérationnels
Avant d’ouvrir un ticket
- Doctor output archived with version
- Provider block present in JSON or wizard transcript
- Effective allowlist contains web tools
- Secrets visible to the running Gateway process
- Canary query reproduced from the same channel users rely on
VNC Mac distant : console & droits
Ouvrir l’UI Gateway sur le Mac, tail SSH en parallèle. Vérifier MITM, companion barre de menus. Consentements réseau/automation en session graphique.
Ouvrez Trousseau ou l’UI secrets en session graphique pour vérifier que les identifiants référencés par le plist existent et ne sont pas expirés. Séparez tests Terminal locaux et service prod—deux contextes navigateur évitent les fausses preuves de connectivité.
Articles liés
Approbations : plugin. Navigateur : MCP. Silence : no-reply. Daemon : launchd.
FAQ
- UI toujours disabled ? Allowlist, bloc provider, env Gateway.
- Firecrawl si search OK ? Souvent pour
web_fetch. - 429 sans changer vendor ? Parallélisme + backoff.
- MCP plus sûr ? Modèle de menace différent.
- Résultats différents laptop vs Mac distant ? DNS, PAC, langue/région, IPv6. Reproduisez sur l’hôte Gateway.
- Mettre en cache les SERP ? Seulement avec politique de rétention conforme ; TTL courts et métadonnées fournisseur.
Conclusion
Les VM Linux/headless masquent consentements et consoles et favorisent des tests de connectivité dans le mauvais contexte utilisateur. VNC sur macOS réel relie clés, Gateway et overlays—précieux dès que les approbations, le trousseau ou le debug navigateur interviennent. Pour essais courts, un Mac VNC VNCMac avec checklists liées bat souvent la chasse aux logs fragmentés sur un hôte inadapté.