2026 OpenClaw MeshMac in der Praxis: YouTrack Webhook — minimale Schritte für Mehrknoten-Build-Status-Broadcast, Fehlerzusammenfassung per REST und Token-Rotation

Webhook-Konfiguration (YouTrack)

Hängen Sie im Zielprojekt Webhook Triggers an: erzeugen Sie einen langen zufälligen webhook token (z. B. openssl rand -hex 32), legen Sie den Header-Namen fest (üblich X-YouTrack-Token) und tragen Sie ausschließlich eine HTTPS-URL Ihres Gateways ein — typisch POST https://gateway.example/youtrack/webhook. Starten Sie mit schmalen Ereignissen (z. B. issueUpdated oder ein klarer Workflow-Übergang in einen „Build läuft“-Status), bevor Sie die Trigger-Fläche verbreitern; so bleiben Logs und Queue ohne unnötigen Rauschen.

1. Schritt 1: Alle URLs zeigen auf ein Gateway — nicht auf einzelne Macs. Neue Kapazität entsteht durch interne Worker, nicht durch neue öffentliche Endpunkte in YouTrack.
2. Schritt 2: Dokumentieren Sie Verantwortliche für Trigger und Geheimnisse; Feiertags- und Contractor-Wechsel sind typische Lücken, in denen Rotationen stehen bleiben.
3. Schritt 3: Nutzen Sie die JSON-Nutzlast: event, timestamp, id, numberInProject, summary, project.shortName; bei issueUpdated filtern Sie sinnvoll über changedFields, bevor Sie einen Build einplanen.

Signatur- bzw. Token-Prüfung am Gateway

Anders als Plattformen mit HMAC über den Rohbody transportiert YouTrack hier typischerweise einen gemeinsamen geheimen Token im HTTP-Header. Ihre „Signaturprüfung“ ist die zeitkonstante String-Vergleichsoperation zwischen konfiguriertem Header und gespeichertem Geheimnis — bevor Sie JSON parsen, damit gefälschte Anfragen keine teure Deserialisierung erzwingen.

1. Schritt 4: Token-Datei mit restriktiven Rechten (z. B. Modus 0440), nur für den Gateway-Prozess lesbar — gleiche Hygiene wie bei ausgehenden Chat-Webhooks.
2. Schritt 5: Bei Mismatch 401 zurückgeben; Logs ohne Klartext-Token, höchstens Korrelation und Header-Länge.
3. Schritt 6 (optional): IP-Allowlist für bekannte YouTrack-Ausgänge, privater Relay oder mTLS im internen Umfeld reduzieren Brute-Force-Risiko in geteilten VPCs.
4. Schritt 7: 200 OK erst, wenn die persistente Enqueue-Transaktion committed ist — sonst erzeugt YouTrack-Retry „Geister-Builds“, obwohl Sie bereits positiv geantwortet haben.

Mehrknoten-Routing und gemeinsame Queue

Behandeln Sie jeden MeshMac-Knoten als austauschbaren Worker: das Gateway hält Vertrauen nach außen, die Knoten halten Xcode, Caches und Codesigning-Umgebung. Aus dem Webhook wird ein schlankes Task-Objekt (Issue-Referenz, Git-Ref, Skriptname, Anforderer, idempotency_key) in eine von allen Knoten gemeinsam genutzte Queue geschrieben — konsistent mit dem Muster in Deploy und Task-Queue-Sync.

1. Schritt 8: Nach erfolgreichem Enqueue sofort antworten, damit YouTrack keine aggressiven Wiederholungen startet.
2. Schritt 9: Chat-Broadcast-URLs und Templates bleiben zentral am Gateway; verhindern Sie, dass jeder Knoten eigene Webhooks ins Team-Chat feuert — sonst kollidiert Dedupe und Lesbarkeit.
3. Schritt 10: Wenn dasselbe Ticket parallel eine Cloud-CI auslöst, trennen Sie Bahnen und Prioritäten (Labels, Queues), damit Codesigning-Identitäten und Ressourcen nicht gegeneinander arbeiten.

Retries, Backoff und REST-Zusammenfassung

Trennen Sie inbound (YouTrack → Gateway) und outbound (Gateway → Chat-Webhook, YouTrack-REST). Inbound: nach erfolgreichem Queue-Write schnell 200, damit der Trigger ruht; wenn die Queue nicht persistiert werden kann, bewusst 5xx, damit YouTrack mit Abstand erneut versucht. Outbound: auf 429 und 5xx exponentielles Backoff mit vollem Jitter und einer harten Versuchsobergrenze; deduplizieren Sie Broadcasts mindestens über ein Stundenfenster mit idempotency_key und Zustand — Details und Schwellen finden Sie in Task-Queue und Retries.

Fehlertexte für Menschen gehören in YouTrack per REST als kurzer Kommentar: Status-Emoji oder Symbol, kurzer SHA, mesh_node_id, eine Zeile Test- oder Log-Ende, Link zum Artefakt — maximal etwa fünf Zeilen. Wenn Chat und Tracker nach der Backoff-Obergrenze weiter stumm bleiben, eskalieren Sie über IM-Alarme und Token-Bindung, damit der Notify-Loop nicht unbemerkt bricht.

Token-Rotation (Inbound und Outbound)

1. Webhook-Inbound: neuen Token erzeugen → im Gateway deployen → in YouTrack eintragen → mit synthetischem Ticket testen → alten Wert aus Backups und Config entfernen.
2. REST-PAT: im Hub minimal scoped neu anlegen, beide Token kurz parallel akzeptieren (ca. 15 Minuten), Gateway neu laden, dann altes PAT löschen.
3. Prozess: quartalsweise Review; bei Outsourcing und Gerätewechsel denselben Rhythmus wie für SSH-Schlüssel einplanen, sonst driftet das Mehrknoten-Netz auseinander.

FAQ