2026 OpenClaw MeshMac in der Praxis: Zulip Incoming Webhook — Mehrknoten-Build-Status, Fehlerauszug und URL-Rotation wie Token-Rotation

Schmerzpunkte (drei typische Operations-Fallen)

1. Geheimnis-Splitter: Wird die Zulip-Integrations-URL auf jedem gemieteten Mac kopiert, steigt Leck-Risiko und Rotation wird zum Chaos.
2. Uneindeutige CI-Wahrheit: Zwei Runner posten gleichzeitig Zwischenstände, das Thema wirkt widersprüchlich, On-Call verliert Zeit.
3. Alarm-Sturm: Getrennte Threads für Queue-Tiefe, 429-Stürme und Build-Fehler verschleiern die eigentliche Timeline.

Architektur-Entscheid: Gateway vs. Direktpost (Kurzmatrix)

Zulip-Bot vorbereiten

In Zulip Integrationen → Incoming Webhook, Stream und Thema wählen (z. B. builds / meshmac). Die https://-URL wie ein Token behandeln. Auf dem Gateway z. B. /etc/openclaw/secrets.d/zulip/build-status.url mit 0440, Gruppe openclaw-notify — siehe Secrets und Mindestrechte. Analog: Mattermost, Webex.

Screenshot-Position: Zulip-Dialog mit Stream, Thema und unscharf geblendeter Webhook-URL für interne Runbooks.

Schrittfolge Shell (Gateway, als Dienst-UID):

sudo -u openclaw-notify -i
export ZULIP_INCOMING_WEBHOOK_URL='https://ihre-org.zulipchat.com/api/v1/external/…'
curl -sS -w "\nhttp_code:%{http_code}\n" -X POST "$ZULIP_INCOMING_WEBHOOK_URL" \
  -H 'Content-Type: application/json' \
  --data-binary '{"content":"**OpenClaw-Probe** — Gateway-Egress OK"}'

URL-Rotation (analog zu Token-Rotation): neue Integration in Zulip erzeugen, Secret-Datei auf dem Gateway atomar tauschen, Dienst neu laden, einzeilige Probe, alte URL in Zulip widerrufen — Runbook-Zeile neben IM-Benachrichtigungen und Token-Rotation.

Gateway-Ausgangs-Whitelist

Ein OpenClaw-Prozess postet zu Zulip. Worker schreiben build_finished in die Queue (Queue-Sync), nicht direkt nach außen. Firewall: TCP 443 nur vom Gateway-Subnetz zum Zulip-Host; Builder-Subnetze sperren. TLS-Inspection: gleiches CA-Bundle; Logs ohne volle URLs.

Screenshot-Position: eine Firewall-Zeile „Gateway-VLAN → zuliphost:443 ALLOW“ und „Builder-VLAN → zuliphost DENY“.

DNS und SNI prüfen (Gateway):

dig +short ihre-org.zulipchat.com
echo | openssl s_client -connect ihre-org.zulipchat.com:443 -servername ihre-org.zulipchat.com 2>/dev/null | head -n 8

Nachrichtenvorlage

Normalisieren: workflow, state, branch, commit, run_url, mesh_node_id, provider_run_id, optional failure_excerpt. Zulip-Feld meist content — dem Integrationsbeispiel folgen. Kleine Nutzlast; Timeouts siehe Rate-Limits.

Mehrknoten-Zusammenfassung (Markdown-Beispiel):

**CI** `ios-nightly` → **fehlgeschlagen** · `main` @ `a1b2c3d`
**Knoten** `meshmac-pool-3` · **Lauf** [#1842](https://ci.example/runs/1842)
**Auszug**
\`\`\`
error: no space left on device
\`\`\`

Screenshot-Position: Zulip-Webclient mit Stream, Thema und eingeklapptem Codeblock.

Fehler-Retry und Idempotenzschlüssel

Bei 429/5xx: Backoff mit Jitter, Retry-After, serialisierte Posts — siehe Task-Queue-Retries, Backpressure. Idempotenz: sha256(provider_run_id:state), Dedupe-Fenster 24–72h.

Screenshot-Position: Gateway-Logzeile mit http_code:200 und Cache-Hit „duplicate skipped“.

Zusammengeführte Health-Probe-Alarme

Sonde, Queue-Tiefe und Webhook-Fehler mergen: eine Ops-Nachricht mit **[ops]** im Stream incidents, Cooldown 5–15min. Failover: Cluster-Failover, kein Doppel-Post.

Cron-taugliche Mindestsonde (Dienst-UID, URL nicht loggen):

TS=$(date -u +%Y-%m-%dT%H:%M:%SZ)
BODY=$(printf '%s' "{\"content\":\"**[ops-probe]** ${TS}\"}")
/usr/bin/curl -fsS -m 15 -X POST "$ZULIP_INCOMING_WEBHOOK_URL" \
  -H 'Content-Type: application/json' \
  --data-binary "$BODY" \
  || logger -t openclaw-zulip-probe "probe_failed"

Zitierfähige Betriebswerte (drei harte Zahlen)

• Secret-Datei: POSIX-Modus 0440, keine Welt-Leserechte.
• Dedupe-Fenster: typisch 24–72 Stunden für terminale CI-Zustände.
• Sonde: curl-Timeout 15 Sekunden, Cooldown 5–15 Minuten für gemergte Ops-Nachrichten.

Go-Live-Checkliste (fünf Häkchen)

• Gateway-curl liefert HTTP 200 und sichtbare Zulip-Zeile.
• Worker senden nur terminale Übergänge; Dedupe liegt am Gateway.
• Firewall: Zulip 443 nur vom Gateway-Subnetz.
• Rotations-Runbook mit Owner, Probe-Befehl, Revoke-Schritt.
• Health- und Zustellfehler mergen unter Cooldown.