Шифровани копия на OpenClaw: архивиране по график

01Какво ще научиш

• Къде OpenClaw всъщност държи състоянието си и кое от него си струва да се копира.
• Защо копието на живите файлове е опасно и как вградената команда го решава.
• Как да шифроваш копията така, че машината да може да ги прави, но не и да ги чете.
• Как да пуснеш нощно копие със systemd таймер (и с cron или планировчика на Windows).
• Как да пазиш копията по ясно правило — колко, къде и докога.
• Как да репетираш възстановяването, без да пипаш живата инсталация.

02Преди да започнеш

• Минал си Обучение 3: OpenClaw 🔒 локално е инсталиран, а openclaw gateway status показва работещ Gateway.
• Ubuntu на WSL2 (или друг Linux). За график със systemd — включен systemd в WSL (стъпка 6).
• Командата openclaw backup е в издание 2026.9.7 (последното към 01.10.2026, изисква Node.js 24.16+ или 26.1+). Провери при себе си: openclaw backup --help. ⚠️ От кое издание насам командата съществува, не сме установили — ако липсва, обнови OpenClaw.
• Инструментът age за шифроване: sudo apt install age ⚠️ (пакетът е в хранилищата на Ubuntu; ако не се намира, свали изданието от страницата на проекта).
• Мениджър на пароли (или друго място извън тази машина), където ще пазиш ключа за разшифроване. Без него копията са безполезни.
• Свободно място: архивът е колкото състоянието плюс работното пространство. Виж размера със стъпка 2.

03Стъпки

1. Къде живее състоянието на OpenClaw

   Според официалната документация OpenClaw пази същественото в SQLite: една обща база и по една база на всеки агент. Настройките са във файл openclaw.json. Защо е важно? Защото старият ни урок копираше „папка“, а истинското състояние са бази, които се пишат, докато Gateway работи.

   Какво	Къде (по подразбиране)	В архива?
   Състояние и бази (обща + по агент)	~/.openclaw (сменя се с OPENCLAW_STATE_DIR)	да — като безопасна онлайн снимка
   Настройки	~/.openclaw/openclaw.json (сменя се с OPENCLAW_CONFIG_PATH)	да, заедно с включените $include файлове
   Достъпи и профили за вход	в състоянието (папка credentials/ и базите)	да — най-чувствителното
   Работно пространство на агента	обикновено ~/.openclaw/workspace	да; пропуска се с --no-include-workspace
   Инсталирани програми (~/.npm-global, node_modules на разширенията)	—	не — преинсталират се

   Ако в openclaw.json има тайни, OpenClaw запазва в копието написаното от теб (вкл. заместители като ${ПРОМЕНЛИВА}), не „разрешените“ стойности — но другите файлове в архива пак могат да са чувствителни.

2. Пробен пуск на вградената команда

   Първо виж какво би влязло, без да пишеш нищо:

   bash · в Ubuntu (WSL2)копирай

   openclaw backup create --dry-run --json

   Отговорът изброява източниците (състояние, настройки, агенти, работно пространство) и какво се пропуска. После направи истински архив в частна папка — извън ~/.openclaw и извън работното пространство, иначе OpenClaw отказва (за да не копира себе си):

   bashкопирай

   mkdir -p ~/openclaw-backups-test && chmod 700 ~/openclaw-backups-test
   openclaw backup create --output ~/openclaw-backups-test --verify
   ls -lh ~/openclaw-backups-test

   --verify проверява архива веднага след записа. Файлът е с име от вида ДАТА-openclaw-backup.tar.gz, а вече съществуващ файл никога не се презаписва. Това е вече нешифрован архив с тайни — след проверката го изтрий (rm -r ~/openclaw-backups-test), за да не стои.

   💡

   По-малък или по-бърз архив

   --no-include-workspace пропуска работното пространство (агентите и базите остават); --only-config записва само файла с настройки — и то без включените $include файлове, затова не е пълно възстановяване. Най-полезен е, когато настройките са повредени и първо искаш да ги запазиш.

3. Ключ за шифроване с age

   Идеята: на машината стои само публичният ключ — с него се шифрова, но не се чете. Частният ключ (идентичност) стои другаде. Така, дори ако някой вземе копията и машината, не разчита архивите без частния ключ.

   bashкопирай

   mkdir -p ~/.config/openclaw-backup && chmod 700 ~/.config/openclaw-backup
   age-keygen -o ~/.config/openclaw-backup/identity.txt
   age-keygen -y ~/.config/openclaw-backup/identity.txt > ~/.config/openclaw-backup/recipients.txt
   cat ~/.config/openclaw-backup/recipients.txt

   Първата команда създава двойката и печата публичния ключ (започва с age1…). Втората го записва във файл за получатели. Сега:

   1. Препиши съдържанието на identity.txt в мениджъра на пароли.
   2. После премахни файла от тази машина (или го премести на външен носител). Трябва ти само при възстановяване.
   3. Файлът recipients.txt остава на машината — той е безопасен.
   ✅

   Без частния ключ няма връщане

   age не може да „възстанови“ загубен ключ. Провери, че в мениджъра на пароли има записано копие, преди да го махнеш от машината.

4. Скриптът за копие

   Един малък скрипт прави всичко: архив → шифроване → ротация. Поставяме го в ~/bin. Най-важното в него: umask 077 (файловете са само за теб), временна папка със сигурни права, шифроване преди файлът да отиде където и да е, и запис с окончателно име едва накрая (недовършено копие не прилича на готово).

   bash · ~/bin/backup_openclaw.shкопирай

   #!/usr/bin/env bash
   # backup_openclaw.sh: encrypted OpenClaw backup with retention
   set -euo pipefail
   umask 077
   
   RECIPIENTS="${RECIPIENTS:-$HOME/.config/openclaw-backup/recipients.txt}"  # age PUBLIC key
   DEST_DIR="${DEST_DIR:-$HOME/openclaw-backups}"
   KEEP="${KEEP:-14}"     # how many encrypted archives to keep
   
   [ -r "$RECIPIENTS" ] || { echo "missing recipients file: $RECIPIENTS" >&2; exit 1; }
   mkdir -p "$DEST_DIR"
   chmod 700 "$DEST_DIR"
   
   STAGE="$(mktemp -d)"   # private temp dir, outside the OpenClaw state
   trap 'rm -rf "$STAGE"' EXIT
   
   # 1. official archive: state + config + credentials + agents, verified after writing
   openclaw backup create --output "$STAGE" --verify
   
   ARCHIVE="$(find "$STAGE" -maxdepth 1 -type f -name '*.tar.gz' | head -n 1)"
   [ -n "$ARCHIVE" ] || { echo "no archive produced" >&2; exit 1; }
   
   # 2. encrypt BEFORE the file goes anywhere else
   OUT="$DEST_DIR/$(basename "$ARCHIVE").age"
   age -R "$RECIPIENTS" -o "$OUT.partial" "$ARCHIVE"
   mv "$OUT.partial" "$OUT"
   
   # 3. retention: keep the newest $KEEP encrypted archives
   ls -1t "$DEST_DIR"/*.tar.gz.age 2>/dev/null | tail -n +"$((KEEP + 1))" | xargs -r rm --
   
   echo "ok: $OUT"

   bashкопирай

   mkdir -p ~/bin                 # после запиши скрипта в ~/bin/backup_openclaw.sh
   chmod 700 ~/bin/backup_openclaw.sh
   ~/bin/backup_openclaw.sh

   Ако всичко е наред, виждаш ok: …/…-openclaw-backup.tar.gz.age. Провери трите неща, които ни интересуват:

   bash · проверкакопирай

   ls -l ~/openclaw-backups                   # файлове с права -rw-------, само *.age
   ls -d /tmp/tmp.* 2>/dev/null               # не трябва да е останала временна папка
   # пробно разшифроване (ползва частния ключ — донеси го за момент):
   age -d -i /път/до/identity.txt ~/openclaw-backups/<файл>.age | tar -tz | head

   ⚠️

   Временният архив е нешифрован — докато трае скриптът

   Между стъпка 1 и 2 архивът е нешифрован във временната папка (права 700, изтрива се при излизане, дори при грешка). Това е приемливо на машина, на която вярваш; ако не — сложи TMPDIR на папка върху шифрован диск.

5. Ротация: колко копия пазим

   Правилото е в последния ред на скрипта и е по брой: пази се най-новите KEEP шифровани архива (по подразбиране 14 — две седмици ежедневни копия). Защо не „трий всичко по-старо от N дни“? Защото ако копията тихо спрат (счупен график, пълен диск), след N дни ще изтриеш и последните работещи. Проба — с малко число:

   bashкопирай

   for i in 1 2 3 4 5; do KEEP=3 ~/bin/backup_openclaw.sh; done
   ls ~/openclaw-backups | wc -l              # трябва да покаже 3

   След проверката (с пробните копия) изтрий излишните на ръка — те са твои, не на скрипта.

   Къде	Правило (предложение)	Как
   На машината	последните 14 шифровани архива	скриптът (KEEP=14)
   Извън машината (по избор)	колкото ти е нужно за „връщане назад“, напр. 30 дни или 7 дневни + 4 седмични + 6 месечни	правило на хранилището или restic forget (по-долу)
   Проба за възстановяване	веднъж месечно	стъпка 8

   Сигурността е част от срока. Старо копие съдържа старите достъпи. Когато смениш ключ на канал или доставчик, или заподозреш изтичане, сменяш достъпите и унищожаваш копията, които ги съдържат. Числата в таблицата са предложение — реши ти колко назад искаш да можеш да се върнеш.

6. График: systemd таймер (и варианти)

   Вариант А — systemd (препоръчан). В WSL2 systemd не е винаги включен. Провери в Ubuntu: systemctl --user status. Ако не работи, добави във файла /etc/wsl.conf:

   ini · /etc/wsl.conf (с sudo)копирай

   [boot]
   systemd=true

   После от PowerShell на Windows изпълни wsl --shutdown и отвори Ubuntu отново. След това две малки единици — услуга (какво се пуска) и таймер (кога):

   bash · създава двата файлакопирай

   mkdir -p ~/.config/systemd/user
   
   cat > ~/.config/systemd/user/openclaw-backup.service <<'EOF'
   [Unit]
   Description=Encrypted OpenClaw backup
   
   [Service]
   Type=oneshot
   Environment=PATH=%h/.npm-global/bin:/usr/local/bin:/usr/bin:/bin
   ExecStart=%h/bin/backup_openclaw.sh
   EOF
   
   cat > ~/.config/systemd/user/openclaw-backup.timer <<'EOF'
   [Unit]
   Description=Nightly encrypted OpenClaw backup
   
   [Timer]
   OnCalendar=*-*-* 02:30:00
   Persistent=true
   RandomizedDelaySec=10min
   
   [Install]
   WantedBy=timers.target
   EOF
   
   systemctl --user daemon-reload
   systemctl --user enable --now openclaw-backup.timer
   systemctl --user list-timers

   Persistent=true значи: ако машината е била изключена в 02:30, копието се прави при следващото включване. Редът с Environment=PATH=… е нужен, защото услугите на systemd не наследяват пътищата на твоя терминал — сложи там папката, където е openclaw (провери с command -v openclaw). Резултатите гледаш с journalctl --user -u openclaw-backup.service. За да работят потребителските таймери и без отворена сесия, може да е нужно loginctl enable-linger "$USER" ⚠️ (не сме го проверявали специално за WSL).

   ⚠️

   WSL2 спи, когато никой не го ползва

   Таймерът работи само докато Ubuntu е пуснат. Persistent=true наваксва при следващото стартиране, но ако искаш копие „в 02:30 на всяка цена“, използвай вариант В.

   Вариант Б — cron. Редактирай с crontab -e (а в WSL2 cron трябва да е пуснат: sudo service cron start):

   cronкопирай

   PATH=/home/<user>/.npm-global/bin:/usr/local/bin:/usr/bin:/bin
   30 2 * * * /home/<user>/bin/backup_openclaw.sh >> /home/<user>/openclaw-backups/backup.log 2>&1

   Провери с crontab -l, а след първия пуск — с tail -n 20 ~/openclaw-backups/backup.log.

   Вариант В — Планировчик на Windows, който буди Ubuntu и пуска скрипта (wsl -l -v показва името на дистрибуцията):

   PowerShellкопирай

   schtasks /Create /SC DAILY /ST 02:30 /TN "OpenClaw-Backup" /TR "wsl.exe -d Ubuntu-24.04 -- /home/<user>/bin/backup_openclaw.sh"

   ⚠️ Кавичките и пътят през schtasks не са проверени на живо — прегледай задачата в „Task Scheduler“ и я пусни веднъж на ръка.

   🧩

   Вграденият график на OpenClaw — друго нещо

   openclaw backup enable --repository <папка> --every 24h пуска график, притежаван от Gateway, но той записва само базите данни в git хранилище (дамп по таблици), не целия архив с настройки и работни пространства. С --push по подразбиране пропуска таблиците с достъпи, а за да тръгне, хранилището първо трябва да има отдалечен origin (openclaw backup git init --repository <папка> --remote <адрес>). Спира се с openclaw backup disable. Полезен допълнителен слой, не замяна на този урок. След време openclaw status показва ред „Backups“, а openclaw doctor предупреждава, ако няма успешно копие от над 14 дни ⚠️ (това не го потвърдихме при повторната проверка на документацията).

7. Копие извън машината (по избор)

   Копие само на същия диск не пази от повреда или кражба. Тъй като вече всичко е шифровано, можеш спокойно да го пратиш на отдалечено хранилище 🌐 извън машината (S3-съвместимо, WebDAV и други, които rclone поддържа). Настройката на самото хранилище е отделна работа: rclone config → n) New remote → име (напр. remote) → тип (напр. webdav или s3) → адрес и данни за вход; пробата е rclone mkdir remote:openclaw-backups и rclone lsd remote:. Подробностите за всеки тип са в документацията на rclone. Инсталирай го от пакетите на Ubuntu (sudo apt install rclone) или по официалните указания, не с curl … | sudo bash на сляпо. Качваме само шифрованите файлове:

   bashкопирай

   rclone copy ~/openclaw-backups remote:openclaw-backups --include "*.tar.gz.age"

   remote: е името на хранилището, което си задал с rclone config. rclone copy не трие нищо на отсрещната страна — срокът там се урежда от правилата на хранилището.

   Вариант с restic. restic е самостоятелна програма за копия, която шифрова и сама. Ако предпочиташ нея пред age, в скрипта замени частите „шифроване“ и „ротация“ (коментари 2 и 3) с долните команди. Паролата на хранилището е във файл с права 600 (chmod 600), не в самата команда:

   bash · resticкопирай

   export RESTIC_REPOSITORY=/път/до/хранилище-или-remote
   export RESTIC_PASSWORD_FILE=~/.config/openclaw-backup/restic-pass.txt
   
   restic init
   restic backup "$STAGE" --tag openclaw            # вместо age: $STAGE е папката на архива
   restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune
   restic check
   restic restore latest --target ~/restore-work/restic

   Честно за ползата: всеки архив е ново компресирано цяло, затова restic спестява малко място тук (документацията на OpenClaw също отбелязва, че подобни инструменти пак четат пълните копия). Предимството му е вграденото правило за срок (forget) и проверката (check).

8. Възстановяване — и репетиция

   Възстановяването е нарочно „бавно и явно“: OpenClaw никога не пише върху живото състояние. Извлича копието в нова празна папка, а включването е отделна ръчна стъпка. Направи го веднъж сега, докато всичко работи — така знаеш, че ключът и копията са годни.

   bash · 1. разшифрова и проверикопирай

   mkdir -p ~/restore-work && chmod 700 ~/restore-work
   ls -1t ~/openclaw-backups/*.age | head -n 3
   age -d -i /път/до/identity.txt -o ~/restore-work/openclaw-backup.tar.gz ~/openclaw-backups/<файл>.age
   openclaw backup verify ~/restore-work/openclaw-backup.tar.gz

   bash · 2. извлечи в НОВА папка (репетицията свършва тук)копирай

   openclaw backup restore ~/restore-work/openclaw-backup.tar.gz --target ~/restore-work/staging
   find ~/restore-work/staging -type d -name .openclaw

   Целта не трябва да съществува (или да е празна) и не може да е вътре в живото състояние. Вътре ще видиш manifest.json и папка payload/ — манифестът е източникът на истината за това какво къде е било. Ако това е репетиция, спри тук, прегледай и изтрий ~/restore-work.

   За истинско възстановяване: спри Gateway, махни настрана текущото състояние (или първо го архивирай), постави извлечената папка на мястото му и провери.

   bash · 3. включване (само при истинска нужда)копирай

   openclaw gateway stop
   mv ~/.openclaw ~/.openclaw.before-restore
   mv "<пътят от find>" ~/.openclaw
   openclaw doctor
   openclaw gateway start
   openclaw health

   В скрипт или неинтерактивна обвивка openclaw gateway stop иска --force. Ако изнесеш състоянието другаде, вместо mv насочи OPENCLAW_STATE_DIR към него. ⚠️ Пътят payload/posix/… и стъпките по-горе са по документацията, не са пробвани върху истински архив.

   ⛔

   Възстановяването е „пътуване във времето“

   Достъпи до чат канали със съхранявано състояние (най-вече WhatsApp) може да се разсинхронизират и да искат повторно свързване. Изчакващи одобрения и състояние на доставките също се връщат назад — прегледай ги, преди да пуснеш Gateway отново. Програмите на разширенията не са в архива: след възстановяване пусни openclaw plugins update <id> (или преинсталирай) и openclaw skills list, за да се изградят наново.

   Пренасяне на друга машина. Същият архив служи и за преместване на асистента на нов компютър: на новата машина инсталираш OpenClaw, минаваш стъпките „разшифрова → verify → restore → включване“ и пускаш openclaw doctor. Официалното ръководство „Migrating between machines“ описва подробностите. Копието е моментна снимка за пренасяне, не постоянна синхронизация между две работещи машини.

04Проверка

• openclaw backup --help работи, а пробният пуск (--dry-run) изброява очакваните източници.
• Има двойка ключове: публичният е на машината, частният е в мениджъра на пароли и не стои до копията.
• Скриптът се изпълнява на ръка и печата ok: …; в папката има само *.age файлове, права -rw-------, а папката е с 700.
• Няма останал нешифрован архив (нито в ~/openclaw-backups-test, нито във временна папка).
• Графикът е активен (systemctl --user list-timers показва openclaw-backup.timer) или е настроен cron / задача в Windows.
• Ротацията по брой е проверена: след повече пускания от KEEP остават точно KEEP файла.
• Ако копираш навън — там отиват само *.tar.gz.age.
• Направена е репетиция на възстановяването в нова папка — разшифроване, openclaw backup verify и openclaw backup restore минават без грешка.
• Записан е срокът (колко копия, докога) и кой ще сменя достъпите, ако копие изтече.

05Какво следва

06Източници

1. OpenClaw: командата openclaw backup — архиви, SQLite снимки, git история, график, какво влиза в копието.
2. OpenClaw: ръководство за копия — избор на път, презапис само във нова папка, „пътуване във времето“, копие извън машината.
3. OpenClaw: настройки — ~/.openclaw/openclaw.json, OPENCLAW_CONFIG_PATH.
4. OpenClaw: управление на услугата на Gateway — gateway stop, start, restart.
5. age 🔒 локално — прост инструмент за шифроване на файлове; ключове, получатели, -R, -d -i.
6. restic 🔒 локално — копия със сам шифроване; backup, forget --prune, check, restore.
7. Microsoft: настройки на WSL — /etc/wsl.conf и systemd=true.
8. systemd.timer — OnCalendar, Persistent.