Безпечне встановлення навичок і MCP-серверів OpenClaw для SEO

Реєстр відкритий, отже, перевіряючий — ви

ClawHub, публічний реєстр навичок і плагінів OpenClaw, за замовчуванням відкритий: завантажити може будь-хто, а документація не стверджує, що автоматичні перевірки гарантують безпеку (документація ClawHub). The Hacker News з посиланням на Koi Security повідомила про 341 шкідливу навичку серед 2 857 перевірених (повідомлення). Посібник перетворює це на процедуру перевірки для SEO-роботи. Ми не називаємо жодної навички чи плагіна, бо не перевіряли жодної.

Процедура перевірки крок за кроком

1. Прочитайте до ввімкнення. Документація велить вважати сторонні навички недовіреним кодом, читати їх заздалегідь і не тримати облікові дані у вмісті навички (документація про навички).
2. Подивіться сторінку в реєстрі. Публічні сторінки підсумовують стан останньої перевірки, а користувачі, що увійшли, можуть поскаржитися на навичку. Чисте зведення — не доказ безпеки.
3. Ставте перевірену копію. Синтаксису закріплення версій для встановлення з реєстру в документації немає, але локальну теку можна поставити командою openclaw skills install ./path --as name. Перевірте теку й ставте саме цю копію.
4. Перевірте підміну за назвою. Якщо дві навички мають одну назву, перемагає та, що розташована вище за пріоритетом, а навички робочої області стоять вище за вбудовані. Навичка з тією самою назвою в робочій області мовчки замінює довірену.
5. Тримайте секрети поза навичкою. env і apiKey навички застосовуються до процесу хоста на час запуску й потім відновлюються; у пісочницю вони не потрапляють.
6. Вимкніть необовʼязкову телеметрію. Після входу в систему clawhub може надсилати подію про встановлення; CLAWHUB_DISABLE_TELEMETRY=1 вимикає її.
7. Фіксуйте встановлене. CLI записує версії в .clawhub/lock.json; додайте файл у репозиторій.

Додавання MCP-сервера

Збережені сервери лежать у mcp.servers.<name>. Віддалений сервер приймає url, auth і тайм-аути; якщо transport не вказано, OpenClaw використовує sse, а "transport": "streamable-http" обирає потоковий HTTP (документація про транспорти). Це важливо: Semrush документує, що його сервер використовує лише потоковий HTTP (документація Semrush MCP), тому для нього й для будь-якого сервера, описаного так само, вказуйте транспорт явно.

{
  "mcp": {
    "servers": {
      "search-console": {
        "url": "https://mcp.example.com/mcp",
        "transport": "streamable-http",
        "auth": "oauth",
        "requestTimeoutMs": 30000,
        "toolFilter": { "include": ["read_*"] }
      }
    }
  }
}

Лише форма прикладу, з умовною адресою. За auth: "oauth" статичний заголовок Authorization ігнорується; входьте командою openclaw mcp login <name>. openclaw mcp status перевіряє збережену конфігурацію, не запускаючи сервери, а probe відкриває живе зʼєднання.

Дайте SEO-агентові мінімальний набір інструментів

Інструменти підключених серверів проходять через той самий профіль і політику інструментів, що й вбудовані, а toolFilter.include або exclude на сервер звужує те, що він відкриває (документація MCP). Для агента-звітника вмикайте лише інструменти читання, як у прикладі. Окремі інструменти можна заборонити й на один сеанс. Зберігайте облікові дані в підтримуваних механізмах секретів; openclaw mcp doctor попереджає, коли заголовки або env містять буквальні значення, схожі на секретні.

Мінімальна SEO-конфігурація

Навички та MCP в OpenClaw для SEO: часті питання

Чи перевіряються навички ClawHub до публікації?

Реєстр запускає автоматичні перевірки, але він відкритий за замовчуванням і завантажити може будь-хто; перевіряйте те, що ставите.

Чи можна закріпити версію навички?

Встановлення записують версії у файл блокування, але синтаксису закріплення в документації немає; ставте перевірену локальну копію.

Чому не підключається мій сервер із потоковим HTTP?

Якщо транспорт не вказано, OpenClaw використовує sse; задайте "transport": "streamable-http".

Що читати далі

Прочитайте десять правил запуску агента на даних Search Console і безперервний аналіз з агентом ШІ.