Pourquoi Cloudflare Tunnel et un reverse proxy sur le Mac
Le tunnel sécurise l'accès entrant sans IP publique ni PAT ; le reverse proxy local (Caddy, Nginx, Traefik) gère le routage vers /webhook, /gateway et les health checks, avec journaux utiles quand le Gateway reste muet. Séparez toujours « tunnel » et « refus de route » avant de modifier les canaux.
Sur Mac loué JP, KR, HK, SG ou US Ouest, le RTT change mais la chaîne reste : connecteur → proxy → port Gateway ; l'URL enregistrée chez le fournisseur doit matcher au caractère près. Pour le périmètre au-delà du tunnel : Renforcement de la sécurité OpenClaw 2026 et isolation géographique VPN : nœuds Mac distants et clusters haute disponibilité.
Déploiement par paliers (même recette, hub régional au choix)
1. Compte Cloudflare, DNS et connecteur
Sous-domaine dédié, cloudflared installé et authentifié, hostname vers http://127.0.0.1:<port proxy> (pas le Gateway directement si vous changez de port souvent). Service launchd pour survivre aux coupures SSH et aux nuits du datacenter.
2. Reverse proxy vers le Gateway
Upstream vers le port Gateway documenté ; logs d'accès avec statut et durée pour distinguer 502 « bord » vs « proxy » vs « app ». Timeouts légèrement au-dessus du pire cas réel sur JP / KR / HK / SG / US Ouest, sans excès qui masque les blocages.
localhost prouve seulement la pile locale. Validez toujours depuis l'extérieur (curl via 4G ou VPS) pour reproduire le chemin webhook réel à travers Cloudflare.
Webhooks et Gateway : ordre de dépannage quand « rien n'arrive »
Ordre conseillé : (1) tunnel Registered et cloudflared stable sans redémarrage en boucle ; (2) le proxy local répond sur le même port que celui publié dans le dashboard du tunnel ; (3) le Gateway écrit une ligne de log pour la requête (même un 401) — absence totale de log = problème encore avant l'applicatif ; (4) horloge NTP, corps brut identique à ce que signe le fournisseur, URL y compris slash final ; (5) workers, files d'événements et RAM : sous pression, le système peut garder le tunnel vert tout en étouffant le traitement métier.
Si Cloudflare affiche 200 mais le canal ne bouge pas, inspectez d'abord une désynchronisation staging / production sur l'URL enregistrée, puis un proxy d'entreprise ou une règle WAF qui réécrit le corps. Documentez pour chaque région un curl avec le même verb, les mêmes en-têtes et le même payload que le fournisseur réel ; cela sépare clairement latence RTT et bug applicatif. Pour dimensionner plusieurs runners iOS sur une seule enveloppe mémoire, le guide Cluster de Build iOS 2026 : Mac mini M4 Pro (64 Go) et optimisation GitHub/Jenkins reste une bonne grille de lecture.
Tableau indicatif — charge concurrente (agents + Gateway + marge build léger)
Les chiffres sont des ordres de grandeur pour calibrer la RAM unifiée. Ils supposent un Gateway actif, quelques agents conversationnels et des builds ou tests légers en arrière-plan ; dès que vous chargez de gros modèles en local, multipliez la marge mémoire ou isolez les workloads sur un second nœud loué dans le même hub.
| Configuration | Agents OpenClaw « confort » | Webhooks / min (pics) | Marge pour tâche Xcode légère |
|---|---|---|---|
| M4, 16 Go unifiés | 1–2 | faible à modérée | serrée (éviter parallélisme lourd) |
| M4, 24 Go unifiés | 2–3 | modérée | correcte si builds courts |
| M4 Pro (plus de bande passante mémoire) | 3–5+ | élevée | confortable pour pipelines mixtes |
Régions JP, KR, HK, SG, US Ouest : ce qui change vraiment
La latence change le confort et les retries fournisseur, pas la validité TLS. DNS et IPv6 partiels varient par opérateur : résolveur de test stable sur le Mac. Versionnez la config tunnel ; à chaque hub, répétez : tunnel OK → proxy 200 local → health Gateway → webhook canari → prod.
Questions fréquentes
0.0.0.0 sans pare-feu local explicite.Sur Mac mini M4, cette pile réseau tient la route
cloudflared, proxy et OpenClaw profitent d'un Mac mini M4 ou M4 Pro : faible consommation au repos, macOS stable pour services longue durée, Unix natif (Homebrew, SSH, TLS) comme sur vos Mac loués. Le M4 Pro gère mieux les pics quand agents, Gateway et builds coexistent — là où 16 Go swappe vite.
Gatekeeper, SIP et FileVault réduisent la surface pour un hôte joignable via tunnel. Le TCO d'un mini dédié dépasse souvent le bricolage sur un poste partagé. Pour maîtriser toute la chaîne sur Apple Silicon abordable, le Mac mini M4 est le point d'entrée logique en 2026 — parcourez les offres depuis l'accueil vpsdate ci-dessous.