2026 : installer OpenClaw sur Mac cloud — environnement Node 22, daemon onboard et checklist permissions TCC

Contrairement au guide choix de nœud et dépannage launchd, cet article couvre le parcours 0→1 « instance livrée, OpenClaw pas encore installé » : vous n'avez que SSH (VNC si besoin), pas de Golden Image ni de ~/.openclaw à copier depuis un collègue.

Cinq frictions souvent sous-estimées en revue :

• Dérive de version Node : Node système 18/20 ; le runtime Gateway exige Node 22 LTS (22.16+) ou Node 24 — openclaw onboard quitte à la résolution des dépendances.
• Mauvais canal d'installation : CI en npm global, ops en Homebrew ; deux binaires openclaw dans le PATH, doctor signale une incohérence de version.
• TCC sans réponse : Automatisation, Accessibilité, Enregistrement d'écran — impossibles à valider en SSH seul ; probes Gateway ou canaux échouent par intermittence.
• Token mal persisté : en 2026 la clé est gateway.auth.token (plus gateway.token) ; seulement dans .zshrc sans héritage launchd → boucle « Gateway auth is set to token, but no token is configured ».
• RAM/stockage sous-dimensionnés : multi-agents + cache modèle local : M4 16 Go déclenche le swap ; gros dépôts → extension 1 To/2 To ou M4 Pro (voir fin).

Règle mnémotechnique : « Node 22 d'abord, une seule source CLI, puis TCC, enfin onboard + daemon ». Sauter une étape transforme l'appairage et le tunnel en retouches de plusieurs heures.

OpenClaw propose plusieurs voies d'installation sur macOS ; sur un Mac cloud SSH-only, privilégiez reproductibilité, scriptabilité et alignement CI.

Après installation : which -a openclaw — un seul chemin exécutable ; symlink vers /opt/homebrew/bin ou /usr/local/bin pour que les ProgramArguments launchd ne pointent pas vers un PATH shell temporaire.

Avant openclaw onboard, validez l'environnement en non interactif — évitez une installation « à moitié » en astreinte.

node -v | grep -E 'v22\.(1[6-9]|[2-9][0-9])|v24\.' || exit 1
uname -m | grep -q arm64
df -h / | awk 'NR==2{gsub(/%/,"",$5); if($5>85) exit 1}'
xcode-select -p || xcode-select --install

Node insuffisant : fnm ou pkg Node 22 LTS officiel ; alignez shell de login et environnement launchd. Pour le daemon, écrivez le token dans ~/.openclaw/openclaw.json sous gateway.auth.token, pas seulement un export dans .zprofile.

• Référence : version Node minimale — runtime Gateway : Node 22.16+ ou Node 24 (doc onboarding officielle).
• Référence : port Gateway par défaut — 18789 ; après install lsof -i :18789 ne doit montrer que 127.0.0.1.
• Référence : disque — réservez au moins 30 Go pour caches et logs ; agents parallèles → extension 512 Go → 1 To.

1. SSH et outils de base : clé SSH selon centre d'aide ; sw_vers macOS 14+, horloge synchronisée (TLS/token).
2. Node 22 et une seule source CLI : ex. brew install node@22 && brew link --overwrite node@22 ou npm install -g openclaw@latest ; openclaw --version.
3. Lancer onboard : openclaw onboard, choisir Gateway ; persistance : --install-daemon enregistre LaunchAgent ai.openclaw.gateway.
4. Écrire gateway.auth.token : openclaw doctor --generate-gateway-token ou édition manuelle ; chmod 600 ~/.openclaw/openclaw.json ; si launchd sans shell : launchctl setenv OPENCLAW_GATEWAY_TOKEN '…' puis launchctl kickstart -k gui/$(id -u)/ai.openclaw.gateway.
5. Validation doctor : openclaw status, openclaw gateway status, openclaw doctor ; sain : Runtime running, RPC probe ok ; curl sur /health → 200.
6. Baseline ops : rotation des logs ; sur page tarifs évaluer M4 Pro ou second build host ; enchaîner vers appairage app distante.

openclaw onboard --install-daemon
openclaw doctor
lsof -nP -iTCP:18789 -sTCP:LISTEN
TOKEN=$(openclaw config get gateway.auth.token)
curl -sf -H "Authorization: Bearer $TOKEN" http://127.0.0.1:18789/health

Si openclaw gateway restart ne revient pas après déclenchement agent : souvent openclaw gateway install --force (openclaw#40306) ; ne pas désinstaller/réinstaller avant doctor au vert.

Les Mac cloud n'ont souvent pas d'écran physique ; les popups Confidentialité macOS (TCC) exigent VNC / partage d'écran pour cliquer « Autoriser ». Tableau par tâche — pas de sur-autorisation.

Après autorisation : restreindre VNC au réseau interne ou tunnel SSH ; horodatage et opérateur dans le journal de changement pour audit.

OpenClaw sur Mac domestique ou portable Wi‑Fi instable : veille et mises à jour → Gateway hors ligne la nuit. Sur VPS sursouscrit ou non-macOS : pas de canaux Apple ni chemin TCC conforme. Les équipes visant un 0→1 en quelques heures, Node 22 reproductible, bare metal dédié déploient sur Mac cloud JEXCLOUD multi-région avec les six étapes de cet article, puis choix de nœud et appairage distant : livraison ~120 s, M4 Pro et 1 To/2 To selon projet. Tarifs : page tarifs JEXCLOUD.