2026 Tencent WeChat ClawBot : installation et précautions — CLI one-shot, matrice latest/legacy et runbook des limites de sécurité

Six pièges courants avant de scanner le QR (à connaître d'abord)

1. Scanner sans Gateway permanent : couvercle fermé → canal coupé, on croit que « le plugin WeChat est cassé ».
2. Hôte et plugin désalignés : OpenClaw ≥ 2026.3.22 avec ligne plugin 1.0.x → erreur de compatibilité au démarrage.
3. Compte WeChat principal pour la prod : contenu traité côté Tencent ; mots sensibles et risque compte hors de votre contrôle.
4. Répertoire de travail trop large pour l'Agent : « range le bureau » dans WeChat peut toucher tout le profil utilisateur.
5. Viser les groupes : capacité actuelle = chat privé ; @ groupe et fichiers multi-utilisateurs diffèrent.
6. Messages OK, outils silencieux : cause souvent tools.profile, pas le canal WeChat — voir le runbook outils.

Tencent maintient openclaw-weixin sur GitHub et publie @tencent-weixin/openclaw-weixin-cli sur npm (mises à jour actives en mai 2026). L'installateur lit openclaw --version, choisit le dist-tag latest (2.0.x) ou legacy (1.0.x), puis openclaw plugins install et connexion QR — plus reproductible que deviner la version à la main.

Prérequis : Gateway, client WeChat et réseau

Avant le CLI, cochez :

• OpenClaw Gateway démarré, openclaw gateway status sain ; en remote, un seul Gateway autoritaire.
• Node : comme les autres runbooks 2026, Node 24 recommandé ; versions basses → divergence CLI/Gateway.
• Client WeChat : iOS 8.0.70+, Android 8.0.69+ (selon doc Tencent ; mettre à jour avant scan).
• Réseau sortant : npm et points de poignée Tencent accessibles ; proxy d'entreprise dans les variables d'environnement.
• Fenêtre de changement : avant openclaw update, backup create (voir accompagnement mise à niveau).

Installation one-shot : openclaw-weixin-cli

Sur la machine où openclaw CLI est installé (même hôte que Gateway ou SSH vers Mac distant) :

Après scan, test via Transfert de fichiers ou compte secondaire. Si le canal « WeChat » n'apparaît pas dans Control UI : mettre à jour la console et vider le cache navigateur (Windows Ctrl+F5 ; macOS Cmd+Shift+R).

Installation manuelle (CI / sans TTY)

Sans QR interactif (SSH pur) :

Précautions : limites produit, conformité, permissions (lecture obligatoire)

Limites Public Beta et retours terrain — à figer dans le runbook d'équipe :

• Chat privé d'abord : ne pas planifier un « bot de groupe WeChat » à la place de WeCom ; les groupes peuvent changer.
• Fichiers entrant seulement : réception pour analyse Agent ; renvoi de gros fichiers peu fiable.
• Fenêtre 24 h : après longue inactivité, push proactif peut être ignoré ; scénario Q/R, pas marketing push.
• Un compte, une instance : un WeChat lie en général une instance OpenClaw ; un Gateway peut servir plusieurs comptes connectés.
• Contenu et conformité : messages via infra Tencent ; filtres finance/crypto possibles ; droit de modifier ou arrêter le service.
• Moindre privilège : limiter les chemins outils dans AGENTS.md ; ne pas exposer tout $HOME aux outils déclenchés depuis WeChat.

Runbook en six étapes : plugin — scan — acceptation — durcissement

1. Empreinte versions : openclaw --version, version plugin, forme Gateway (local / Docker / Mac distant).
2. Sauvegarde : prod → openclaw backup create avant de perdre l'état QR/pairing.
3. Installer le plugin : d'abord openclaw-weixin-cli install ; sinon plugins install manuel.
4. Scan et sonde : compte dédié → message test Transfert de fichiers → logs Gateway entrants.
5. Durcissement : répertoires outils ; tools.profile coding ou full selon politique.
6. 7×24 : Gateway sur hôte alimenté en continu ; portable = SSH vers Control UI (runbook SSH).

Trois indicateurs pour le ticket de changement

• Disponibilité canal : taux d'entrée WeChat sur 7 j (hors fenêtre 24 h utilisateur), cible ≥99 % avec Gateway alimenté.
• Désalignements plugin : upgrades OpenClaw sans réinstall compatible — cible prod 0.
• Isolation compte : part du compte principal parmi les WeChat liés — cible 0.

Synthèse : WeChat est l'entrée, l'hôte stable est la base

Scanner sur portable qui dort transforme l'automatisation en jouet occasionnel. Les images Lighthouse Tencent facilitent la première install OpenClaw, mais si le Gateway suit l'alimentation locale, le SLA WeChat reste non auditable.

Pour chat privé 7×24, changements ticketables, périmètre répertoire clair, fixer OpenClaw + openclaw-weixin sur Mac distants MACCOME (M4 / M4 Pro) en six régions coûte souvent moins qu'escalader QR et probe sur portable : guide multirégion + runbook SSH permanent.