OpenClaw : idempotence des webhooks et saturation de file sur Mac mini loué pour 2026

Les webhooks HTTP sont au moins une fois par physique—les éditeurs SaaS relancent sur timeout, les boîtes TLS dupliquent des paquets et votre agent launchd peut redémarrer au milieu d’une requête. Lorsqu’OpenClaw tourne sur un Mac mini Apple Silicon loué à Hong Kong, au Japon, en Corée, à Singapour ou aux États-Unis, les « effets de bord exactement une fois » doivent être votre contrat, pas une lecture optimiste de la sémantique HTTP. Ce guide 2026 définit la surface des clés d’idempotence, les fenêtres de déduplication, le comportement de saturation de file (y compris des réponses honnêtes 429) et le câblage de l’observabilité pour que l’astreinte prouve si un doublon était bénin ou dangereux. Lisez-le avec le durcissement de l’entrée webhooks, secrets et sécurité des plist, journaux structurés et rotation, la matrice QA sync-block iCloud et récupération de passerelle afin que les relances ne deviennent jamais de la corruption silencieuse.

VmMac fournit le métal et l’atteignabilité réseau ; la politique de déduplication reste dans votre code passerelle et la disposition du stockage.

Trafic en rafale, relivraison et réalité au moins une fois

Supposez que tout webhook significatif puisse arriver deux fois en cinq minutes par temps d’incident. GitHub, Stripe et les bus d’événements internes se comportent ainsi sous stress. Votre gestionnaire OpenClaw doit donc séparer succès transport (HTTP 200 renvoyé) de succès métier (mutation appliquée exactement une fois). Le mode d’échec que vous évitez est subtil : l’amont reçoit 200, plante avant d’accuser réception de la persistance, puis relance pendant que votre passerelle a déjà mis le travail en file—sans idempotence vous double-dépensez des crédits, double-déclenchez des builds ou double-postez sur Slack.

• Gigue fournisseur : les retries peuvent arriver plus vite que le temps de réaction humaine—concevez pour l’automatisation, pas pour le tri manuel de tickets.
• Redémarrages locaux : mises à jour macOS ou upgrades passerelle amplifient les fenêtres de doublon—documentez-les dans les calendriers de changement.
• Symétrie inter-régions : la même sémantique dans chaque région VmMac bat les astuces par région.

Contrat de clé d’idempotence : en-têtes, corps et périmètre

Choisissez une source canonique pour les clés—souvent Idempotency-Key pour les API façon Stripe ou un hachage signé d’IDs d’événements fournisseur. Rejetez tôt les requêtes ambiguës avec 400 lorsque l’appelant omet des champs requis ; n’inventez pas silencieusement des clés par connexion, sinon la dédup devient non déterministe entre processus. Associez les clés à un préfixe d’espace de noms par environnement (stg- vs prd-) pour que les rejouages staging ne collisionnent jamais avec les livres de production.

Fenêtres de dédup et placement du stockage durable

SQLite sur NVMe local est un défaut pragmatique pour passerelles mono-nœud : les insertions transactionnelles rendent atomiques les contrôles « clé vue ». Quel que soit le magasin, gardez-le en dehors des conteneurs Bureau/Documents et de tout chemin qu’un outil de sync pourrait toucher—suivez la même discipline que la matrice sync-block QA. Faites tourner le fichier de base lors des upgrades majeurs et photographiez sa taille dans la revue SRE hebdomadaire.

Profondeur de file, pools de workers et contre-pression HTTP 429

Lorsque la profondeur de file dépasse votre SLO, renvoyer 500 entraîne les fournisseurs à vous marteler plus fort. Un 429 discipliné avec Retry-After transforme la saturation en signal coopératif. Documentez le comportement publiquement sur votre portail développeur interne pour que les propriétaires amont sachent que c’est intentionnel. Associez les événements de saturation à des métriques abandonné vs différé—ces deux courbes racontent des histoires différentes pendant les post-mortems.

Signal	Interprétation appelant	Quand l’utiliser
429 + Retry-After	Reculer de façon coopérative	File > seuil mais hôte sain
503 corps court	Relancer avec gigue	Panne de dépendance (verrou DB)
401/403	Arrêter de relancer les secrets	Échec de rotation de jeton

ThrottleInterval launchd, limites de processus et plafonds de concurrence

Les LaunchAgents peuvent respawner plus vite que votre file ne se vide après une rafale. Alignez ThrottleInterval sur la durée maximale de votre gestionnaire et imposez un plafond dur sur les workers Node concurrents pour que descripteurs de fichiers et verrous SQLite restent prévisibles. Lorsque les agents partagent des ports avec l’écouteur HTTP d’OpenClaw, réutilisez les conseils collision de ports de récupération passerelle pour que les redémarrages ne créent pas des écouteurs dupliqués qui pensent chacun détenir l’état de dédup.

ID de corrélation, journaux structurés et métriques

Émettez un ID de corrélation par connexion HTTP entrante et propagez-le dans les entrées de file, processus enfants et appels sortants de la passerelle. Cette chaîne unique permet de répondre « ce doublon était-il bénin ? » en minutes plutôt qu’en heures. Reflétez les champs JSONL avec le schéma déjà engagé dans vos guides de logging pour que les tableaux de bord restent portables entre régions.

Cohérence des cinq régions : Hong Kong, Japon, Corée, Singapour, États-Unis

Exécutez le même script de replay synthétique chaque semaine dans chaque région : injectez des événements dupliqués avec des clés identiques et affirmez des effets de bord uniques. La divergence signifie en général des hypothèses d’horloge ou des pragma SQLite différents, pas des fantômes réseau mystérieux. Gardez les configs régionales dans une seule révision de dépôt pour que la dérive soit visible en revue de code, pas lors d’une démo client.

FAQ : idempotence webhooks avec OpenClaw

La dédup doit-elle survivre au reboot ? Oui—les ensembles RAM éphémères perdent les garanties fournisseur dès qu’une mise à jour macOS redémarre l’hôte.

Peut-on sauter le 429 et simplement monter en vertical ? Le métal aide, mais les rafales sont super-linéaires avec la croissance—les signaux comptent toujours.

Qui possède la rotation des clés ? Votre équipe plateforme ; VmMac ne fait pas tourner les secrets applicatifs.

Pourquoi le Mac mini M4 convient encore aux passerelles lourdes en files en 2026

Les nœuds Mac mini Apple Silicon offrent un débit mono-locataire prévisible pour les files soutenues par SQLite et le fan-out local sans voisins bruyants. La location par région vous permet d’ancrer les passerelles près de la sortie SaaS amont tout en gardant la dédup identique. Encodez l’idempotence dans votre définition de terminé pour chaque nouvelle source webhook—alors les retries deviennent de la télémétrie plutôt que de la terreur.