2026 : OpenClaw sur Mac Mini loué — routage principal–secours, quotas API et dégradation automatique

Pour les tenants en continu : bascule principal→secours, erreurs quota, backoff, disjoncteur, champs de logs. Contenu : freins, matrice, paramètres, HowTo six étapes, YAML reproductible, repères. Liens blog, aide, achat ; launchd, prod/lab.

Pourquoi l’absence de routage coûte cher en automatisation longue durée

1. Quota invisible. Agrégats journaliers côté fournisseur vs rafales OpenClaw : sans sonde locale, la panne apparaît quand les appels sortants cessent.
2. Retry naïfs. Boucler tout de suite après 429 aggrave le throttling et le CPU du Mac Mini si plusieurs workers partagent la clé.
3. Pas de secours documenté. Sans modèle secondaire ni file locale, pas de dégradation mesurable : arrêt total ou file sans SLA.

Matrice décisionnelle : conserver le principal ou activer le secours

Contrat dev/astreinte ; seuils selon fournisseur et nœud loué.

Tableau des paramètres : retry, disjoncteur et limitation d’entrée

Base reproductible à versionner avec vos agents OpenClaw.

HowTo : six étapes pour une configuration traçable

1. Voies versionnées. Fichier avec principal, secours, URL, plafonds tokens ; déployé comme le reste d’OpenClaw sur le Mac Mini loué.
2. Classification. 429, codes quota, timeouts → attente, bascule ou abandon notifié.
3. Backoff + gigue. Retry-After en plancher sinon exponentiel du tableau ; éviter l’orage de retries.
4. Disjoncteur HTTP. Échecs consécutifs, ouverture, une sonde après refroidissement, fermeture si OK sinon dégradation prolongée.
5. Limiter l’entrée. Circuit ouvert : moins de concurrence et de prompts ; consigner dans le runbook.
6. Test charge. Simuler quota épuisé ; logs doivent montrer principal → secours → disjoncteur.

Fragment YAML minimal (adapter les clés à votre OpenClaw) :

openclaw_llm_routing:
  primary_model: "provider-a/large"
  fallback_model: "provider-b/medium"
  local_optional: "http://127.0.0.1:11434/v1"
  switch_on_http: [429, 503]
  switch_on_body_tokens: ["insufficient_quota", "rate_limit_exceeded"]
  retry:
    max_attempts: 5
    backoff_base_ms: 500
    backoff_cap_ms: 60000
    jitter_ratio: 0.35
  circuit_breaker:
    fail_threshold: 5
    cooldown_seconds: 120
    half_open_probes: 1
  throttle_when_open:
    max_concurrent_jobs_multiplier: 0.5

Variables d’environnement équivalentes :

OPENCLAW_LLM_PRIMARY=provider-a/large
OPENCLAW_LLM_FALLBACK=provider-b/medium
OPENCLAW_RETRY_MAX=5
OPENCLAW_BACKOFF_BASE_MS=500
OPENCLAW_BACKOFF_CAP_MS=60000
OPENCLAW_BREAKER_THRESHOLD=5
OPENCLAW_BREAKER_COOLDOWN_S=120

Observabilité : champs de logs pour diagnostiquer quotas et bascules

Une ligne structurée par appel : sinon impossible de séparer quota et panne réseau à distance sur Mac Mini loué.

• model_lane, attempt, backoff_ms_applied, provider_http_status, breaker_state.
• request_id fournisseur, tenant_job_id pour corréler les files OpenClaw.

Objectif astreinte : trancher en cinq minutes 429 transitoire vs quota épuisée.

Repères citables pour votre contrat d’exploitation

• Trois tentatives maximum sur le principal après un 429 avant bascule automatique documentée.
• Cinq échecs consécutifs : ouverture standard du disjoncteur ; cent vingt secondes de refroidissement avant sonde.
• Moitié de la concurrence acceptée lorsque le circuit est ouvert : compromis simple entre débit et stabilité thermique sur Mac Mini.
• Vingt pour cent d’erreurs glissantes sur cinq minutes : déclencheur d’alerte proactive avant saturation complète de la quota API.