2026 : OpenClaw sur Mac Mini loué — Splunk HEC : agrégation batch nocturne, routage d’index, fenêtres de silence et backoff reproductibles

Public : équipes SRE qui doivent retrouver les preuves d’un batch sans se limiter aux cartes SaaS. Ce guide se distingue de nos runbooks Datadog Events API (métriques) et Opsgenie (astreinte) : ici le livrable est un index Splunk auditable.

Livrable : jeton HEC, lots, index/sourcetype, silence UTC, backoff, boucle 7×24. Installation OpenClaw, heartbeat 7×24, Vector / Loki. Achat sans compte.

Trois tensions typiques sur un Mini distant

1. Jeton partagé. Un jeton HEC dans Git ou partagé entre postes transforme chaque portable en émetteur de production.
2. Index implicite. Sans index et sourcetype sur chaque événement, les segments nocturnes se mélangent dans l’index par défaut, les tableaux de bord 7×24 perdent la granularité et la facturation licence devient opaque.
3. Lots et retries incontrôlés. Des POST trop gros déclenchent des rejets collecteur ; des micro-lots multiplient le coût TLS ; des boucles de retry sans Retry-After ni plafond synchronisent plusieurs hôtes sur la même tempête 429.

Matrice : quel artefact pour quel connecteur

Choisissez l’intégration selon ce que la garde doit interroger le matin, pas selon le logo sur le mug.

Seuils indicatifs : jeton, taille de lot, routage, silence, backoff

Départ pour un writer Mini loué ; montez les plafonds après p95 collecteur et impact licence.

Contrat JSON : ce qu’OpenClaw doit figer

Traitez chaque charge comme un schéma versionné ; toute rupture impose un bump dans un champ du type fields.openclaw_schema.

• time en secondes epoch alignées sur les horloges launchd.
• host stable : nom d’inventaire du bail, pas un identifiant éphémère.
• source courte, par ex. openclaw-batch + pipeline.
• sourcetype incluant étape et version de formateur pour les recherches sauvegardées.
• index toujours présent même si le jeton a une valeur par défaut.
• event ou champs structurés : code retour, durée, extrait stderr, identifiants de corrélation.

Sept étapes reproductibles de l’installation à la preuve Splunk

1. Installer OpenClaw sous launchd via le guide multiplateforme ; documenter un seul FQDN HTTPS sortant vers le collecteur ou le répartiteur Splunk et l’inscrire sur la liste blanche côté hébergeur, comme décrit dans le runbook 7×24.
2. Créer un jeton HEC borné aux index autorisés ; fichier chmod 600 hors Git ; injection par EnvironmentVariables launchd ; interdiction de réutiliser le même secret sur un poste portable.
3. Implémenter POST …/services/collector/event avec en-tête Authorization: Splunk <jeton>, corps gzip, trace locale du statut HTTP, octets et identifiant de corrélation sous un répertoire journaux APFS dédié.
4. Flush par compteur ou minuteur selon le premier seuil atteint ; fractionner avant TLS si la charge approche la limite ; prévoir fichiers de déversement si la file interne grossit.
5. Aligner les fenêtres de maintenance Splunk en UTC avec les calendriers réels des segments ; activer un drapeau silence OpenClaw sur la même plage pour réduire le bruit applicatif pendant que le collecteur reste stable.
6. Appliquer le backoff du tableau pour 429 et 5xx ; après échec final, conserver un extrait tronqué côté disque et ouvrir un ticket plutôt que boucler aveuglément.
7. Publier une recherche sauvegardée qui prouve la boucle 7×24 : volume par sourcetype, taux d’erreurs transport, retard des retries ; si la file ou le disque saturent, monter RAM ou NVMe via Achat et valider SSH/VNC avec le centre d’aide.

Repères. ~1 Mo par POST non compressé comme garde-fou ; max 5 tentatives ; plafond backoff ~60 s ; silence +15–30 min après SLA ; un jeton par writer avec index explicite à chaque envoi.

FAQ

Le jeton HEC suffit-il au moindre privilège ?

Il est plus étroit qu’un compte admin Splunk mais reste puissant ; isolez par environnement, combinez contrôle d’accès index et rotation régulière.

Puis-je mélanger HEC et Datadog sur le même pipeline ?

Évitez de partager des secrets : gardez des chemins et budgets distincts ; Datadog reste couvert par le guide Events.

Comment relier Splunk à l’astreinte sans noyer Opsgenie ?

Laissez Splunk porter la vérité indexée ; déclenchez des alertes normalisées vers Opsgenie pour des pages dédupliquées plutôt que des flux bruts.