# OpenWAF Browsers

> Sandbox de navegador para agentes. Google Chrome real por CDP, alojado en la UE y declarado ante los sitios que visita. Beta pública, gratis dentro de la cuota.

OpenWAF Browsers da a tus agentes de IA un navegador real en la nube. Pides uno con una llamada a la API y recibes una URL CDP para Playwright, Puppeteer o el servidor MCP de Playwright, y una URL de vista en directo para una persona. Cada navegador corre en su propio contenedor en Alemania, y todo lo que envía sale por un proxy de salida que filtra y registra cada petición.

## Estado

**Beta pública, gratis dentro de la cuota, sujeta a aprobación.** Un operador activa OpenWAF Browsers para cada organización. Durante la beta es gratis dentro de la [cuota mensual](https://developers.openwaf.dev/es/browsers/limits/): 20 horas de navegador y 5 GB de salida por organización. Todavía no hay plan de pago. Mira [cómo pedir acceso](#get-access).

## Qué incluye

- **Google Chrome real**, tal como se distribuye, con interfaz gráfica y su propio sandbox activado. Ni compilación parcheada ni modo headless.
- **CDP para cualquier cliente.** `cdpUrl` es el WebSocket de DevTools del navegador: `chromium.connectOverCDP()` en Playwright, `puppeteer.connect({browserWSEndpoint})` en Puppeteer, o `npx @playwright/mcp@latest --cdp-endpoint <cdpUrl>` para un asistente con MCP.
- **Vista en directo.** `liveUrl` abre la pantalla del navegador en cualquier navegador web. Una persona puede mirar o tomar el control para un inicio de sesión, un segundo factor o un CAPTCHA.
- **Grabaciones.** Arranca un navegador con `"recording": true` y obtienes un MP4 de la sesión junto con sus descargas.
- **Perfiles.** Un perfil guarda cookies y sesiones iniciadas entre navegadores. Un perfil lo usa un navegador cada vez.
- **Proxy de salida.** Todo el tráfico sale por un proxy que solo permite los puertos 80 y 443, rechaza siempre direcciones privadas, de loopback, link-local (incluida `169.254.169.254`), CGNAT y otros rangos de uso especial, y registra cada petición. Puedes limitar la organización a una lista de hosts permitidos.
- **Declarado, no sigiloso.** Las peticiones se firman con [Web Bot Auth](https://developers.openwaf.dev/es/browsers/web-bot-auth/) por defecto, así que los sitios saben que les visita un agente. Sin suplantación de huella, sin proxies residenciales y sin resolución de CAPTCHA. Mira [qué no es](https://developers.openwaf.dev/es/browsers/what-it-is-not/).
- **Alojado en la UE.** Navegadores, grabaciones y registros se quedan en Alemania.

## Cómo funciona

```text
agente ── API + CDP ──┐
persona ── liveUrl ───┤
                      ▼
         browsers.openwaf.dev
                      ▼
   contenedor Chrome (Alemania)
                      ▼
 proxy de salida (80/443, registro)
                      ▼
               web pública
```

1. Tu agente llama a `POST https://browsers.openwaf.dev/v1/browsers` con una clave de navegador (`bdk_…`).
2. La respuesta trae el `id` del navegador (`bs_…`), `cdpUrl`, `liveUrl` y `urlsExpireAt`.
3. El agente se conecta a `cdpUrl` y maneja Chrome. Cerrar la conexión CDP no para el navegador.
4. El navegador se para cuando lo paras tú, tras 120 segundos sin ningún cliente CDP ni de vista en directo, a los 60 minutos en total, o cuando Chrome termina. Sus archivos siguen disponibles 7 días.

Las claves, el uso, las sesiones, el registro de salida y los ajustes se gestionan por organización desde el panel (**Navegadores**), la [API de OpenWAF](https://developers.openwaf.dev/es/browsers/reference/#control-plane-api), la [CLI](https://developers.openwaf.dev/es/browsers/reference/#cli) o el [servidor MCP](https://developers.openwaf.dev/es/browsers/reference/#mcp-tools).

## Pedir acceso

1. Comprueba que cada propietario y cada administrador de la organización tiene el email verificado y la [verificación en dos pasos](https://developers.openwaf.dev/es/fundamentals/account-security/) activada. Un operador lo revisa antes de aprobar.
2. En el panel, abre **Navegadores** en el menú de la organización. La pestaña **Resumen** muestra los requisitos y un botón **Solicitar acceso**, que abre un email a support@openwaf.dev con el id de tu organización. También puedes escribir directamente a support@openwaf.dev.
3. Cuando un operador aprueba la organización, la pestaña **Resumen** muestra tu cuota y un administrador ya puede crear la primera clave.


Hasta entonces, `GET /v1/orgs/{org}/browsers` responde con `"status": "not_enabled"` y las escrituras responden `403 feature_disabled`.

## Siguientes pasos

- [Inicio rápido](https://developers.openwaf.dev/es/browsers/quickstart/): crea una clave, arranca un navegador y manéjalo con Playwright, Puppeteer o MCP.
- [Referencia de la API](https://developers.openwaf.dev/es/browsers/reference/): plano de datos, plano de control, CLI y herramientas MCP.
- [Límites y cuotas](https://developers.openwaf.dev/es/browsers/limits/): horas de navegador, salida, concurrencia, tiempos y retención.
- [Web Bot Auth](https://developers.openwaf.dev/es/browsers/web-bot-auth/): cómo identifican los sitios al agente y cómo verificarlo.
- [Qué no es](https://developers.openwaf.dev/es/browsers/what-it-is-not/): sin modo sigiloso, sin suplantación, sin resolver CAPTCHA.