# Leer la auditoría

> Lee y pagina la auditoría de tu organización desde el panel, la CLI, la API o un asistente de IA.

Tienes que ser propietario o administrador de toda la organización, o miembro (o token) técnico limitado a un cliente, que ve las entradas de ese cliente. Lo explica [Auditoría](https://developers.openwaf.dev/es/change-control/audit-log/#who-can-read-it).

## Leer las últimas entradas

**Panel**

Elige **Auditoría** en la barra lateral. Cada fila muestra la fecha, el autor, la acción y el objeto; **Ver datos** abre los detalles, con el motivo y la versión de un cambio de zona. Filtra las entradas cargadas por **Categoría** o busca por autor, objeto o acción, y pulsa **Cargar más** para las anteriores.
**CLI**

```sh
openwaf-cloud ctl audit
openwaf-cloud ctl audit --limit 200 --json
```
**API**

```sh
curl -sS "https://dash.openwaf.dev/v1/orgs/$ORG/audit?limit=100" \
  -H "Authorization: Bearer $OPENWAF_TOKEN"
```
```json
{
  "items": [
    {
      "id": 5120,
      "org_id": "…",
      "actor": "token:…",
      "action": "record.create",
      "target": "…",
      "data": {"record": {"name": "www.example.com", "type": "A"}, "version": 8, "from_version": 7, "reason": "Añadir www"},
      "at": "2026-10-27T10:14:21Z"
    }
  ]
}
```
**MCP**

Pregunta a tu asistente quién ha cambiado una zona últimamente; llama a `audit_log`.


## Ir hacia atrás

Las entradas llegan de la más reciente a la más antigua, 100 por página por defecto y como mucho 500. Para las anteriores, pasa en `before` el `id` de la última entrada que recibiste:

**CLI**

```sh
openwaf-cloud ctl audit --limit 500 --before 5020
```
**API**

```sh
curl -sS "https://dash.openwaf.dev/v1/orgs/$ORG/audit?limit=500&before=5020" \
  -H "Authorization: Bearer $OPENWAF_TOKEN"
```


Una lista `items` vacía significa que has llegado al principio de la auditoría.

## Averiguar quién cambió una zona

Para la configuración de una zona, su historial es más rápido: lista solo las versiones de esa zona con autor, acción y motivo, y permite comparar y volver atrás. Lo explica [Ver el historial y comparar versiones](https://developers.openwaf.dev/es/change-control/view-history/). La auditoría añade lo que no es configuración de la zona, como las purgas de caché (`zone.cache.purge`), los certificados de origen (`zone.origin_cert.issue`, `zone.origin_cert.revoke`) o los tokens de API (`token.create`, `token.revoke`).

## Saber quién es cada autor

`user:<id>` es un miembro con sesión en el panel; el panel muestra su nombre. `token:<id>` es un token de API; **Tokens de API** en el panel lista los tokens activos de tu organización con sus nombres. `system:<nombre>` es OpenWAF actuando por su cuenta, por ejemplo `system:acme` cuando emite o renueva un certificado.