El modo bajo ataque pone el reto de navegador delante de toda la zona mientras sufre una avalancha en la capa de aplicación o una oleada de scraping. Toda navegación de navegador sin un __waf_pass válido recibe la página de prueba de trabajo («Comprobando tu navegador antes de acceder a www.example.com»), también en los nombres api.*, y cualquier otra petición sin pase recibe 403 con {"error":"challenge_required",…} y OpenWAF-Mitigated: challenge, nunca la página HTML. Por defecto el reto es un bit más difícil que el habitual del nombre, y también puedes acortar la duración del pase.
Se lo saltan las rutas de exempt_paths (webhooks, notificaciones de pago), las reglas allow de IP y de ASN, las excepciones del WAF con rule_id 0 y los rastreadores verificados, así que los buscadores siguen indexando; una petición que solo dice ser un rastreador recibe el reto. hosts lo limita a algunos nombres de la zona. Fija until y el plano de control lo desactiva a esa hora como una versión nueva de la zona, que queda en el historial y en la auditoría.
Actívalo desde el resumen de la zona o Seguridad → Verificación (1 h, 6 h, 24 h o hasta desactivarlo), con openwaf-cloud ctl zones under-attack example.com on --for 6h --reason "…", con challenge.under_attack en PATCH /v1/orgs/{org}/zones/{zone}/edge o con la nueva herramienta MCP under_attack. Sus retos aparecen bajo el disparador under_attack en la analítica de Verificación.