# Modo bajo ataque en OpenWAF Verify

> Un solo interruptor pone todas las páginas de una zona detrás del reto de navegador durante un ataque, con rutas exceptuadas para webhooks y fin automático.

El [modo bajo ataque](https://developers.openwaf.dev/es/waf/under-attack/) pone el reto de navegador delante de toda la zona mientras sufre una avalancha en la capa de aplicación o una oleada de scraping. Toda navegación de navegador sin un `__waf_pass` válido recibe la página de prueba de trabajo («Comprobando tu navegador antes de acceder a www.example.com»), también en los nombres `api.*`, y cualquier otra petición sin pase recibe `403` con `{"error":"challenge_required",…}` y `OpenWAF-Mitigated: challenge`, nunca la página HTML. Por defecto el reto es un bit más difícil que el habitual del nombre, y también puedes acortar la duración del pase.

Se lo saltan las rutas de `exempt_paths` (webhooks, notificaciones de pago), las reglas `allow` de IP y de ASN, las excepciones del WAF con `rule_id` 0 y los rastreadores verificados, así que los buscadores siguen indexando; una petición que solo dice ser un rastreador recibe el reto. `hosts` lo limita a algunos nombres de la zona. Fija `until` y el plano de control lo desactiva a esa hora como una versión nueva de la zona, que queda en el historial y en la auditoría.

Actívalo desde el resumen de la zona o **Seguridad → Verificación** (1 h, 6 h, 24 h o hasta desactivarlo), con `openwaf-cloud ctl zones under-attack example.com on --for 6h --reason "…"`, con `challenge.under_attack` en `PATCH /v1/orgs/{org}/zones/{zone}/edge` o con la nueva herramienta MCP `under_attack`. Sus retos aparecen bajo el disparador `under_attack` en la analítica de Verificación.