En una zona delegada, los servidores de nombres de OpenWAF responden por todos los nombres del dominio. Delegas el dominio poniendo en el registrador la pareja de servidores de nombres de tu organización. Necesitas el rol tech o superior.
Tu pareja de servidores de nombres
Cada organización recibe al crearse una pareja fija de nombres bajo ns.openwaf.dev, por ejemplo:
faros.ns.openwaf.dev
polaris.ns.openwaf.devTodas las zonas delegadas de la organización usan la misma pareja, así que todos los clientes de una agencia reciben los mismos dos nombres. La pareja no cambia nunca. Si tu organización ha activado servidores de nombres propios, usa esos.
Encontrarás tu pareja en:
- el panel: DNS › Configuración del dominio, o el último paso de Añadir dominio;
- la API:
ns_pairenGET /v1/orgs/{org}y en cada zona, onameserversenGET /v1/orgs/{org}/zones/{zone}/delegation; - la CLI:
openwaf-cloud ctl zones show example.com.
Delegar el dominio
- Da de alta la zona con el modo DNS
delegated(el predeterminado). Consulta Añadir tu primer sitio. OpenWAF copia en la zona, sin proxy, los registros que encuentra en el DNS público actual del dominio. - Revisa los registros en DNS › Registros antes del cambio. Después solo resolverán los registros de la zona: compáralos con tu proveedor actual, sobre todo los
MX, losTXT(SPF, DKIM, verificaciones) y cualquier subdominio. Usa Importar para cargar un fichero de zona BIND exportado del proveedor anterior. Consulta Gestionar registros DNS. - Desactiva DNSSEC en el registrador si está activado: quita los registros DS antes de cambiar los servidores de nombres, o el dominio dejará de resolver. OpenWAF todavía no firma zonas.
- Sustituye todos los servidores de nombres en el registrador por exactamente tus dos nombres. Borra cualquier otra entrada: la delegación solo se acepta cuando el registro del TLD muestra exactamente tu pareja.
- Espera al registro del TLD. El cambio suele tardar de minutos a unas horas, y hasta 24–48 horas en algunos dominios de primer nivel como
.es.
El último paso de Añadir dominio (y el Resumen del dominio mientras está pendiente) trae instrucciones para los registradores más habituales: OVHcloud, GoDaddy, Namecheap, IONOS y Dondominio.
Seguir la delegación
OpenWAF comprueba las zonas pendientes cada pocos minutos. Cada comprobación pregunta a los servidores de la zona padre (el registro del TLD) y a resolvedores públicos qué servidores de nombres ven para el dominio:
| Resultado | Significado |
|---|---|
| Delegado | Todos los servidores responden con exactamente tu pareja. La zona pasa a activa. |
| Aún no está delegado | El registro del TLD responde con otros servidores de nombres (o con ninguno). |
| No concluyente | Algunos servidores no responden o no coinciden entre sí, normalmente porque el cambio todavía se está propagando. Una comprobación no concluyente nunca cambia el estado de la zona. |
Para comprobarlo al momento:
Pulsa Comprobar ahora en Estado de la delegación. El panel muestra lo que ve cada servidor y se actualiza cada 15 segundos.
openwaf-cloud ctl zones check example.comcurl -X POST "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/delegation/check" \
-H "Authorization: Bearer $OPENWAF_TOKEN"La respuesta trae el status de la zona y, en observation, el verdict (delegated, not_delegated o inconclusive) y los servidores de nombres que ha visto cada fuente. GET …/delegation devuelve el último resultado sin volver a comprobar.
Pide a tu asistente que compruebe la delegación de example.com. Llama a check_zone, que no necesita confirmación.
Cuando la zona está activa
- Los servidores de nombres de OpenWAF responden por el dominio. Los nombres con proxy responden con el borde; los demás, con su contenido.
- Los certificados de los nombres con proxy se emiten automáticamente.
- Activa el proxy de los sitios que quieras proteger: los registros importados empiezan como Solo DNS. Consulta Registros con proxy y solo DNS.
Tras la activación, OpenWAF sigue comprobando la delegación cada hora. Si el registro del TLD deja de apuntar a tu pareja, la zona pasa a Delegado fuera: no responden por ella ni el WAF ni el DNS de OpenWAF. Vuelve a poner la pareja en el registrador y la siguiente comprobación la reactiva. Una zona que sigue delegada fuera durante 7 días se desactiva; escribe a soporte para volver a activarla.
¿Problemas? Consulta No se detecta la delegación.