# Delegar una zona en OpenWAF

> Pon en el registrador la pareja de servidores de nombres de tu organización para que OpenWAF responda por el dominio, y sigue la delegación hasta activarla.

En una zona **delegada**, los servidores de nombres de OpenWAF responden por todos los nombres del dominio. Delegas el
dominio poniendo en el registrador la **pareja de servidores de nombres** de tu organización. Necesitas el rol `tech`
o superior.

## Tu pareja de servidores de nombres

Cada organización recibe al crearse una pareja fija de nombres bajo `ns.openwaf.dev`, por ejemplo:

```text
faros.ns.openwaf.dev
polaris.ns.openwaf.dev
```

Todas las zonas delegadas de la organización usan la misma pareja, así que todos los clientes de una agencia reciben
los mismos dos nombres. La pareja no cambia nunca. Si tu organización ha activado
[servidores de nombres propios](https://developers.openwaf.dev/es/dns/custom-nameservers/), usa esos.

Encontrarás tu pareja en:

- el panel: **DNS › Configuración** del dominio, o el último paso de **Añadir dominio**;
- la API: `ns_pair` en `GET /v1/orgs/{org}` y en cada zona, o `nameservers` en
  `GET /v1/orgs/{org}/zones/{zone}/delegation`;
- la CLI: `openwaf-cloud ctl zones show example.com`.

## Delegar el dominio

1. **Da de alta la zona** con el modo DNS `delegated` (el predeterminado). Consulta
   [Añadir tu primer sitio](https://developers.openwaf.dev/es/fundamentals/add-site/#delegated). OpenWAF copia en la zona, sin proxy, los registros que
   encuentra en el DNS público actual del dominio.
2. **Revisa los registros** en **DNS › Registros** antes del cambio. Después solo resolverán los registros de la zona:
   compáralos con tu proveedor actual, sobre todo los `MX`, los `TXT` (SPF, DKIM, verificaciones) y cualquier
   subdominio. Usa **Importar** para cargar un fichero de zona BIND exportado del proveedor anterior. Consulta
   [Gestionar registros DNS](https://developers.openwaf.dev/es/dns/manage-records/#import).
3. **Desactiva DNSSEC** en el registrador si está activado: quita los registros DS antes de cambiar los servidores de
   nombres, o el dominio dejará de resolver. OpenWAF todavía no firma zonas.
4. **Sustituye todos los servidores de nombres** en el registrador por exactamente tus dos nombres. Borra cualquier
   otra entrada: la delegación solo se acepta cuando el registro del TLD muestra exactamente tu pareja.
5. **Espera al registro del TLD.** El cambio suele tardar de minutos a unas horas, y hasta 24–48 horas en algunos
   dominios de primer nivel como `.es`.


El último paso de **Añadir dominio** (y el **Resumen** del dominio mientras está pendiente) trae instrucciones para
los registradores más habituales: OVHcloud, GoDaddy, Namecheap, IONOS y Dondominio.

> **Atención**
>
> Cloudflare Registrar no permite servidores de nombres fuera de Cloudflare. Transfiere antes el dominio a otro
> registrador, o añádelo como [zona externa](https://developers.openwaf.dev/es/dns/external-zones/).


## Seguir la delegación

OpenWAF comprueba las zonas pendientes cada pocos minutos. Cada comprobación pregunta a los servidores de la zona padre
(el registro del TLD) y a resolvedores públicos qué servidores de nombres ven para el dominio:

| Resultado | Significado |
|---|---|
| **Delegado** | Todos los servidores responden con exactamente tu pareja. La zona pasa a **activa**. |
| **Aún no está delegado** | El registro del TLD responde con otros servidores de nombres (o con ninguno). |
| **No concluyente** | Algunos servidores no responden o no coinciden entre sí, normalmente porque el cambio todavía se está propagando. Una comprobación no concluyente nunca cambia el estado de la zona. |

Para comprobarlo al momento:

**Panel**

Pulsa **Comprobar ahora** en **Estado de la delegación**. El panel muestra lo que ve cada servidor y se actualiza cada
15 segundos.
**CLI**

```sh
openwaf-cloud ctl zones check example.com
```
**API**

```sh
curl -X POST "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/delegation/check" \
  -H "Authorization: Bearer $OPENWAF_TOKEN"
```
La respuesta trae el `status` de la zona y, en `observation`, el `verdict` (`delegated`, `not_delegated` o
`inconclusive`) y los servidores de nombres que ha visto cada fuente. `GET …/delegation` devuelve el último resultado
sin volver a comprobar.
**MCP**

Pide a tu asistente que compruebe la delegación de example.com. Llama a `check_zone`, que no necesita confirmación.


## Cuando la zona está activa

- Los servidores de nombres de OpenWAF responden por el dominio. Los nombres con proxy responden con el borde; los
  demás, con su contenido.
- Los certificados de los nombres con proxy se emiten automáticamente.
- Activa el proxy de los sitios que quieras proteger: los registros importados empiezan como **Solo DNS**. Consulta
  [Registros con proxy y solo DNS](https://developers.openwaf.dev/es/fundamentals/proxied-and-dns-only/).

Tras la activación, OpenWAF sigue comprobando la delegación cada hora. Si el registro del TLD deja de apuntar a tu
pareja, la zona pasa a **Delegado fuera**: no responden por ella ni el WAF ni el DNS de OpenWAF. Vuelve a poner la
pareja en el registrador y la siguiente comprobación la reactiva. Una zona que sigue delegada fuera durante 7 días se
desactiva; escribe a soporte para volver a activarla.

> **Nota**
>
> Una zona delegada que nunca llega a delegarse se borra sola 14 días después del alta. Puedes volver a darla de alta más
> adelante.


¿Problemas? Consulta [No se detecta la delegación](https://developers.openwaf.dev/es/dns/delegation-not-detected/).