Una zona delegada se activa cuando todos los servidores a los que pregunta OpenWAF (los servidores de la zona padre, es decir, el registro del TLD, y resolvedores públicos) responden con exactamente tu pareja de servidores de nombres. Empieza por ver qué ve cada uno:
- Panel: Resumen del dominio › Estado de la delegación › Qué ve el DNS, y después Comprobar ahora.
- CLI:
openwaf-cloud ctl zones check example.com. - API:
POST /v1/orgs/{org}/zones/{zone}/delegation/check;observation.sourceslista cada servidor con losnsque ha visto, si coinciden (match) y cualquiererror.
También puedes seguir tú la delegación desde la raíz; el último conjunto NS que aparece antes de que respondan tus propios servidores es el que publica el registro del TLD:
dig +trace NS example.com
dig +short NS example.com @1.1.1.1Aún no está delegado
El registro del TLD responde con otros servidores de nombres.
- El cambio no se ha guardado en el registrador. Revisa otra vez los servidores de nombres del dominio. Algunos registradores piden una confirmación por correo o muestran el cambio «en curso» hasta que el registro lo acepta.
- El registro del TLD aún no lo ha publicado. Suele tardar de minutos a unas horas, y hasta 24–48 horas en algunos TLD como
.es. - Nombres equivocados. Copia los dos nombres tal cual de DNS › Configuración. Si tu organización usa servidores de nombres propios, se aceptan esos o la pareja
*.ns.openwaf.dev; nada más. - Servidores de nombres de más. El registro tiene que mostrar exactamente tus dos nombres. Un tercero (por ejemplo uno del proveedor anterior) hace que el conjunto sea distinto: borra cualquier otra entrada en el registrador.
- El registrador es Cloudflare Registrar. No permite servidores de nombres fuera de Cloudflare: transfiere el dominio o usa una zona externa.
No concluyente
Algunos servidores no responden o no coinciden entre sí. Una comprobación no concluyente nunca cambia el estado de la zona.
- Los resolvedores aún tienen en caché los servidores antiguos. El registro del TLD ya muestra tu pareja, pero los resolvedores públicos conservan la respuesta anterior hasta que caduca su TTL, que en algunos TLD puede ser de uno o dos días. La zona se activa en la primera comprobación tras caducar las cachés; no hace falta nada más.
- DNSSEC sigue activado. Si el registrador sigue publicando registros DS del proveedor anterior, los resolvedores que validan no consiguen resolver el dominio (
SERVFAIL). Quita los registros DS (desactiva DNSSEC) en el registrador. OpenWAF todavía no firma zonas. - Errores pasajeros. Si un servidor no responde a tiempo, vuelve a comprobarlo en unos minutos.
Delegado fuera
Una zona activa pasa a Delegado fuera cuando el registro del TLD deja de mostrar tu pareja, por ejemplo tras un restablecimiento en el registrador o una transferencia. No responden por ella ni el WAF ni el DNS de OpenWAF. Vuelve a poner la pareja en el registrador y pulsa Comprobar ahora: la zona vuelve a estar activa. Tras 7 días como Delegado fuera la zona se desactiva; escribe a [email protected] para activarla.
La zona ha desaparecido
Una zona delegada que nunca llega a delegarse se borra sola 14 días después del alta. Vuelve a darla de alta y cambia los servidores de nombres.
¿Sigues atascado?
Escribe a [email protected] con el nombre del dominio y el resultado de la comprobación de la delegación.