Cada zona tiene un modo DNS, que se elige al darla de alta: delegated o external.
delegated | external | |
|---|---|---|
| Quién responde al DNS del dominio | Los servidores de nombres de OpenWAF | Tu proveedor de DNS |
| Registros de la zona | Todo el DNS del dominio: cualquier tipo admitido, con proxy o solo DNS | Solo los sitios: registros A, AAAA y CNAME con proxy |
| Cómo llega un sitio al borde | Su registro con proxy responde con el borde | Tu proveedor lo apunta a edge.openwaf.dev (o a las direcciones del borde en el apex) |
| Prueba de control | El registro del TLD delega el dominio en tu pareja de servidores de nombres | Un registro TXT _openwaf.<zona> con el token de la zona |
| Certificados | Se emiten solos, validados a través del DNS de OpenWAF | Se emiten solos, validados por HTTP a través del borde |
| Comprobación del correo | Compara la zona con lo que ve el mundo y puede aplicar correcciones | Indica qué crear en tu proveedor |
| Configuración | Delegar una zona | Mantener tu proveedor de DNS |
Elige delegada cuando puedas cambiar los servidores de nombres: todo está en un mismo sitio, cada registro queda versionado y las respuestas del borde se basan en comprobaciones de salud. Elige externa cuando no se puedan cambiar los servidores de nombres o el DNS deba quedarse con su proveedor actual.
Estado de la zona
| Estado | Panel | Significado |
|---|---|---|
pending | Pendiente | Espera la delegación (delegada) o el registro TXT de verificación (externa). El borde aún no la sirve. Se borra sola a los 14 días. |
active | Activo | La sirve el borde. Los registros de una zona delegada los publican los servidores de nombres de OpenWAF. |
moved | Delegado fuera | Una zona delegada cuyo registro del TLD ya no muestra tu pareja. No responden por ella ni el WAF ni el DNS de OpenWAF. Volver a poner la pareja la reactiva. |
disabled | Desactivado | No se sirve y, si es delegada, no se publica. Una zona delegada fuera durante 7 días se desactiva; escribe a soporte para volver a activarla. |
pending ──delegada──▶ active ──no delegada──▶ moved ──delegada──▶ active
│
└─ 7 días sin delegar ──▶ disabledUna comprobación que no puede concluir (servidores que no responden, o que no coinciden mientras se propaga un cambio) nunca cambia el estado. Una zona externa verificada sigue activa aunque después se borre su registro TXT.
Por qué la prueba de control
OpenWAF solo sirve dominios cuyo dueño ha demostrado que los controla: con la delegación en las zonas delegadas y con el registro TXT en las externas. Si no, alguien podría dar de alta un dominio que sigue apuntando a OpenWAF por una configuración anterior y servir sus nombres. Por el mismo motivo, un dominio solo se puede dar de alta una vez en la plataforma, y se rechaza un dominio que sea padre o subdominio de otro que gestiona otra organización (409 zone_overlaps).
Cambiar el modo
El modo se elige al dar de alta la zona. Para pasar una zona externa al DNS de OpenWAF sin cortes, escribe a [email protected]: la conversión conserva la zona, sus versiones, ajustes, reglas y certificados, y los sitios siguen funcionando a través de los dos proveedores de DNS hasta que cambia el registro del TLD.