# Zonas delegadas y externas

> Los dos modos DNS de una zona, qué guarda y publica cada uno, y los estados por los que pasa una zona desde pendiente hasta activa.

Cada zona tiene un **modo DNS**, que se elige al darla de alta: `delegated` o `external`.

| | `delegated` | `external` |
|---|---|---|
| Quién responde al DNS del dominio | Los servidores de nombres de OpenWAF | Tu proveedor de DNS |
| Registros de la zona | Todo el DNS del dominio: cualquier [tipo admitido](https://developers.openwaf.dev/es/dns/record-types/), con proxy o solo DNS | Solo los sitios: registros `A`, `AAAA` y `CNAME` con proxy |
| Cómo llega un sitio al borde | Su registro con proxy responde con el borde | Tu proveedor lo apunta a `edge.openwaf.dev` (o a las direcciones del borde en el apex) |
| Prueba de control | El registro del TLD delega el dominio en tu pareja de servidores de nombres | Un registro TXT `_openwaf.<zona>` con el token de la zona |
| Certificados | Se emiten solos, validados a través del DNS de OpenWAF | Se emiten solos, validados por HTTP a través del borde |
| [Comprobación del correo](https://developers.openwaf.dev/es/dns/email-records/) | Compara la zona con lo que ve el mundo y puede aplicar correcciones | Indica qué crear en tu proveedor |
| Configuración | [Delegar una zona](https://developers.openwaf.dev/es/dns/delegate-a-zone/) | [Mantener tu proveedor de DNS](https://developers.openwaf.dev/es/dns/external-zones/) |

Elige **delegada** cuando puedas cambiar los servidores de nombres: todo está en un mismo sitio, cada registro queda
versionado y las respuestas del borde se basan en comprobaciones de salud. Elige **externa** cuando no se puedan
cambiar los servidores de nombres o el DNS deba quedarse con su proveedor actual.

## Estado de la zona

| Estado | Panel | Significado |
|---|---|---|
| `pending` | Pendiente | Espera la delegación (delegada) o el registro TXT de verificación (externa). El borde aún no la sirve. Se borra sola a los 14 días. |
| `active` | Activo | La sirve el borde. Los registros de una zona delegada los publican los servidores de nombres de OpenWAF. |
| `moved` | Delegado fuera | Una zona delegada cuyo registro del TLD ya no muestra tu pareja. No responden por ella ni el WAF ni el DNS de OpenWAF. Volver a poner la pareja la reactiva. |
| `disabled` | Desactivado | No se sirve y, si es delegada, no se publica. Una zona delegada fuera durante 7 días se desactiva; escribe a soporte para volver a activarla. |

```text
pending ──delegada──▶ active ──no delegada──▶ moved ──delegada──▶ active
                                                │
                                                └─ 7 días sin delegar ──▶ disabled
```

Una comprobación que no puede concluir (servidores que no responden, o que no coinciden mientras se propaga un cambio)
nunca cambia el estado. Una zona externa verificada sigue activa aunque después se borre su registro TXT.

## Por qué la prueba de control

OpenWAF solo sirve dominios cuyo dueño ha demostrado que los controla: con la delegación en las zonas delegadas y con
el registro TXT en las externas. Si no, alguien podría dar de alta un dominio que sigue apuntando a OpenWAF por una
configuración anterior y servir sus nombres. Por el mismo motivo, un dominio solo se puede dar de alta una vez en la
plataforma, y se rechaza un dominio que sea padre o subdominio de otro que gestiona otra organización
(`409 zone_overlaps`).

## Cambiar el modo

El modo se elige al dar de alta la zona. Para pasar una zona externa al DNS de OpenWAF sin cortes, escribe a
[support@openwaf.dev](mailto:support@openwaf.dev): la conversión conserva la zona, sus versiones, ajustes, reglas y
certificados, y los sitios siguen funcionando a través de los dos proveedores de DNS hasta que cambia el registro del
TLD.