En una zona externa, cada sitio solo llega a OpenWAF si tu proveedor de DNS lo apunta al borde. OpenWAF resuelve todos los nombres con proxy de la zona a través de resolvedores públicos e indica cómo apunta cada uno. El informe es solo informativo: nunca cambia lo que sirve OpenWAF.
El Resumen del dominio lista cada sitio con su estado, Qué responde hoy el DNS y el Registro que debes crear. Volver a comprobar lo actualiza; DNS › Registros tiene también una columna Apunta aquí.
openwaf-cloud ctl zones hosts example.comcurl "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/hosts" \
-H "Authorization: Bearer $OPENWAF_TOKEN"{"items": [
{"name": "www.example.com", "status": "ok", "via": "cname", "answers": ["edge.openwaf.dev"]},
{"name": "tienda.example.com", "status": "wrong", "via": "a", "answers": ["198.51.100.7"]}
],
"checked_at": "2026-10-27T10:00:00Z"}via vale cname (el nombre resolvió a través de una cadena CNAME), a (solo direcciones) o queda vacío. Si se pide para una zona delegada, la respuesta es 409 zone_not_external.
Pregunta a tu asistente si los sitios de example.com apuntan a OpenWAF. Llama a zone_hosts.
Los resultados se reutilizan durante un minuto aproximadamente; los resolvedores públicos también pueden guardar la respuesta anterior durante el TTL del registro.
Estados
| Estado | Panel | Significado |
|---|---|---|
ok | Apunta a OpenWAF | La cadena CNAME llega a edge.openwaf.dev, o todas las direcciones son del borde. |
missing | Sin registro | El nombre no existe (NXDOMAIN) o no tiene dirección. |
wrong | Apunta a otro sitio | El nombre resuelve a otro lado: otra dirección, una mezcla de direcciones del borde y otras, o un CNAME que no lleva a ninguna parte. |
proxied_elsewhere | Tras otro proxy | Todas las direcciones son del proxy de Cloudflare (nube naranja). Desde fuera, OpenWAF no puede confirmar si ese tráfico llega al borde. |
Corregir missing
Crea el registro en tu proveedor de DNS: CNAME a edge.openwaf.dev para un subdominio; en el apex, A y AAAA con las direcciones del borde que aparecen en DNS › Configuración, o un CNAME si tu proveedor lo aplana. Revisa cómo está escrito el nombre: el registro tiene que ser exactamente el nombre del sitio.
Corregir wrong
- El registro sigue apuntando al origen: sustitúyelo por el CNAME (o por las direcciones del borde en el apex).
- Conviven registros antiguos y nuevos: en el apex, borra todos los
A/AAAAque no sean direcciones del borde. Una mezcla se marca comowrongporque parte de los visitantes se saltaría OpenWAF. - El CNAME apunta a otro nombre de host que no lleva a
edge.openwaf.dev: apúntalo directamente aedge.openwaf.dev.
Corregir proxied_elsewhere
El nombre responde con direcciones de Cloudflare porque el registro tiene proxy allí (nube naranja). Solo funciona si Cloudflare reenvía ese tráfico a OpenWAF. Salvo que quieras esa cadena, deja el registro en solo DNS (nube gris) para que los visitantes lleguen directamente a OpenWAF. Con Cloudflare delante, además tiene que dejar pasar /.well-known/acme-challenge/ hasta OpenWAF para que se emitan los certificados.
El sitio apunta bien pero no funciona
- La zona sigue pendiente. El borde solo sirve zonas activas: publica el registro TXT
_openwafy pulsa Comprobar ahora. Consulta Mantener tu proveedor de DNS. - Aún no hay certificado. Los certificados se emiten pocos minutos después de que el sitio apunte a OpenWAF. Consulta SSL/TLS.
- El origen rechaza la conexión. Consulta SSL/TLS para los errores de TLS hacia el origen (525/526).