# Sitios que no apuntan a OpenWAF

> En una zona externa, averigua por qué un sitio no llega al borde: los estados ok, missing, wrong y proxied_elsewhere y cómo corregir cada uno.

En una [zona externa](https://developers.openwaf.dev/es/dns/external-zones/), cada sitio solo llega a OpenWAF si tu proveedor de DNS lo apunta al borde.
OpenWAF resuelve todos los nombres con proxy de la zona a través de resolvedores públicos e indica cómo apunta cada uno.
El informe es solo informativo: nunca cambia lo que sirve OpenWAF.

**Panel**

El **Resumen** del dominio lista cada sitio con su estado, **Qué responde hoy el DNS** y el
**Registro que debes crear**. **Volver a comprobar** lo actualiza; **DNS › Registros** tiene también una columna
**Apunta aquí**.
**CLI**

```sh
openwaf-cloud ctl zones hosts example.com
```
**API**

```sh
curl "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/hosts" \
  -H "Authorization: Bearer $OPENWAF_TOKEN"
```
```json
{"items": [
  {"name": "www.example.com", "status": "ok", "via": "cname", "answers": ["edge.openwaf.dev"]},
  {"name": "tienda.example.com", "status": "wrong", "via": "a", "answers": ["198.51.100.7"]}
 ],
 "checked_at": "2026-10-27T10:00:00Z"}
```
`via` vale `cname` (el nombre resolvió a través de una cadena CNAME), `a` (solo direcciones) o queda vacío. Si se pide
para una zona delegada, la respuesta es `409 zone_not_external`.
**MCP**

Pregunta a tu asistente si los sitios de example.com apuntan a OpenWAF. Llama a `zone_hosts`.


Los resultados se reutilizan durante un minuto aproximadamente; los resolvedores públicos también pueden guardar la
respuesta anterior durante el TTL del registro.

## Estados

| Estado | Panel | Significado |
|---|---|---|
| `ok` | Apunta a OpenWAF | La cadena CNAME llega a `edge.openwaf.dev`, o todas las direcciones son del borde. |
| `missing` | Sin registro | El nombre no existe (`NXDOMAIN`) o no tiene dirección. |
| `wrong` | Apunta a otro sitio | El nombre resuelve a otro lado: otra dirección, una mezcla de direcciones del borde y otras, o un CNAME que no lleva a ninguna parte. |
| `proxied_elsewhere` | Tras otro proxy | Todas las direcciones son del proxy de Cloudflare (nube naranja). Desde fuera, OpenWAF no puede confirmar si ese tráfico llega al borde. |

## Corregir `missing`

Crea el registro en tu proveedor de DNS: `CNAME` a `edge.openwaf.dev` para un subdominio; en el apex, `A` y `AAAA` con
las direcciones del borde que aparecen en **DNS › Configuración**, o un CNAME si tu proveedor lo aplana. Revisa cómo
está escrito el nombre: el registro tiene que ser exactamente el nombre del sitio.

## Corregir `wrong`

- El registro sigue apuntando al origen: sustitúyelo por el CNAME (o por las direcciones del borde en el apex).
- Conviven registros antiguos y nuevos: en el apex, borra todos los `A`/`AAAA` que no sean direcciones del borde. Una
  mezcla se marca como `wrong` porque parte de los visitantes se saltaría OpenWAF.
- El CNAME apunta a otro nombre de host que no lleva a `edge.openwaf.dev`: apúntalo directamente a `edge.openwaf.dev`.

## Corregir `proxied_elsewhere`

El nombre responde con direcciones de Cloudflare porque el registro tiene proxy allí (nube naranja). Solo funciona si
Cloudflare reenvía ese tráfico a OpenWAF. Salvo que quieras esa cadena, deja el registro en **solo DNS** (nube gris)
para que los visitantes lleguen directamente a OpenWAF. Con Cloudflare delante, además tiene que dejar pasar
`/.well-known/acme-challenge/` hasta OpenWAF para que se emitan los certificados.

## El sitio apunta bien pero no funciona

- **La zona sigue pendiente.** El borde solo sirve zonas activas: publica el registro TXT `_openwaf` y pulsa
  **Comprobar ahora**. Consulta [Mantener tu proveedor de DNS](https://developers.openwaf.dev/es/dns/external-zones/#verify).
- **Aún no hay certificado.** Los certificados se emiten pocos minutos después de que el sitio apunte a OpenWAF.
  Consulta [SSL/TLS](https://developers.openwaf.dev/es/ssl/).
- **El origen rechaza la conexión.** Consulta [SSL/TLS](https://developers.openwaf.dev/es/ssl/) para los errores de TLS hacia el origen (525/526).