Una zona externa mantiene su DNS en tu proveedor actual. OpenWAF solo sirve los sitios que añades a la zona; cada uno llega al borde mediante un registro que creas en tu proveedor. Úsala cuando no se pueden cambiar los servidores de nombres (por ejemplo, dominios registrados en Cloudflare Registrar) o cuando el DNS tiene que quedarse donde está. Necesitas el rol tech o superior.
1. Da de alta la zona
Añadir dominio › escribe el dominio › Mantener tu DNS actual (registros CNAME/A) › Añadir el dominio.
openwaf-cloud ctl zones add example.com --mode external --reason "Alta de example.com"curl -X POST "https://dash.openwaf.dev/v1/orgs/$ORG/zones" \
-H "Authorization: Bearer $OPENWAF_TOKEN" \
-H "Content-Type: application/json" \
-H "X-Change-Reason: Alta de example.com" \
-d '{"name": "example.com", "dns_mode": "external"}'Pide a tu asistente que añada example.com como zona externa. Llama a add_zone con mode: "external".
La zona empieza pendiente, con un token de verificación aleatorio. Todavía no se publica nada en ningún sitio.
2. Añade los sitios
Añade un registro con proxy por sitio: el nombre y su origen, el servidor que responde hoy por él.
openwaf-cloud ctl records add example.com type=A name=www content=203.0.113.10 proxied=true --reason "Proteger www"
openwaf-cloud ctl records add example.com type=CNAME name=tienda content=tiendas.example.net proxied=true --reason "Proteger tienda"Una zona externa solo contiene registros A, AAAA y CNAME con proxy. El correo y todos los demás registros se quedan en tu proveedor de DNS. En el panel se añaden en el paso Sitios del asistente y en DNS › Registros.
3. Verifica la propiedad
Crea este registro TXT en tu proveedor de DNS, con el valor exacto que muestra el panel (DNS › Configuración › Registro TXT de propiedad), el campo verification de la zona en la API, o openwaf-cloud ctl zones show example.com:
_openwaf.example.com. TXT "openwaf-verify=<token>"Algunos proveedores añaden el dominio automáticamente: en ese caso escribe solo _openwaf como nombre. El registro solo demuestra la propiedad; no cambia cómo funcionan tu web ni tu correo.
OpenWAF lo busca en resolvedores públicos cada pocos minutos. Comprobar ahora (openwaf-cloud ctl zones check example.com, POST …/delegation/check o la herramienta MCP check_zone) lo busca al momento. Basta con que un resolvedor vea el valor; un valor partido en varias cadenas cuenta unido. En cuanto aparece, la zona pasa a activa y el borde sirve sus sitios.
4. Apunta los sitios a OpenWAF
Solo cuando la zona esté activa, cambia en tu proveedor de DNS el registro de cada sitio:
| Sitio | Registro que debes crear |
|---|---|
Un subdominio (www, tienda…) | CNAME a edge.openwaf.dev |
El apex (example.com) | A y AAAA con las direcciones del borde que aparecen en DNS › Configuración (edge_addresses en la API), o un CNAME a edge.openwaf.dev si tu proveedor aplana los CNAME en el apex |
www.example.com. CNAME edge.openwaf.dev.
tienda.example.com. CNAME edge.openwaf.dev.Si tu proveedor pone proxy a los registros (la nube naranja de Cloudflare), deja estos registros en solo DNS (nube gris) para que los visitantes lleguen directamente a OpenWAF. Detrás de otro proxy, OpenWAF solo recibe el tráfico si ese proxy lo reenvía al borde.
5. Comprueba el apuntado
El Resumen del dominio muestra, para cada sitio, qué responde hoy el DNS público y qué registro debes crear. El mismo informe sale de openwaf-cloud ctl zones hosts example.com, de GET /v1/orgs/{org}/zones/{zone}/hosts o de la herramienta MCP zone_hosts. En Sitios que no apuntan a OpenWAF se explica cada estado.
Cuando un sitio apunta a OpenWAF, su certificado HTTPS se emite automáticamente en pocos minutos, validado por HTTP a través del borde. Si hay otro proxy delante, tiene que dejar pasar /.well-known/acme-challenge/ hasta OpenWAF.
Después de la verificación
Una zona externa verificada sigue activa: si borras el registro TXT o apuntas un sitio a otro lado, la zona conserva su estado y ese sitio simplemente deja de llegar a OpenWAF. Para dejar de proteger un sitio, apúntalo de nuevo al origen en tu proveedor y después borra su registro en OpenWAF.
Para pasar más adelante todo el DNS de una zona externa a OpenWAF sin cortes, escribe a soporte: la conversión conserva la zona, sus ajustes, sus reglas y sus certificados.