# Mantener tu proveedor de DNS (zonas externas)

> Protege sitios sin cambiar los servidores de nombres. Verifica el dominio con un TXT _openwaf y apunta cada sitio a edge.openwaf.dev con un CNAME.

Una zona **externa** mantiene su DNS en tu proveedor actual. OpenWAF solo sirve los sitios que añades a la zona; cada
uno llega al borde mediante un registro que creas en tu proveedor. Úsala cuando no se pueden cambiar los servidores de
nombres (por ejemplo, dominios registrados en Cloudflare Registrar) o cuando el DNS tiene que quedarse donde está.
Necesitas el rol `tech` o superior.

## 1. Da de alta la zona

**Panel**

**Añadir dominio** › escribe el dominio › **Mantener tu DNS actual (registros CNAME/A)** › **Añadir el dominio**.
**CLI**

```sh
openwaf-cloud ctl zones add example.com --mode external --reason "Alta de example.com"
```
**API**

```sh
curl -X POST "https://dash.openwaf.dev/v1/orgs/$ORG/zones" \
  -H "Authorization: Bearer $OPENWAF_TOKEN" \
  -H "Content-Type: application/json" \
  -H "X-Change-Reason: Alta de example.com" \
  -d '{"name": "example.com", "dns_mode": "external"}'
```
**MCP**

Pide a tu asistente que añada example.com como zona externa. Llama a `add_zone` con `mode: "external"`.


La zona empieza **pendiente**, con un token de verificación aleatorio. Todavía no se publica nada en ningún sitio.

## 2. Añade los sitios

Añade un registro con proxy por sitio: el nombre y su origen, el servidor que responde hoy por él.

```sh
openwaf-cloud ctl records add example.com type=A name=www content=203.0.113.10 proxied=true --reason "Proteger www"
openwaf-cloud ctl records add example.com type=CNAME name=tienda content=tiendas.example.net proxied=true --reason "Proteger tienda"
```

Una zona externa solo contiene registros `A`, `AAAA` y `CNAME` con proxy. El correo y todos los demás registros se
quedan en tu proveedor de DNS. En el panel se añaden en el paso **Sitios** del asistente y en **DNS › Registros**.

## 3. Verifica la propiedad

Crea este registro TXT en tu proveedor de DNS, con el valor exacto que muestra el panel
(**DNS › Configuración › Registro TXT de propiedad**), el campo `verification` de la zona en la API, o
`openwaf-cloud ctl zones show example.com`:

```text
_openwaf.example.com.  TXT  "openwaf-verify=<token>"
```

Algunos proveedores añaden el dominio automáticamente: en ese caso escribe solo `_openwaf` como nombre. El registro
solo demuestra la propiedad; no cambia cómo funcionan tu web ni tu correo.

OpenWAF lo busca en resolvedores públicos cada pocos minutos. **Comprobar ahora**
(`openwaf-cloud ctl zones check example.com`, `POST …/delegation/check` o la herramienta MCP `check_zone`) lo busca al
momento. Basta con que un resolvedor vea el valor; un valor partido en varias cadenas cuenta unido. En cuanto aparece,
la zona pasa a **activa** y el borde sirve sus sitios.

> **Nota**
>
> Sin esta prueba, cualquiera podría dar de alta un dominio cuyo DNS siga apuntando a OpenWAF por una configuración
> anterior y servir sus nombres. Una zona que nunca se verifica se borra sola 14 días después del alta.


## 4. Apunta los sitios a OpenWAF

Solo cuando la zona esté **activa**, cambia en tu proveedor de DNS el registro de cada sitio:

| Sitio | Registro que debes crear |
|---|---|
| Un subdominio (`www`, `tienda`…) | `CNAME` a `edge.openwaf.dev` |
| El apex (`example.com`) | `A` y `AAAA` con las direcciones del borde que aparecen en **DNS › Configuración** (`edge_addresses` en la API), o un `CNAME` a `edge.openwaf.dev` si tu proveedor aplana los CNAME en el apex |

```text
www.example.com.     CNAME  edge.openwaf.dev.
tienda.example.com.  CNAME  edge.openwaf.dev.
```

> **Atención**
>
> Un sitio que apunta a OpenWAF antes de que la zona esté activa deja de funcionar hasta que lo esté: el borde solo sirve
> zonas activas.


Si tu proveedor pone proxy a los registros (la nube naranja de Cloudflare), deja estos registros en **solo DNS** (nube
gris) para que los visitantes lleguen directamente a OpenWAF. Detrás de otro proxy, OpenWAF solo recibe el tráfico si
ese proxy lo reenvía al borde.

## 5. Comprueba el apuntado

El **Resumen** del dominio muestra, para cada sitio, qué responde hoy el DNS público y qué registro debes crear. El
mismo informe sale de `openwaf-cloud ctl zones hosts example.com`, de `GET /v1/orgs/{org}/zones/{zone}/hosts` o de la
herramienta MCP `zone_hosts`. En [Sitios que no apuntan a OpenWAF](https://developers.openwaf.dev/es/dns/external-hosts-not-pointing/) se explica cada
estado.

Cuando un sitio apunta a OpenWAF, su certificado HTTPS se emite automáticamente en pocos minutos, validado por HTTP a
través del borde. Si hay otro proxy delante, tiene que dejar pasar `/.well-known/acme-challenge/` hasta OpenWAF.

## Después de la verificación

Una zona externa verificada sigue activa: si borras el registro TXT o apuntas un sitio a otro lado, la zona conserva su
estado y ese sitio simplemente deja de llegar a OpenWAF. Para dejar de proteger un sitio, apúntalo de nuevo al origen
en tu proveedor y después borra su registro en OpenWAF.

Para pasar más adelante todo el DNS de una zona externa a OpenWAF sin cortes, escribe a soporte: la conversión conserva
la zona, sus ajustes, sus reglas y sus certificados.