# Registros con proxy

> Cómo responde OpenWAF a los nombres con proxy con el borde, mantiene oculto el origen y aplica el proxy a todos los A, AAAA y CNAME de un nombre.

Un registro **con proxy** convierte su nombre en un sitio del borde. Esta página explica qué publica OpenWAF para él;
para decidir qué nombres llevan proxy, consulta [Registros con proxy y solo DNS](https://developers.openwaf.dev/es/fundamentals/proxied-and-dns-only/).

## Qué se publica

| Tu registro | La zona delegada publica | El borde se conecta a |
|---|---|---|
| `www  A  203.0.113.10` (con proxy) | `A`/`AAAA` del borde | `203.0.113.10` |
| `www  CNAME  miapp.example.net` (con proxy) | `A`/`AAAA` del borde | `miapp.example.net` |
| `www  A  203.0.113.10` (solo DNS) | `A 203.0.113.10` | — |

- El contenido del registro es el **origen** y nunca se publica.
- La respuesta del borde es la dirección del nodo sano más cercano. Los nodos se comprueban continuamente; uno que deja
  de responder sale de las respuestas y los visitantes pasan al siguiente.
- Los nombres con proxy usan un TTL corto que gestiona OpenWAF (en el panel aparece como **Auto**). Tu TTL se guarda y
  vuelve a aplicarse si quitas el proxy.
- Un nombre con proxy recibe respuestas `A` y `AAAA` cuando el borde tiene direcciones IPv4 e IPv6, sea cual sea el
  tipo de origen.

En una [zona externa](https://developers.openwaf.dev/es/dns/external-zones/) OpenWAF no publica nada: tu proveedor de DNS apunta el nombre a
`edge.openwaf.dev`, y el registro con proxy de la zona indica al borde qué origen usar.

## Un estado del proxy por nombre

Todos los registros `A`, `AAAA` y `CNAME` de un nombre comparten el estado del proxy. Al cambiar el proxy de uno de
ellos, OpenWAF cambia los demás de ese nombre en el mismo cambio. Un nombre puede tener varios registros `A`/`AAAA`
con proxy (un sitio con varias direcciones de origen) o un solo `CNAME` con proxy.

Un `CNAME` con proxy puede convivir con registros `MX`, `TXT` y otros en el mismo nombre, porque el nombre publica las
direcciones del borde y no un CNAME. Un `CNAME` sin proxy fuera del apex tiene que estar solo en su nombre. Consulta
las [reglas de convivencia](https://developers.openwaf.dev/es/dns/record-types/#coexistence).

## Qué no admite proxy

- Los tipos distintos de `A`, `AAAA` y `CNAME`.
- Los comodines (`*.example.com`) y los nombres con `_`: el borde solo sirve nombres de host exactos.
- Los nombres de correo. Ponerles proxy rompe el correo; la [comprobación del correo](https://developers.openwaf.dev/es/dns/email-records/) marca como
  error un nombre de correo con proxy o un destino MX con proxy.

## Certificados

Cada nombre con proxy recibe un certificado HTTPS que OpenWAF emite y renueva automáticamente (Let's Encrypt). Activar
el proxy en un nombre nuevo pone en marcha la emisión, que suele tardar un par de minutos. Consulta [SSL/TLS](https://developers.openwaf.dev/es/ssl/).

## Ajustes por nombre

Cada nombre con proxy es un sitio que hereda los ajustes y las reglas de la zona, y puede cambiar algunos (puerto del
origen, sensibilidad del WAF, caché…). Consulta [Ajustes por nombre](https://developers.openwaf.dev/es/fundamentals/zones-names-and-sites/#per-name-settings).