# Añadir tu primer sitio

> Añade un dominio a OpenWAF, apúntalo al borde con servidores de nombres o un CNAME y pon su primer sitio detrás del WAF con certificado automático.

Un sitio pasa por OpenWAF cuando su nombre responde con el borde de OpenWAF. Hay dos maneras de conseguirlo; elige una
por dominio:

| | Delegado (recomendado) | Externo |
|---|---|---|
| Opción en el panel | **Usar los servidores de nombres de OpenWAF** | **Mantener tu DNS actual (registros CNAME/A)** |
| Quién responde al DNS | OpenWAF, para todos los nombres del dominio | Tu proveedor de DNS actual |
| Qué cambias | Los servidores de nombres en el registrador | Un registro TXT y después un CNAME (o A/AAAA) por sitio |
| Activación | Cuando el registrador delega el dominio en tu pareja | Cuando el registro TXT es visible |
| Indicado para | La mayoría de dominios: todo en un mismo sitio | Dominios registrados en Cloudflare Registrar, o cuando el DNS debe quedarse donde está |

En [Zonas delegadas y externas](https://developers.openwaf.dev/es/dns/dns-modes/) tienes la comparación completa. Necesitas el rol `tech` o superior.

## Antes de empezar

- Añade el **dominio registrable** (`example.com`), no un subdominio ni una URL. Los subdominios como `www` o `tienda`
  son nombres dentro del dominio.
- Ten a mano la dirección de tu **origen**: el servidor que responde hoy al sitio (una IP o un nombre de host).
- Los sitios nuevos se conectan al origen por HTTPS y verifican su certificado (Full strict). Si tu origen solo habla
  HTTP o tiene un certificado autofirmado, mira [SSL/TLS](https://developers.openwaf.dev/es/ssl/) antes de activar el proxy.
- El WAF está activado en los dominios nuevos, en modo bloqueo y con sensibilidad media. En [WAF](https://developers.openwaf.dev/es/waf/) verás cómo
  empezar en modo solo registro.

## Dominio delegado

1. **Añade el dominio.** En el panel, abre **Añadir dominio**, escribe `example.com` y elige
   **Usar los servidores de nombres de OpenWAF (recomendado)**. Si quieres, indica el
   [cliente](https://developers.openwaf.dev/es/fundamentals/agencies-and-clients/) al que pertenece. Pulsa **Añadir el dominio**.

**Panel**

   **Dominios › Añadir dominio**, como arriba. Justo después del alta, el mismo formulario se abre como
   **Vamos a proteger tu primer sitio**.
**CLI**

   ```sh
   openwaf-cloud ctl zones add example.com --reason "Alta de example.com"
   ```
**API**

   ```sh
   curl -X POST "https://dash.openwaf.dev/v1/orgs/$ORG/zones" \
     -H "Authorization: Bearer $OPENWAF_TOKEN" \
     -H "Content-Type: application/json" \
     -H "X-Change-Reason: Alta de example.com" \
     -d '{"name": "example.com", "dns_mode": "delegated"}'
   ```
   La respuesta (`201`) incluye el `id` de la zona, su `ns_pair` y cuántos registros públicos se han importado.
**MCP**

   Pide a tu asistente: *«Añade example.com a OpenWAF con los servidores de nombres de OpenWAF»*. Llama a `add_zone`
   con `mode: "delegated"`, te enseña el plan y solo lo aplica cuando confirmas.


2. **Revisa los registros DNS.** OpenWAF copia en la zona nueva los registros que publica hoy tu dominio (y los nombres
   que aparecen en los registros públicos de certificados), **sin proxy**. Comprueba que está todo, sobre todo el
   correo (`MX`, `TXT`): tras el cambio solo resolverán estos registros. Pulsa **Volver a buscar** para buscar más, o
   añade registros a mano. Consulta [Gestionar registros DNS](https://developers.openwaf.dev/es/dns/manage-records/).

3. **Cambia los servidores de nombres en tu registrador.** Sustituye todos los servidores de nombres actuales del
   dominio por exactamente los dos que se muestran (la pareja de tu organización). Si el registrador tiene DNSSEC
   activado, desactívalo antes. El panel trae instrucciones paso a paso para los registradores más habituales y
   muestra el estado de la delegación en directo. Consulta [Delegar una zona en OpenWAF](https://developers.openwaf.dev/es/dns/delegate-a-zone/).

4. **Espera a la activación.** OpenWAF comprueba la delegación cada pocos minutos y activa el dominio en cuanto el
   registro del TLD y los resolvedores públicos muestran tu pareja. Suele tardar de minutos a unas horas, y hasta 48
   horas en algunos dominios de primer nivel. Pulsa **Comprobar ahora** para comprobarlo al momento.

5. **Activa el proxy de tus sitios.** En **DNS › Registros**, pon el **Estado del proxy** en **Con proxy** en los
   registros `A`, `AAAA` o `CNAME` de cada sitio que quieras proteger (por ejemplo `example.com` y `www`). Su contenido
   pasa a ser el origen al que se conecta el borde. Consulta
   [Registros con proxy y solo DNS](https://developers.openwaf.dev/es/fundamentals/proxied-and-dns-only/).

6. **Deja que se emitan los certificados.** OpenWAF emite los certificados HTTPS automáticamente, normalmente en un
   par de minutos. El **Resumen** del dominio indica cuándo están protegidos todos los sitios.


## Dominio externo

1. **Añade el dominio.** Abre **Añadir dominio**, escribe `example.com` y elige
   **Mantener tu DNS actual (registros CNAME/A)**.

**Panel**

   **Dominios › Añadir dominio › Mantener tu DNS actual (registros CNAME/A)**.
**CLI**

   ```sh
   openwaf-cloud ctl zones add example.com --mode external --reason "Alta de example.com"
   ```
**API**

   ```sh
   curl -X POST "https://dash.openwaf.dev/v1/orgs/$ORG/zones" \
     -H "Authorization: Bearer $OPENWAF_TOKEN" \
     -H "Content-Type: application/json" \
     -H "X-Change-Reason: Alta de example.com" \
     -d '{"name": "example.com", "dns_mode": "external"}'
   ```
**MCP**

   Pide a tu asistente: *«Añade example.com a OpenWAF y mantén su DNS actual»*. Llama a `add_zone` con
   `mode: "external"`.


2. **Indica los sitios que quieres proteger.** Para cada uno, escribe el nombre (`www`, o `@` para el propio
   `example.com`) y su origen (`203.0.113.10` u `origen.example.net`). Cada sitio se convierte en un registro con
   proxy de la zona.

3. **Verifica que el dominio es tuyo.** En tu proveedor de DNS actual, crea el registro TXT que se muestra:

   ```text
   _openwaf.example.com.  TXT  "openwaf-verify=<token>"
   ```

   OpenWAF lo busca cada pocos minutos (o al pulsar **Comprobar ahora**) y activa el dominio cuando lo ve un resolvedor
   público. Consulta [Mantener tu proveedor de DNS](https://developers.openwaf.dev/es/dns/external-zones/).

4. **Apunta cada sitio a OpenWAF.** Solo cuando el dominio esté activo, cambia en tu proveedor de DNS el registro de
   cada sitio:

   ```text
   www.example.com.  CNAME  edge.openwaf.dev.
   ```

   En la raíz del dominio, donde no cabe un CNAME, crea registros `A` y `AAAA` con las direcciones del borde que
   aparecen en **DNS › Configuración**, o un CNAME si tu proveedor lo aplana.

5. **Comprueba el apuntado.** El **Resumen** del dominio muestra si cada sitio apunta a OpenWAF. Los certificados HTTPS
   se emiten automáticamente pocos minutos después de que un sitio apunte aquí.


> **Atención**
>
> En un dominio externo, apuntar un sitio a OpenWAF **antes** de que el dominio esté verificado lo deja sin servicio
> hasta que termine la verificación: el borde solo sirve dominios activos.


## Con el sitio ya en marcha

- [WAF](https://developers.openwaf.dev/es/waf/): Ajusta la sensibilidad, añade excepciones y revisa las peticiones bloqueadas.
- [Reglas](https://developers.openwaf.dev/es/rules/): Reglas por IP y por país, límites de peticiones y redirecciones.
- [Control de cambios](https://developers.openwaf.dev/es/change-control/): Consulta el historial de cada cambio y deshazlo en un paso.
- [Analítica](https://developers.openwaf.dev/es/analytics/): Tráfico, eventos de seguridad y rendimiento real.