Cómo funciona OpenWAF

OpenWAF se sitúa entre tus visitantes y tu servidor de origen. El DNS envía a los visitantes al borde, el borde inspecciona cada petición y solo las permitidas llegan al origen. Un plano de control aparte guarda tu configuración y la publica en el borde.

Visitante ──1. consulta DNS──▶ Servidores de nombres de OpenWAF (o tu DNS + CNAME)
   │                              └─ respuesta: una dirección del borde
   └──2. HTTPS──▶ Nodo del borde (Alemania o España) ──3. peticiones permitidas──▶ Tu origen
                     ▲
                     └── configuración firmada ── Plano de control

#1. El DNS envía a los visitantes al borde

Cuando un visitante abre https://www.example.com, su resolvedor pregunta quién responde por ese nombre:

• En una zona delegada responden los servidores de nombres de OpenWAF. Para un nombre con proxy devuelven la dirección de un nodo del borde, elegido entre los nodos sanos más cercanos al visitante. Los registros solo DNS se responden tal como los escribiste.
• En una zona externa responde tu proveedor de DNS con un CNAME a edge.openwaf.dev (o las direcciones del borde en la raíz del dominio), que lleva al mismo borde.

Los nodos del borde se comprueban continuamente: un nodo que deja de responder sale de las respuestas DNS y los visitantes pasan al siguiente más cercano.

#2. El borde inspecciona la petición

Los nodos del borde funcionan en Alemania y España. Para cada petición a un nombre con proxy, el nodo:

1. Termina el TLS con el certificado del sitio (Let's Encrypt, emitido y renovado automáticamente), con preferencia por un intercambio de claves híbrido poscuántico.
2. Aplica la protección del sitio: reglas del WAF, política de bots y agentes de IA, la puerta de acceso, reglas por IP y por país y límites de peticiones (Reglas).
3. Responde desde la caché cuando el sitio la usa y la respuesta está guardada.
4. Reenvía la petición a tu origen: el contenido del registro con proxy. Los sitios nuevos se conectan por HTTPS y verifican el certificado del origen (SSL/TLS).

Las peticiones bloqueadas reciben una página de bloqueo y quedan como eventos de seguridad en Analítica.

#3. La configuración llega firmada al borde

Cada cambio que haces (registros DNS, ajustes, reglas) crea una nueva versión de la zona. El plano de control convierte cada versión en un documento de configuración firmado con Ed25519; los nodos verifican la firma antes de aplicarlo y rechazan lo que no se verifica. Las versiones nuevas llegan a todos los nodos en menos de un minuto. La vista Propagación de un dominio muestra qué versión ha aplicado cada nodo.

Si los nodos no pueden contactar con el plano de control, siguen sirviendo con la última configuración válida que recibieron.

#Dónde están los datos

Los eventos de seguridad se conservan 30 días. Consulta Confianza y seguridad y la lista de subencargados (enlace externo).

#Interfaces

La misma configuración se gestiona desde cuatro sitios, todos con la misma validación, el mismo versionado y la misma auditoría: