En OpenWAF todo pertenece a una organización: sus dominios (zonas), sus clientes, sus miembros, sus tokens de API, su marca y su registro de auditoría. Una persona puede ser miembro de varias organizaciones; el menú Cambiar de organización del panel pasa de una a otra.
Roles
Cada miembro tiene un rol en la organización. Los roles están ordenados: cada uno puede hacer todo lo que pueden los que están por debajo.
| Rol | Nombre en el panel | Qué añade |
|---|---|---|
readonly | Solo lectura | Ve dominios, registros, ajustes, reglas, historial, certificados y métricas. No cambia nada. |
tech | Técnico | Añade y borra dominios y cambia su configuración: registros DNS, ajustes del borde, reglas, certificados, purgas de caché y comprobaciones de delegación. Crea clientes y les asigna dominios. |
admin | Administrador | Gestiona miembros (salvo propietarios) e invitaciones, ve y revoca todos los tokens de API, edita y borra clientes, lee la auditoría, gestiona la marca blanca y fusiona zonas. |
owner | Propietario | Todo, incluido dar y quitar el rol de propietario. |
Algunas acciones exigen una credencial que abarque toda la organización (no limitada a un cliente ni a un dominio): gestionar miembros, clientes, tokens ajenos, la marca blanca y la auditoría, y asignar dominios a clientes.
Una organización siempre conserva al menos un propietario: quitar o degradar al último se rechaza con 409 conflict.
Alcance por cliente
Un miembro puede estar limitado a un cliente. Entonces solo ve y gestiona los dominios asignados a ese cliente, y solo puede tener el rol tech o readonly. Los dominios que añade quedan asignados a su cliente automáticamente. Consulta Agencias y clientes.
Rol efectivo
Cada petición se autoriza con un rol efectivo y un alcance efectivo, que se calculan al llegar:
- Sesión del panel: el rol y el alcance de tu membresía en la organización en la que estás trabajando.
- Token de API (también los que se crean al conectar un asistente de IA por OAuth): el rol del token, limitado por el rol actual del miembro que lo creó. Si ese miembro baja de rol, sus tokens bajan con él; si se le quita de la organización, sus tokens se revocan.
- Alcance: un token limitado a un dominio solo ve ese dominio. El token de un miembro limitado a un cliente queda siempre limitado a ese cliente, aunque se creara antes de limitar al miembro.
rol efectivo = el menor entre (rol del token, rol actual del miembro)
alcance efectivo = alcance del token, reducido al cliente del miembro si este está limitado a un clientePor ejemplo, un administrador crea un token tech para CI. El token funciona con permisos de tech. Si más adelante el administrador pasa a readonly, el token solo puede leer. Consulta Tokens de API.
Una petición sin permiso suficiente recibe 403 forbidden. Un dominio fuera de tu alcance responde 404 not_found, como si no existiera.
Ajustes de la organización
| Ajuste | Quién puede cambiarlo | Dónde |
|---|---|---|
| Nombre de la organización | Administrador | API: PATCH /v1/orgs/{org} con {"name": "…"} |
| Miembros e invitaciones | Administrador (propietarios: Propietario) | Miembros; consulta Miembros del equipo |
| Tokens de API | Cualquiera (los suyos); Administrador (todos) | Tokens de API; consulta Tokens de API |
| Clientes | Técnico los crea; Administrador los edita y borra | Clientes; consulta Agencias y clientes |
| Marca, dominio del panel, servidores de nombres | Administrador | Marca blanca; consulta Panel de marca blanca |
| Auditoría | Administrador (Técnico limitado a un cliente: los dominios de su cliente) | Auditoría |
Auditoría
La auditoría recoge cada cambio hecho en la organización, del más reciente al más antiguo: quién lo hizo (un usuario, un token o el sistema), la acción y su objetivo. Registra por igual los cambios del panel, la API, la CLI y el servidor MCP. Los cambios de configuración de un dominio se guardan además como versiones de la zona.