# Registros con proxy y solo DNS

> Los nombres con proxy responden con el borde de OpenWAF y pasan por el WAF; los registros solo DNS responden tal como los escribes.

Cada registro `A`, `AAAA` y `CNAME` tiene un **estado del proxy**. Decide si el tráfico hacia ese nombre pasa por el
borde de OpenWAF.

| | Con proxy | Solo DNS |
|---|---|---|
| Qué reciben los resolvedores | Las direcciones del borde de OpenWAF | El contenido del registro, tal cual |
| Adónde se conectan los visitantes | A un nodo del borde, que reenvía las peticiones permitidas a tu origen | Directamente al contenido del registro |
| WAF, reglas, caché y TLS en el borde | Sí | No |
| Contenido del registro | El **origen** al que se conecta el borde; no se publica | Se publica |
| TTL | Lo gestiona OpenWAF (aparece como **Auto**) | El TTL que pongas |
| Tipos de registro | `A`, `AAAA`, `CNAME` | Cualquier [tipo admitido](https://developers.openwaf.dev/es/dns/record-types/) |

## Qué pasa por el borde

El borde solo sirve el tráfico **HTTP y HTTPS** de un nombre con proxy. Un nombre con proxy es un **sitio**: el borde
termina el TLS con un certificado emitido automáticamente para ese nombre, aplica las reglas del sitio y reenvía las
peticiones permitidas al origen.

Deja en **solo DNS**:

- El correo: los destinos de los `MX` y nombres como `mail`, `smtp`, `imap`, `pop`, `autodiscover` y `autoconfig`. La
  [comprobación del correo](https://developers.openwaf.dev/es/dns/email-records/) marca como error un nombre de correo con proxy.
- Cualquier servicio que no sea HTTP(S): SSH, bases de datos, VPN, servidores de juegos o de VoIP.
- Los registros de verificación y de servicio: `TXT`, `SRV`, `CAA`, `NS`.

## Reglas de los registros con proxy

- Todos los registros `A`, `AAAA` y `CNAME` de un mismo nombre comparten el estado del proxy. Al activarlo o
  desactivarlo en uno de ellos, cambian también los demás de ese nombre.
- Los comodines (`*.example.com`) y los nombres con guion bajo (`_servicio.example.com`) no admiten proxy: el borde solo
  sirve nombres de host exactos.
- El TTL que pongas se conserva. Los nombres con proxy se publican con un TTL corto que gestiona OpenWAF; si quitas el
  proxy, vuelve a aplicarse tu TTL.
- Un `CNAME` con proxy indica al borde un origen con nombre de host (por ejemplo `miapp.example.net`); un `A`/`AAAA`
  con proxy, una dirección IP.

## Activar o quitar el proxy

**Panel**

En **DNS › Registros**, pulsa el interruptor de **Estado del proxy** del registro. Para cambiar muchos a la vez,
selecciónalos y usa **Activar proxy** o **Quitar proxy**: el cambio se aplica como una sola versión.
**CLI**

```sh
openwaf-cloud ctl records set example.com www/A proxied=true --reason "Proteger www"
```
**API**

```sh
curl -X PATCH "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/records/$RECORD" \
  -H "Authorization: Bearer $OPENWAF_TOKEN" \
  -H "Content-Type: application/json" \
  -H "X-Change-Reason: Proteger www" \
  -d '{"proxied": true}'
```
**MCP**

Pide a tu asistente: *«Pon www.example.com detrás de OpenWAF»*. Busca el registro con `list_records` y llama a
`update_record` con `proxied: true` cuando confirmas el plan.


> **Nota**
>
> En una [zona externa](https://developers.openwaf.dev/es/dns/external-zones/) todos los registros llevan proxy: la zona solo contiene los sitios que
> pasan por OpenWAF. El resto del DNS del dominio sigue en tu proveedor.


## Relacionado

- [Registros con proxy](https://developers.openwaf.dev/es/dns/proxied-records/): cómo se responden los nombres con proxy y cómo llega el borde al origen.
- [Cómo funciona OpenWAF](https://developers.openwaf.dev/es/fundamentals/how-openwaf-works/): el recorrido completo de una petición.