# Zonas, nombres y sitios

> Qué son en OpenWAF una zona, un nombre, un host, un sitio y un origen, y cómo heredan los ajustes por nombre los de la zona.

El panel, la API, la CLI y el servidor MCP usan el mismo modelo. Esta página define sus piezas; el
[glosario](https://developers.openwaf.dev/es/fundamentals/glossary/) tiene una definición breve de cada término.

```text
Organización (acme)
 ├─ Cliente (opcional)           agrupa las zonas de un cliente final
 └─ Zona: example.com            «Dominio» en el panel
     ├─ Registros                A, AAAA, CNAME, MX, TXT, NS, SRV, CAA
     ├─ Nombres                  example.com, www.example.com, tienda.example.com…
     │    └─ Sitios              nombres con registros A/AAAA/CNAME con proxy
     ├─ Ajustes y reglas         de toda la zona, con excepciones por nombre
     └─ Versiones                una por cambio
```

## Zona

Una **zona** es un dominio registrable, como `example.com`, con todo lo que cuelga de él. El panel la llama
**dominio**; la API, la CLI y el servidor MCP la llaman zona. Añade una zona por dominio: `www.example.com`,
`api.example.com` y `tienda.example.com` son nombres dentro de la zona `example.com`, no zonas propias.

Cada zona tiene:

- Un **modo DNS**: `delegated` (los servidores de nombres de OpenWAF responden por el dominio) o `external` (sigue
  respondiendo tu proveedor de DNS). Consulta [Zonas delegadas y externas](https://developers.openwaf.dev/es/dns/dns-modes/).
- Un **estado**: `pending` (esperando la delegación o el registro de verificación), `active` (la sirve el borde),
  `moved` (el dominio ya no apunta a los servidores de nombres de OpenWAF) o `disabled`.
- Una **versión de configuración** que aumenta con cada cambio. Consulta [Versiones de la zona](https://developers.openwaf.dev/es/dns/zone-versions/).
- Opcionalmente, un [cliente](https://developers.openwaf.dev/es/fundamentals/agencies-and-clients/).

Las rutas de la API identifican la zona por su id: `/v1/orgs/{org}/zones/{zone}`. La CLI y el servidor MCP aceptan
también su nombre.

Un dominio solo puede darse de alta una vez en toda la plataforma, y no como padre ni como subdominio de un dominio que
gestiona otra organización. Los sufijos públicos como `co.uk` o `github.io` no se pueden dar de alta.

## Nombre y host

Un **nombre** es cualquier nombre de host completo dentro de la zona: la propia zona (el **apex**, que se escribe `@`),
`www.example.com`, `mail.example.com`… Los registros viven en nombres. En algunos sitios la API llama **hosts** a los
nombres, por ejemplo en los ajustes por nombre (`hosts`) y en la configuración efectiva de un nombre
(`/hosts/{host}/effective`).

## Sitio

Un **sitio** es un nombre con registros `A`, `AAAA` o `CNAME` con proxy: el borde lo sirve, emite su certificado y lo
protege. El panel los lista en **Nombres**. Una zona puede tener muchos sitios, cada uno con su origen.

## Origen

El **origen** de un sitio es el contenido de su registro con proxy: la IP o el nombre de host del servidor al que el
borde reenvía las peticiones permitidas. El origen nunca se publica en el DNS. El esquema y el puerto con los que el
borde lo alcanza salen de los ajustes de la zona y se pueden fijar por nombre. Consulta [SSL/TLS](https://developers.openwaf.dev/es/ssl/).

## Ajustes por nombre

Los ajustes del borde (modo y sensibilidad del WAF, origen, caché, HSTS, puerta de acceso…) se fijan para la zona y
los heredan todos sus nombres. Cualquier nombre puede cambiar algunos; el resto sigue a la zona. Las reglas se pueden
limitar a una lista de nombres; sin lista se aplican a todos los nombres de la zona.

La **configuración efectiva** de un nombre es lo que el borde le aplica: los ajustes de la zona con los del nombre
encima, más las reglas que le llegan. Puedes verla en **Nombres › Configuración efectiva**, con
`openwaf-cloud ctl zones effective example.com www.example.com` o con la herramienta MCP `effective_config`.

## Versión

Cada cambio de una zona (registros, ajustes, reglas, cliente) crea una **versión** numerada con su autor, su motivo y
sus diferencias. Las versiones son la unidad de propagación al borde y de marcha atrás. Consulta
[Control de cambios](https://developers.openwaf.dev/es/change-control/).