SSL/TLS

OpenWAF cifra los dos tramos de cada petición a un sitio con proxy. Los visitantes se conectan al borde de OpenWAF por HTTPS con un certificado que OpenWAF emite y renueva por ti. Después, el borde abre una segunda conexión, independiente, con tu servidor (el origen), y tú decides con qué rigor comprueba el certificado de ese servidor.

visitante ──HTTPS (certificado del borde)──▶ borde de OpenWAF ──HTTPS (certificado del origen)──▶ tu origen

#Qué incluye

• Certificados del borde sin hacer nada. Cada nombre con proxy recibe un certificado de Let's Encrypt que se renueva mucho antes de caducar. El borde solo acepta TLS 1.2 y TLS 1.3, y las peticiones por HTTP se redirigen a HTTPS.
• Cifrado verificado hasta el origen. En el modo Full (strict), el predeterminado en las zonas nuevas, el borde comprueba la cadena, las fechas, el nombre y la revocación del certificado del origen. Si algo falla, el visitante recibe un error 526 y nunca se sirve nada de un origen sin verificar.
• Certificados de origen gratuitos. La OpenWAF Origin CA emite certificados para tus servidores con una validez de hasta 15 años. Solo confía en ellos el borde de OpenWAF, que es lo único que necesita un servidor detrás del proxy.
• Peticiones al origen autenticadas (mTLS). El borde puede presentar un certificado de cliente para que tu servidor rechace toda conexión que no llegue a través de OpenWAF.
• HSTS. Indica a los navegadores que usen siempre HTTPS en tus sitios.

#Por dónde empezar

#Dónde se gestiona

Los cambios de ajustes se versionan como cualquier otro cambio de la zona: cada uno necesita un motivo, crea una versión nueva de la zona y se puede revertir. Consulta Control de cambios.