¿Tengo que subir o renovar un certificado para mi sitio?
No. Cada nombre con proxy recibe un certificado de Let's Encrypt que OpenWAF renueva automáticamente. Consulta Certificados del borde.
¿Puedo subir mi propio certificado para el borde?
No es autoservicio. Los certificados que aparecen como Subido por un operador los instala OpenWAF; si necesitas uno, escribe a [email protected]. OpenWAF nunca sustituye un certificado así por uno automático.
¿Confían los navegadores en los certificados de la OpenWAF Origin CA?
No, solo confía en ellos el borde de OpenWAF. Los visitantes siempre ven el certificado del borde, así que un origen detrás del proxy no necesita uno de confianza pública. No uses certificados de origen en servidores a los que los visitantes acceden directamente. Consulta OpenWAF Origin CA.
He perdido la clave privada de un certificado de origen. ¿Puedo volver a descargarla?
No. OpenWAF nunca guarda las claves que genera. Emite otro certificado, instálalo y revoca el anterior. Para evitarlo, emite con una CSR: así la clave nunca sale de tu servidor.
¿Puede mi origen seguir usando un certificado de Let's Encrypt?
Sí. Full (strict) acepta cualquier certificado que llegue a una CA raíz pública, esté vigente, no esté revocado y sea válido para el nombre verificado.
Mi origen es una dirección IP. ¿Para qué nombre debe ser su certificado?
Para el nombre del propio sitio, por ejemplo www.example.com, salvo que configures origin.server_name. Consulta El nombre verificado (SNI).
¿Se aplica Full (strict) a los orígenes por HTTP?
No. Con origin.scheme http la conexión no va cifrada y no se aplican ni los modos TLS, ni el nombre verificado, ni mTLS.
¿El certificado de cliente del borde demuestra que la petición es para mi zona?
No. La Edge Client CA es común a toda la plataforma: demuestra que la conexión viene del borde de OpenWAF. Sigue comprobando Host y el SNI en tu servidor. Consulta Peticiones al origen autenticadas.
¿Revertir una versión de la zona deshace un certificado de origen?
No. Emitir y revocar certificados de origen queda en la auditoría, pero no forma parte de la configuración de la zona, así que revertir una versión no les afecta.