Las zonas nuevas empiezan en Full (strict). Las más antiguas pueden seguir en Full, donde el borde cifra pero acepta cualquier certificado del origen. Esta guía las cambia sin riesgo: primero se comprueba, después se corrige lo que fallaría y por último se cambia.
Comprueba el estado del origen
El estado del origen muestra, para cada nombre HTTPS con proxy, lo que encontraría el borde con Full (strict). Se mide solo con un handshake TLS (sin petición HTTP), tarda como mucho 5 segundos por origen y se guarda 60 segundos por zona.
Ve a SSL/TLS › Origen › Estado del origen y pulsa Comprobar de nuevo.
openwaf-cloud ctl origin-tls status example.comcurl -s https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/origin-tls/status \
-H "Authorization: Bearer $OPENWAF_TOKEN"origin_tls_status con {"zone": "example.com"}.
Cada nombre tiene un probe.state:
| Estado | Panel | Significado |
|---|---|---|
ok | Correcto | El certificado pasaría Full (strict). trusted_by indica si lo avala una CA pública (public) o la Origin CA (origin_ca). |
invalid | Certificado no válido | Fallaría; error explica por qué (caducado, nombre que no coincide, autoridad desconocida, revocado). Aparece como Fallaría con Full (strict) (526). |
unreachable | Inalcanzable | La comprobación no pudo conectar. |
http | HTTP (sin cifrar) | El origen usa http; los modos TLS no se aplican. |
skipped | Sin comprobar | El origen resuelve a una dirección privada, de loopback o link-local, a la que la comprobación nunca se conecta. |
El estado muestra además el modo de cada nombre, effective_server_name (el nombre que se verificaría), si el origen pide un certificado de cliente, la caducidad del certificado y los errores 525/526 del borde en las últimas 24 horas con el más reciente.
Cambia sin cortes
Corrige todos los nombres que no estén en
ok. Instala un certificado de una CA pública o un certificado gratuito de la OpenWAF Origin CA. Si el certificado es de un nombre distinto del verificado, configuraorigin.server_name(SSL/TLS › Origen › Opciones avanzadas › Nombre TLS del origen (SNI)).Comprueba de nuevo hasta que todos los nombres que vas a cambiar estén en
ok.Cambia el modo, para toda la zona o primero para un solo nombre.
En SSL/TLS › Origen › Cifrado con el origen, elige Full (strict). Con Ámbito decides si se aplica a todo el dominio o a un solo nombre; después pulsa Guardar cambios e indica un motivo.
# Toda la zona: openwaf-cloud ctl zones set example.com origin.tls_verify=full_strict --reason "el origen tiene un certificado válido" # Solo un nombre: openwaf-cloud ctl zones set example.com --host www.example.com origin.tls_verify=full_strict --reason "primero www"curl -s -X PATCH https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/edge \ -H "Authorization: Bearer $OPENWAF_TOKEN" \ -H "Content-Type: application/json" \ -H "X-Change-Reason: el origen tiene un certificado válido" \ -d '{"origin": {"tls_verify": "full_strict"}}'Para un nombre:
{"hosts": {"www.example.com": {"origin": {"tls_verify": "full_strict"}}}}. Añade?dry_run=1para ver el cambio sin aplicarlo.update_settingssimula conconfirm=falsey devuelve las diferencias ycurrent_version; repite conconfirm=trueyexpected_version.{"zone": "example.com", "settings": {"origin": {"tls_verify": "full_strict"}}, "reason": "el origen tiene un certificado válido", "confirm": false}Vigila los errores 526 en el estado del origen (errores de las últimas 24 horas) o en los eventos de seguridad. Si algo se rompe, vuelve a
fullo revierte la versión de la zona.