El HTTPS en el borde funciona en cuanto un nombre pasa por el proxy: no subes ni renuevas nada. Lo que sí decides es cómo habla el borde con tu origen. Esta guía lleva una zona de «con proxy» a «cifrada y verificada de extremo a extremo».
Antes de empezar
- Una zona en OpenWAF con al menos un registro
A,AAAAoCNAMEcon proxy. Consulta DNS. - En una zona delegada, la delegación en los servidores de nombres de OpenWAF debe estar activa. En una zona externa, cada nombre con proxy debe apuntar al borde (
CNAMEaedge.openwaf.dev). - Rol
techoadminpara cambiar ajustes (cualquier rol puede consultarlos).
Pasos
Comprueba los certificados del borde. Abre SSL/TLS › Certificados. En Sitios aparece cada nombre con proxy con su estado. Válido significa que un certificado lo sirve; Pendiente, que la emisión está en curso, algo que suele tardar unos minutos tras la delegación.
openwaf-cloud ctl certs list example.comComprueba qué presenta tu origen. Abre SSL/TLS › Origen y mira Estado del origen. Para cada nombre con proxy indica si el certificado de tu servidor pasaría la verificación de Full (strict). Un nombre marcado Fallaría con Full (strict) (526) necesita antes un certificado válido.
openwaf-cloud ctl origin-tls status example.comCorrige el certificado del origen si hace falta. Instala un certificado de una CA pública o crea uno gratuito de la OpenWAF Origin CA en SSL/TLS › Origen › Crear certificado e instálalo en tu servidor.
Usa Full (strict). Las zonas nuevas ya lo usan. Si una zona anterior está en Full, sigue Pasar a Full (strict).
Activa HSTS cuando todo funcione por HTTPS. En SSL/TLS › Certificados › HSTS, empieza con una duración corta, como 1 día, y súbela después. Consulta HSTS.