# Primeros pasos con SSL/TLS

> Comprueba que cada nombre con proxy tiene un certificado válido, verifica la conexión con tu origen y activa HSTS.

El HTTPS en el borde funciona en cuanto un nombre pasa por el proxy: no subes ni renuevas nada. Lo que sí decides es cómo habla el borde con tu origen. Esta guía lleva una zona de «con proxy» a «cifrada y verificada de extremo a extremo».

## Antes de empezar

- Una zona en OpenWAF con al menos un registro `A`, `AAAA` o `CNAME` con proxy. Consulta [DNS](https://developers.openwaf.dev/es/dns/).
- En una zona delegada, la delegación en los servidores de nombres de OpenWAF debe estar activa. En una zona externa, cada nombre con proxy debe apuntar al borde (`CNAME` a `edge.openwaf.dev`).
- Rol `tech` o `admin` para cambiar ajustes (cualquier rol puede consultarlos).

## Pasos

1. **Comprueba los certificados del borde.** Abre **SSL/TLS › Certificados**. En **Sitios** aparece cada nombre con proxy con su estado. *Válido* significa que un certificado lo sirve; *Pendiente*, que la emisión está en curso, algo que suele tardar unos minutos tras la delegación.

   ```sh
   openwaf-cloud ctl certs list example.com
   ```

2. **Comprueba qué presenta tu origen.** Abre **SSL/TLS › Origen** y mira **Estado del origen**. Para cada nombre con proxy indica si el certificado de tu servidor pasaría la verificación de Full (strict). Un nombre marcado *Fallaría con Full (strict) (526)* necesita antes un certificado válido.

   ```sh
   openwaf-cloud ctl origin-tls status example.com
   ```

3. **Corrige el certificado del origen si hace falta.** Instala un certificado de una CA pública o crea uno gratuito de la OpenWAF Origin CA en **SSL/TLS › Origen › Crear certificado** e [instálalo en tu servidor](https://developers.openwaf.dev/es/ssl/install-origin-certificate/).

4. **Usa Full (strict).** Las zonas nuevas ya lo usan. Si una zona anterior está en *Full*, sigue [Pasar a Full (strict)](https://developers.openwaf.dev/es/ssl/full-strict/).

5. **Activa HSTS cuando todo funcione por HTTPS.** En **SSL/TLS › Certificados › HSTS**, empieza con una duración corta, como 1 día, y súbela después. Consulta [HSTS](https://developers.openwaf.dev/es/ssl/hsts/).


> **Consejo**
>
> ¿Quieres que tu servidor solo acepte conexiones de OpenWAF? Cuando Full (strict) funcione, configura las [peticiones al origen autenticadas](https://developers.openwaf.dev/es/ssl/authenticated-origin-pulls/).


## Siguientes pasos

- [Certificados del borde](https://developers.openwaf.dev/es/ssl/edge-certificates/): emisión, renovación y qué significa cada estado.
- [Modos de TLS con el origen](https://developers.openwaf.dev/es/ssl/origin-tls/): qué verifica cada modo y qué nombre comprueba.
- [Solución de problemas](https://developers.openwaf.dev/es/ssl/troubleshooting/): qué hacer ante un 525, un 526 o un certificado fallido.