# SSL/TLS

> Certificados HTTPS automáticos en el borde, cifrado verificado hasta tu origen, certificados de origen gratuitos, mTLS y HSTS.

OpenWAF cifra los dos tramos de cada petición a un sitio con proxy. Los visitantes se conectan al borde de OpenWAF por HTTPS con un certificado que OpenWAF emite y renueva por ti. Después, el borde abre una segunda conexión, independiente, con tu servidor (el **origen**), y tú decides con qué rigor comprueba el certificado de ese servidor.

```text
visitante ──HTTPS (certificado del borde)──▶ borde de OpenWAF ──HTTPS (certificado del origen)──▶ tu origen
```

## Qué incluye

- **Certificados del borde sin hacer nada.** Cada nombre con proxy recibe un certificado de Let's Encrypt que se renueva mucho antes de caducar. El borde solo acepta TLS 1.2 y TLS 1.3, y las peticiones por HTTP se redirigen a HTTPS.
- **Cifrado verificado hasta el origen.** En el modo *Full (strict)*, el predeterminado en las zonas nuevas, el borde comprueba la cadena, las fechas, el nombre y la revocación del certificado del origen. Si algo falla, el visitante recibe un error `526` y nunca se sirve nada de un origen sin verificar.
- **Certificados de origen gratuitos.** La OpenWAF Origin CA emite certificados para tus servidores con una validez de hasta 15 años. Solo confía en ellos el borde de OpenWAF, que es lo único que necesita un servidor detrás del proxy.
- **Peticiones al origen autenticadas (mTLS).** El borde puede presentar un certificado de cliente para que tu servidor rechace toda conexión que no llegue a través de OpenWAF.
- **HSTS.** Indica a los navegadores que usen siempre HTTPS en tus sitios.

## Por dónde empezar

- [Primeros pasos](https://developers.openwaf.dev/es/ssl/get-started/): comprueba los certificados del borde y protege la conexión con tu origen en pocos minutos.
- [Certificados del borde](https://developers.openwaf.dev/es/ssl/edge-certificates/): cómo se emiten y renuevan los certificados de cada nombre con proxy.
- [Modos de TLS con el origen](https://developers.openwaf.dev/es/ssl/origin-tls/): Full y Full (strict), y el nombre que verifica el borde.
- [OpenWAF Origin CA](https://developers.openwaf.dev/es/ssl/origin-ca/): certificados gratuitos para tus servidores de origen.
- [Instalar un certificado de origen](https://developers.openwaf.dev/es/ssl/install-origin-certificate/): ejemplos para nginx, Caddy, Apache y Traefik.
- [Pasar a Full (strict)](https://developers.openwaf.dev/es/ssl/full-strict/): cambia un sitio existente sin cortes.
- [Peticiones al origen autenticadas](https://developers.openwaf.dev/es/ssl/authenticated-origin-pulls/): que solo el borde de OpenWAF llegue a tu servidor.
- [HSTS](https://developers.openwaf.dev/es/ssl/hsts/): que los navegadores usen HTTPS siempre.
- [Referencia de ajustes](https://developers.openwaf.dev/es/ssl/settings/): todos los ajustes de SSL/TLS con su valor por defecto.
- [Solución de problemas](https://developers.openwaf.dev/es/ssl/troubleshooting/): errores 525 y 526, certificados pendientes y fallidos.


## Dónde se gestiona

| Tarea | Panel | CLI | API | MCP |
|---|---|---|---|---|
| Estado de los certificados del borde | **SSL/TLS › Certificados** | `certs list` | `GET …/zones/{zone}/certs` | `list_certificates` |
| Modo con el origen, nombre SNI, mTLS | **SSL/TLS › Origen** | `zones set` | `PATCH …/zones/{zone}/edge` | `update_settings` |
| Estado del origen | **SSL/TLS › Origen** | `origin-tls status` | `GET …/zones/{zone}/origin-tls/status` | `origin_tls_status` |
| Certificados de origen | **SSL/TLS › Origen** | `origin-certs` | `…/zones/{zone}/origin-certs` | `create_origin_cert`, `list_origin_certs`, `revoke_origin_cert` |
| HSTS | **SSL/TLS › Certificados** | `zones set` | `PATCH …/zones/{zone}/edge` | `update_settings` |

Los cambios de ajustes se versionan como cualquier otro cambio de la zona: cada uno necesita un motivo, crea una versión nueva de la zona y se puede revertir. Consulta [Control de cambios](https://developers.openwaf.dev/es/change-control/).