# Instalar un certificado de origen

> Instala un certificado de la OpenWAF Origin CA en nginx, Caddy, Apache o Traefik para que el borde verifique tu origen en Full (strict).

Después de [emitir un certificado de origen](https://developers.openwaf.dev/es/ssl/origin-ca/#issue), instálalo en el servidor al que se conecta el borde. En los ejemplos, `origin.pem` es el certificado (seguido, si quieres, del certificado de la Origin CA) y `origin.key` su clave privada.

## Qué nombre debe presentar el servidor

El servidor debe presentar este certificado para el nombre que verifica el borde, tal como se explica en [El nombre verificado (SNI)](https://developers.openwaf.dev/es/ssl/origin-tls/#server-name). Si el origen es una dirección IP, el borde envía en SNI el **nombre del sitio** (por ejemplo `www.example.com`), así que el bloque del servidor que corresponda a ese nombre, o el predeterminado, debe usar este certificado.

## Configura tu servidor

**nginx**

```nginx
server {
    listen 443 ssl;
    server_name example.com *.example.com;
    ssl_certificate     /etc/nginx/tls/origin.pem;
    ssl_certificate_key /etc/nginx/tls/origin.key;
    # …
}
```

Recarga con `nginx -s reload`.

**Caddy**

```text
example.com, *.example.com {
    tls /etc/caddy/tls/origin.pem /etc/caddy/tls/origin.key
    reverse_proxy 127.0.0.1:8080
}
```

Recarga con `caddy reload`.

**Apache**

```text
<VirtualHost *:443>
    ServerName example.com
    ServerAlias *.example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/openwaf/origin.pem
    SSLCertificateKeyFile /etc/ssl/openwaf/origin.key
</VirtualHost>
```

Necesita `mod_ssl`. Recarga con `apachectl graceful`.

**Traefik**

```yaml
tls:
  certificates:
    - certFile: /certs/origin.pem
      keyFile: /certs/origin.key
```

Traefik elige el certificado por SNI entre los que tiene cargados. El router debe tener TLS activado (`tls: {}`, o `tls=true` en las etiquetas de Docker).


> **Nota**
>
> Deja la clave privada legible solo para el servidor web (`chmod 600`). La CLI ya escribe los ficheros de `--key-out` con permisos `0600`.


## Comprueba y cambia de modo

1. Recarga el servidor.
2. Comprueba el estado del origen. En **SSL/TLS › Origen › Estado del origen**, pulsa **Comprobar de nuevo**: el nombre debe aparecer como **Correcto**, con la confianza de la OpenWAF Origin CA.

   ```sh
   openwaf-cloud ctl origin-tls status example.com
   ```

   El resultado se guarda 60 segundos por zona.
3. Si la zona aún no está en Full (strict), cámbiala: consulta [Pasar a Full (strict)](https://developers.openwaf.dev/es/ssl/full-strict/).


## Renueva antes de que caduque

Los certificados de origen no se renuevan solos. Antes de que uno caduque, emite otro, instálalo, comprueba el estado y revoca el anterior. El estado del origen muestra los días que le quedan al certificado de cada nombre.