Error 526: certificado del origen no válido
Los visitantes ven la página Certificado del origen no válido con el estado 526.
Causa. El nombre está en Full (strict) y el certificado del origen no superó la verificación. No se sirve nada de ese origen.
Averigua el motivo. Abre SSL/TLS › Origen › Estado del origen (o ejecuta openwaf-cloud ctl origin-tls status example.com). El nombre aparece como Fallaría con Full (strict) (526) junto con el error. Cada 526 genera además un evento de seguridad limitado, con la acción log, la regla origin_tls y un mensaje corto:
| Mensaje | Qué hacer |
|---|---|
origin certificate expired / origin certificate not yet valid | Instala un certificado vigente. Si dice not yet valid, revisa el reloj del servidor. |
hostname mismatch | El certificado no es válido para el nombre verificado. Consigue un certificado para ese nombre o pon en origin.server_name un nombre que el certificado cubra. |
unknown authority | El certificado es autofirmado o de una CA privada. Usa una CA pública o un certificado de la OpenWAF Origin CA. |
certificate revoked | El servidor aún sirve un certificado revocado de la Origin CA. Emite e instala otro. |
Mientras lo corriges, puedes volver a poner el nombre en full para que dejen de aparecer errores; vuelve a full_strict cuando el estado sea ok.
Error 525: fallo del handshake TLS con el origen
Los visitantes ven la página Fallo del handshake TLS con el origen con el estado 525.
Causa. El handshake TLS entre el borde y tu origen falló por un motivo distinto de la verificación del certificado. El mensaje del evento es handshake failed: <alerta>. Causas habituales:
- El origen exige un certificado de cliente y
origin.client_certestá desactivado, o el cambio aún no ha llegado a todos los nodos. El estado del origen dice El origen pide un certificado de cliente pero el borde no presenta ninguno. Activa las peticiones al origen autenticadas y espera a la propagación, o deja de exigir el certificado en el servidor. - Versiones o cifrados TLS incompatibles. El origen debe aceptar TLS 1.2 o posterior.
- El origen cierra la conexión, o el puerto no habla TLS (
handshake failed: origin did not answer TLS). Revisaorigin.schemeyorigin.port.
Certificado pendiente o fallido
En SSL/TLS › Certificados › Sitios, un nombre sigue en Pendiente o aparece como Fallido. Detalles muestra el último error, los intentos fallidos y el próximo intento.
| Situación | Qué revisar |
|---|---|
| La zona aún no está activa | Zonas delegadas: los certificados se piden cuando se detecta la delegación en los servidores de nombres de OpenWAF. Revisa la delegación en DNS. |
| Zona externa con el nombre sin apuntar | HTTP-01 solo funciona cuando el nombre apunta al borde (CNAME a edge.openwaf.dev). Compruébalo con openwaf-cloud ctl zones hosts example.com. |
Registros CAA | Un registro CAA debe permitir letsencrypt.org. |
| Límites de Let's Encrypt | OpenWAF espera y reintenta por su cuenta; se muestra el próximo intento. |
| Ningún registro con proxy | Solo reciben certificado los nombres A, AAAA y CNAME con proxy. |
Tras un fallo, OpenWAF reintenta solo, esperando entre 30 minutos y un día entre intentos. Cuando la causa está corregida no tienes que hacer nada.
Un aviso como renewal overdue o certificate expired en un certificado automático significa que las renovaciones están fallando: mira Detalles. En un certificado Subido por un operador, un aviso significa que está a punto de caducar y hay que sustituirlo; escribe a [email protected].
El estado del origen dice Inalcanzable
La comprobación se hace desde el plano de control de OpenWAF. Si tu cortafuegos solo admite al borde, la comprobación no puede conectar aunque los visitantes se sirvan con normalidad. Para ver los fallos reales, usa la columna Errores (24 h), que procede del borde.
HSTS sigue mandando a los navegadores a HTTPS
Los navegadores recuerdan HSTS durante el último max-age que vieron. Poner hsts.max_age a 0 afecta a los visitantes nuevos, pero los navegadores que ya lo vieron siguen usando HTTPS hasta que se agota su valor guardado. Consulta HSTS.