# Primeros pasos con el WAF

> Pon un nombre con proxy en modo solo observar, revisa lo que bloquearía el WAF, corrige los falsos positivos y pasa a la protección activa.

El WAF protege cada nombre de una zona que tenga un registro DNS **con proxy** (A, AAAA o CNAME con el proxy activado). Las zonas nuevas empiezan con el WAF en modo **activo** y nivel **medio**. Si el sitio ya está en producción, lo más seguro es observar primero y bloquear después.

1. **Pasa a modo solo observar.** No se bloquea nada: cada petición que el WAF bloquearía queda registrada como evento de seguridad con la acción `log`.

**Panel**

   Abre el dominio, ve a **Seguridad → Firewall** y, en **Protección**, elige **Modo → Solo observar**. Pulsa **Guardar cambios**, revisa la vista previa y confirma.
**CLI**

   ```sh
   openwaf-cloud ctl zones set example.com mode=log --reason "WAF en solo observar mientras lo ajustamos"
   ```
**API**

   ```sh
   curl -sS -X PATCH "https://dash.openwaf.dev/v1/orgs/$ORG/zones/example.com/edge" \
     -H "Authorization: Bearer $OPENWAF_TOKEN" \
     -H "X-Change-Reason: WAF en solo observar mientras lo ajustamos" \
     -H "Content-Type: application/json" \
     -d '{"mode": "log"}'
   ```
**MCP**

   Pide a tu asistente que ponga la zona en modo solo observar. Llama a `update_settings` con `{"zone": "example.com", "settings": {"mode": "log"}, "reason": "…"}`, te enseña las diferencias y confirma con `confirm=true` y el `expected_version` que recibió.

2. **Elige la aplicación y el nivel.** Pon **Aplicación** según tu tecnología (`wordpress` importa: activa el escudo de WordPress y evita que OpenWAF bloquee `/wp-admin` y `/wp-login.php`). Deja **Sensibilidad del WAF** en media salvo que tengas un motivo para cambiarla. Consulta [Modos y niveles](https://developers.openwaf.dev/es/waf/modes-and-levels/).
3. **Navega y prueba el sitio** durante unos días: inicia sesión, envía formularios, usa el proceso de compra y la API.
4. **Revisa los eventos.** En **Analítica → Tráfico**, filtra por la acción `log`. Cada evento indica la regla que coincidió (`rule_id`). Consulta [Eventos de seguridad](https://developers.openwaf.dev/es/analytics/security-events/).
5. **Corrige los falsos positivos** con una [excepción del WAF](https://developers.openwaf.dev/es/waf/waf-exceptions/) para esa regla en esa ruta, en lugar de bajar el nivel de todo el sitio.
6. **Pasa a modo activo** (`mode=active`, **Proteger** en el panel) cuando los eventos muestren solo ataques reales.


> **Nota: El modo solo observar afecta al WAF y a los escudos**
>
> En modo solo observar, OWASP CRS, las reglas de OpenWAF y los escudos solo registran. Las reglas por IP y por país, las listas de amenazas, los límites de peticiones y la puerta de acceso siguen aplicándose. Consulta [Cómo se procesa una petición](https://developers.openwaf.dev/es/waf/request-processing/).


## Siguientes pasos

- Limita los inicios de sesión, los códigos de un solo uso y las API con [reglas de límite de peticiones](https://developers.openwaf.dev/es/waf/rate-limiting/#per-path-rules).
- Protege `/wp-admin` o `/admin` con la [puerta de acceso](https://developers.openwaf.dev/es/waf/access-gate/).
- Da a un nombre su propio nivel de WAF con los [ajustes por nombre](https://developers.openwaf.dev/es/rules/per-name-settings/).