# WAF

> El WAF de OpenWAF inspecciona en el borde cada petición a un nombre con proxy, con OWASP CRS, reglas propias, escudos y límites de peticiones.

Cada petición a un nombre con proxy se inspecciona en los nodos de borde de OpenWAF, en Alemania y España, antes de llegar a tu origen. El WAF combina:

- **OWASP CRS 4.25** sobre Coraza, más reglas propias de OpenWAF (ficheros sensibles, recorrido de rutas, evasión por codificación, *request smuggling*, huellas de escáneres) y parches virtuales de emergencia para CVE nuevos.
- **Escudos por tecnología**: ocho protecciones concretas, como SSRF, redirecciones abiertas, *source maps* o la introspección de GraphQL, que se pueden apagar por ruta.
- **Listas de amenazas** que bloquean las direcciones de atacantes conocidos.
- **Reglas por IP y por país**, **límites de peticiones** y una **puerta de acceso** que protege las rutas de administración con códigos de un solo uso enviados por correo.

Tú decides, por zona o por nombre, lo estricto que es el WAF y si bloquea o solo registra.

- [Primeros pasos](https://developers.openwaf.dev/es/waf/get-started/): empieza en modo solo observar, revisa lo que se bloquearía y después protege.
- [Modos y niveles](https://developers.openwaf.dev/es/waf/modes-and-levels/): activo, solo registro o apagado, y qué significan los niveles bajo, medio y alto.
- [Cómo se procesa una petición](https://developers.openwaf.dev/es/waf/request-processing/): el orden en que el borde aplica cada comprobación.
- [Escudos por tecnología](https://developers.openwaf.dev/es/waf/shields/): los ocho escudos, sus identificadores y lo que bloquean.
- [Listas de amenazas](https://developers.openwaf.dev/es/waf/threat-feeds/): listas mantenidas de direcciones de atacantes, activadas por defecto.
- [Reto de navegador](https://developers.openwaf.dev/es/waf/browser-challenge/): la página de prueba de trabajo que los navegadores reales superan solos.
- [Excepciones del WAF](https://developers.openwaf.dev/es/waf/waf-exceptions/): apaga una regla o un escudo en una ruta cuando bloquea tráfico legítimo.
- [Reglas por IP y por país](https://developers.openwaf.dev/es/waf/ip-and-country-rules/): permite o bloquea direcciones, rangos y países.
- [Límites de peticiones](https://developers.openwaf.dev/es/waf/rate-limiting/): limita las peticiones por IP, cabecera, cookie o campo JSON en una ruta.
- [Puerta de acceso](https://developers.openwaf.dev/es/waf/access-gate/): protege una zona de administración con códigos enviados por correo.
- [Página de bloqueo](https://developers.openwaf.dev/es/waf/block-page/): elige qué ven los visitantes bloqueados.
- [Referencia de ajustes](https://developers.openwaf.dev/es/waf/settings/): cada ajuste del WAF, sus valores y su valor por defecto.
- [Referencia de reglas](https://developers.openwaf.dev/es/waf/rule-reference/): los cuatro tipos de regla y sus campos.
- [Respuestas y cabeceras del borde](https://developers.openwaf.dev/es/waf/responses/): los códigos que responde el borde y las cabeceras que añade o quita.
- [Solución de problemas](https://developers.openwaf.dev/es/waf/troubleshooting/): falsos positivos, accesos de WordPress bloqueados, subidas grandes.


## Dónde encontrarlo

| Interfaz | Ajustes | Reglas |
|---|---|---|
| Panel | Dominio → **Seguridad → Firewall**, **Seguridad → Límites de peticiones**, **Seguridad → Puerta de acceso** | **Seguridad → Firewall → Reglas** |
| CLI | `zones show`, `zones set`, `ratelimit list/add/set/rm` | `rules list`, `rules add`, `rules rm` |
| API | `GET/PATCH /v1/orgs/{org}/zones/{zone}/edge` | `GET/POST /v1/orgs/{org}/zones/{zone}/rules`, `DELETE …/rules/{rule}` |
| MCP | `get_zone`, `update_settings`, `effective_config` | `list_rules`, `add_rule`, `remove_rule` |

Cada cambio queda versionado: primero se simula, necesita un motivo y se puede revertir. Consulta [Control de cambios](https://developers.openwaf.dev/es/change-control/). Las peticiones bloqueadas y registradas aparecen en los [eventos de seguridad](https://developers.openwaf.dev/es/analytics/security-events/).