Cada comprobación se ejecuta en este orden. La primera que responde a la petición (un bloqueo, un reto, una página de acceso, una redirección) la termina; las siguientes ya no la ven.
| # | Comprobación | Responde | Notas |
|---|---|---|---|
| 1 | HTTPS y nombre canónico | 301 | Los retos ACME HTTP-01 (/.well-known/acme-challenge/) se contestan antes que nada. HTTP sin cifrar va a https://. www.<raíz> va a la raíz cuando la raíz es un sitio con proxy, salvo que una regla de redirección diga otra cosa. Un nombre que el borde no sirve recibe 421; las cabeceras Transfer-Encoding o Content-Length ambiguas reciben 400. |
| 2 | Tamaño del cuerpo | 413 | max_body_mb. |
| 3 | Puerta de acceso | 401, página de acceso | Solo en el prefijo de ruta protegido y sin sesión válida. |
| 4 | Reglas por IP | 403 | Una coincidencia allow se salta solo los pasos 5 y 6. |
| 5 | Listas de amenazas | 403 | Con enable_feed activado. |
| 6 | Reglas por país | 403 | |
| 7 | Reglas de límite de peticiones | 429 o reto | También para las IP permitidas y en cualquier modo del WAF. |
| 8 | Reglas de límite por ruta | 429 | Reglas de tipo rate_limit. |
| 9 | Límite básico | 429 | rate_limit_rpm; apagado si el WAF está apagado. |
| 10 | Control de rastreadores IA | reto, bloqueo o laberinto | Solo en modo aplicar. |
| 11 | Reglas de redirección | 301, 302, 307, 308 | |
| 12 | WAF: OWASP CRS y reglas de OpenWAF | 403 | Según el modo y el nivel y las excepciones. |
| 13 | Escudos por tecnología | 403, 404, 413 o 429 | Apagados si el WAF está apagado; solo registran en modo solo observar. |
| 14 | Origen | la respuesta del origen | La respuesta pasa por el endurecimiento de respuestas. |
Rutas bajo /__waf/
El borde sirve algunos endpoints propios bajo /__waf/: /__waf/verify (el reto de navegador), /__waf/access/send-code y /__waf/access/verify (la puerta de acceso), y las rutas de la trampa y el laberinto del control de rastreadores IA. Nunca llegan a tu origen. Un límite fijo protege los tres primeros: 30 peticiones POST por minuto y por IP, con un bloqueo de 60 segundos.