# Cómo se procesa una petición

> Orden en que el borde aplica la puerta de acceso, reglas por IP y país, listas, límites, política de IA, redirecciones, WAF y escudos.

Cada comprobación se ejecuta en este orden. La primera que responde a la petición (un bloqueo, un reto, una página de acceso, una redirección) la termina; las siguientes ya no la ven.

| # | Comprobación | Responde | Notas |
|---|---|---|---|
| 1 | HTTPS y nombre canónico | 301 | Los retos ACME HTTP-01 (`/.well-known/acme-challenge/`) se contestan antes que nada. HTTP sin cifrar va a `https://`. `www.<raíz>` va a la raíz cuando la raíz es un sitio con proxy, salvo que una [regla de redirección](https://developers.openwaf.dev/es/rules/redirects/#www-and-the-apex) diga otra cosa. Un nombre que el borde no sirve recibe 421; las cabeceras `Transfer-Encoding` o `Content-Length` ambiguas reciben 400. |
| 2 | Tamaño del cuerpo | 413 | `max_body_mb`. |
| 3 | [Puerta de acceso](https://developers.openwaf.dev/es/waf/access-gate/) | 401, página de acceso | Solo en el prefijo de ruta protegido y sin sesión válida. |
| 4 | [Reglas por IP](https://developers.openwaf.dev/es/waf/ip-and-country-rules/) | 403 | Una coincidencia `allow` se salta solo los pasos 5 y 6. |
| 5 | [Listas de amenazas](https://developers.openwaf.dev/es/waf/threat-feeds/) | 403 | Con `enable_feed` activado. |
| 6 | [Reglas por país](https://developers.openwaf.dev/es/waf/ip-and-country-rules/#country-rules) | 403 | |
| 7 | [Reglas de límite de peticiones](https://developers.openwaf.dev/es/waf/rate-limiting/#per-path-rules) | 429 o reto | También para las IP permitidas y en cualquier modo del WAF. |
| 8 | [Reglas de límite por ruta](https://developers.openwaf.dev/es/waf/rate-limiting/#rate-limit-rules) | 429 | Reglas de tipo `rate_limit`. |
| 9 | [Límite básico](https://developers.openwaf.dev/es/waf/rate-limiting/#basic-rate-limit) | 429 | `rate_limit_rpm`; apagado si el WAF está apagado. |
| 10 | [Control de rastreadores IA](https://developers.openwaf.dev/es/ai-crawl-control/) | reto, bloqueo o laberinto | Solo en modo aplicar. |
| 11 | [Reglas de redirección](https://developers.openwaf.dev/es/rules/redirects/) | 301, 302, 307, 308 | |
| 12 | WAF: OWASP CRS y reglas de OpenWAF | 403 | Según el [modo y el nivel](https://developers.openwaf.dev/es/waf/modes-and-levels/) y las [excepciones](https://developers.openwaf.dev/es/waf/waf-exceptions/). |
| 13 | [Escudos por tecnología](https://developers.openwaf.dev/es/waf/shields/) | 403, 404, 413 o 429 | Apagados si el WAF está apagado; solo registran en modo solo observar. |
| 14 | Origen | la respuesta del origen | La respuesta pasa por el [endurecimiento de respuestas](https://developers.openwaf.dev/es/waf/responses/#response-headers). |

> **Atención: Una regla allow no es un pase libre**
>
> Una regla de IP `allow` se salta las listas de amenazas y las reglas por país. Los límites de peticiones, la política de IA, el WAF y los escudos siguen aplicándose, así que la IP de una oficina no puede inundar tu inicio de sesión.


## Rutas bajo /__waf/

El borde sirve algunos endpoints propios bajo `/__waf/`: `/__waf/verify` (el [reto de navegador](https://developers.openwaf.dev/es/waf/browser-challenge/)), `/__waf/access/send-code` y `/__waf/access/verify` (la puerta de acceso), y las rutas de la trampa y el laberinto del control de rastreadores IA. Nunca llegan a tu origen. Un límite fijo protege los tres primeros: 30 peticiones `POST` por minuto y por IP, con un bloqueo de 60 segundos.