# Listas de amenazas

> OpenWAF bloquea las direcciones que aparecen en listas mantenidas de atacantes conocidos; están activadas por defecto y se pueden apagar por zona o por nombre.

El borde mantiene al día una lista de rangos de red sacados de fuentes de inteligencia de amenazas sobre atacantes conocidos. Con `enable_feed` activado (por defecto), una petición desde una dirección de la lista se bloquea con un 403 y un evento de seguridad `Feed Block`.

- OpenWAF mantiene las listas y las actualiza con frecuencia en todos los nodos de borde; tú no tienes que gestionarlas.
- Las entradas se revisan antes de usarse: nunca se bloquean rangos privados o reservados ni rangos demasiado amplios.
- Una [regla por IP](https://developers.openwaf.dev/es/waf/ip-and-country-rules/) con la acción `allow` se salta las listas (y las reglas por país) para esa dirección.
- Las listas se aplican en cualquier [modo del WAF](https://developers.openwaf.dev/es/waf/modes-and-levels/#modes), también en solo observar.

## Apagarlas

**Panel**

Dominio → **Seguridad → Firewall → Protección** → **Listas de amenazas**. Usa **Se aplica a** para cambiar un solo nombre.
**CLI**

```sh
openwaf-cloud ctl zones set example.com enable_feed=false --reason "Red de un socio incluida en una lista"
```
**API**

```sh
curl -sS -X PATCH "https://dash.openwaf.dev/v1/orgs/$ORG/zones/example.com/edge" \
  -H "Authorization: Bearer $OPENWAF_TOKEN" \
  -H "X-Change-Reason: Red de un socio incluida en una lista" \
  -H "Content-Type: application/json" \
  -d '{"enable_feed": false}'
```
**MCP**

`update_settings` con `"settings": {"enable_feed": false}`.


> **Consejo**
>
> Si solo aparece la dirección de un socio o de una oficina, añade una regla por IP `allow` para ella en lugar de apagar las listas para todos.