Comprobar mi navegador (enlace externo) (en inglés en verify.openwaf.dev (enlace externo)) es una página pública de OpenWAF para los visitantes que no consiguen pasar el reto del navegador, el modo bajo ataque o el widget Verify. En unos segundos hace en su navegador las comprobaciones que necesita OpenWAF Verify, explica qué significa cada problema y qué hacer, ejecuta el widget real y enseña un ID de comprobación que pueden enviar a soporte.
La página es estática y está detrás del borde de OpenWAF, como tu sitio. No carga nada de terceros ni cambia nada en el dispositivo.
De dónde llegan los visitantes
Cuando una comprobación falla, la página del reto y el widget enlazan a la página:
- La página del reto enseña «¿Problemas? Comprueba tu navegador» debajo de su mensaje de fallo.
- El widget, en su estado de error, enseña «¿Problemas?» junto a «Reintentar». Su nombre accesible es el completo, «¿Problemas? Comprueba tu navegador».
Los dos se abren en una pestaña nueva, en el idioma del reto, con el host en el que estaba el visitante y el ID de soporte del reto:
https://verify.openwaf.dev/es/?host=example.com&id=3f9c2a7b1e604d85id es el ID de soporte del reto, 16 caracteres hexadecimales, el mismo que enseña en su pie la página del modo bajo ataque. El widget lo recibe del borde con cada reto (id en las respuestas de /start y del paso interactivo de /solve). La página también funciona sin parámetros: puedes enviar tú el enlace a los visitantes.
La página del reto y el widget no ponen el enlace cuando la zona usa la marca blanca de tu organización, porque la página dice OpenWAF. Con una marca de cliente el enlace se mantiene, igual que la línea «Protegido por OpenWAF».
Las comprobaciones
Cada comprobación termina como Correcto, Problema o No aplica. Un problema viene con una explicación corta y qué hacer. Arriba, la página resume: «No hay problemas» o cuántos ha encontrado. Repetir lo vuelve a hacer todo con un ID de comprobación nuevo.
La página hace las comprobaciones contra el borde de OpenWAF que sirve verify.openwaf.dev. Solo la comprobación de acceso habla con el sitio del que viene el visitante. Cuando ese borde no puede hacer su parte (el servicio de comprobación no está disponible), las comprobaciones que dependen de él salen como «No aplica», nunca como un problema del visitante.
JavaScript
OpenWAF Verify funciona con JavaScript. Si la página puede enseñar sus resultados, JavaScript funciona. Con JavaScript desactivado, la página lo dice y pide activarlo para el sitio.
Web Workers
La prueba de trabajo se hace normalmente en un Web Worker, en segundo plano. Sin Web Workers se sigue haciendo, en la propia página, pero más lenta, y la pestaña puede quedarse parada unos segundos. Qué hacer: permitir los Web Workers en el sitio (puede bloquearlos una extensión de privacidad o un ajuste del navegador) o probar con otro navegador.
Ficheros de OpenWAF Verify
Si cargan widget.js, worker.js y el servicio de comprobación bajo /__waf/challenge/v1/. Cuando algo no carga, la página dice qué. Casi siempre es una extensión que bloquea contenido, o el proxy o el cortafuegos de una empresa. Qué hacer: permitir /__waf/challenge/ en el bloqueador, o pedir al equipo de IT que lo permita.
Acceso al sitio
Solo cuando el visitante llega con ?host=. El navegador pide https://<host>/__waf/challenge/v1/ping (ver endpoints del borde):
| Respuesta | Qué dice la página |
|---|---|
204 | Correcto: el sitio responde a través de OpenWAF. |
404 | No aplica: el sitio responde, pero ahora no usa OpenWAF Verify. |
| Sin respuesta | Problema: desde aquí OpenWAF funciona, así que algo bloquea el camino hasta ese sitio: una extensión, un filtro de empresa, o el sitio está caído. |
Qué hacer: abrir el sitio en una ventana privada sin extensiones, o desde otra red. Si sigue fallando, escribir al sitio con el ID de comprobación.
Cookies
El borde pone una cookie de prueba y la página comprueba que vuelve. Tras la página del reto, el sitio le da al navegador una cookie de paso propia del sitio (__waf_pass); si las cookies están bloqueadas en el sitio, el reto vuelve a empezar en cada página. Qué hacer: permitir las cookies del sitio, en los ajustes del sitio del navegador o en las excepciones del bloqueador.
La cookie de prueba es de verify.openwaf.dev, así que un bloqueo que solo afecta a otro sitio no se ve aquí.
Reloj del sistema
La diferencia entre el reloj del dispositivo y el del borde. Cinco minutos o más es un problema. La cookie de paso tiene fecha de caducidad: con el reloj muy adelantado, el navegador puede darla por caducada al momento y el reto se repite. Qué hacer: activar la fecha y hora automáticas en los ajustes del sistema.
Velocidad de la comprobación
La página resuelve la prueba de trabajo real de una comprobación del widget, en el worker real, y dice cuánto tarda una comprobación en ese dispositivo: rápida (menos de 1 segundo), normal (menos de 3), lenta (menos de 8) o muy lenta. Tres segundos o más es un problema. El ahorro de batería, un dispositivo ocupado o una pestaña en segundo plano la hacen más lenta. Qué hacer: dejar la pestaña delante, quitar el ahorro de batería o enchufar el dispositivo, y cerrar pestañas pesadas.
Automatización
Si el navegador dice que lo controla un programa de automatización (navigator.webdriver). Los sitios piden entonces marcar la casilla o rechazan la comprobación. Qué hacer: cerrar el navegador y abrirlo de forma normal. Lo activan las herramientas de pruebas y algunas extensiones.
Tu red
La página le enseña al visitante su propia dirección IP, con dos etiquetas que el borde ve para ella:
- Red de centro de datos: sí, no o desconocido, según la lista de redes de hosting que usa la puntuación de riesgo. Las VPN y los proxies suelen estar en centros de datos, y los sitios pueden enseñar más comprobaciones a ese tráfico. Qué hacer: desactivar la VPN o el proxy para el sitio, o probar con otra conexión.
- Lista de amenazas: sí cuando la dirección está en una lista de amenazas que usa el borde o el borde ha visto ataques desde ella hace poco. En una red compartida (oficina, operador móvil, VPN) puede ser cosa de otra persona. Qué hacer: probar con otra red; si continúa, enviar el ID de comprobación al soporte del sitio.
La página nunca dice qué lista ni ninguna puntuación.
Herramientas de privacidad
Solo informativa. OpenWAF Verify no toma la huella del dispositivo: ni canvas, ni WebGL, ni audio, ni fuentes. Así que los bloqueadores de canvas y WebGL y los escudos del navegador no cambian el resultado. Las extensiones que reescriben funciones del navegador con JavaScript, como las que falsean el agente de usuario o la zona horaria, pueden hacer que pida marcar la casilla (comprobaciones del navegador).
Comprobación real
La página dibuja un widget managed real y dice cómo terminó: superada sin hacer nada, superada tras marcar la casilla, pide marcar la casilla, ha fallado (con el código de error del widget, como rate-limited) o sin respuesta tras 30 segundos. Con rate-limited basta con esperar un minuto y pulsar Repetir. Los demás fallos suelen venir de un problema de arriba.
WebAssembly y la Web Crypto API no se comprueban: la prueba de trabajo no los usa. Calcula SHA-256 en JavaScript sin más.
Datos técnicos para soporte
Cuando terminan las comprobaciones, la página enseña:
| Campo | Contenido |
|---|---|
| ID de comprobación | XXXX-XXXX-XXXX, por ejemplo K7Q2-9F3M-X4PA. Base32 de Crockford: sin I, L, O ni U, para que aguante que lo lean en voz alta o lo vuelvan a escribir. |
| Hora (UTC) | Cuándo terminaron las comprobaciones. |
| Tu dirección IP | Solo la ve el visitante. |
| Navegador | El agente de usuario del navegador. |
| Sitio | El host del enlace, si lo hay. |
| ID del reto | El id del enlace, si lo hay. |
| Comprobación real | Cómo terminó la comprobación real. |
Copiar resultados copia un texto para soporte con la red en vez de la dirección IP (la /24 de una dirección IPv4, la /64 de una IPv6):
OpenWAF Verify — comprobación del navegador
ID de comprobación: K7Q2-9F3M-X4PA
Hora: 2026-10-29T10:15:03Z
Red: 203.0.113.0/24
Navegador: Mozilla/5.0 (…)
Sitio: example.com
ID del reto: 3f9c2a7b1e604d85
Cookies: Problema — Las cookies están bloqueadas en este sitio.
…El ID de comprobación aparece cuando el borde ha registrado la comprobación. Si el servicio de comprobación no está disponible, la página dice «no disponible».
Datos tratados
El borde guarda un registro por comprobación durante 7 días en el nodo de borde que la sirvió, y después lo borra. Lleva el ID de comprobación, la hora, el host que sirvió la comprobación, el site y el ID del reto del enlace, la red (la /24 o la /64, nunca la dirección IP completa), la familia y la versión principal del navegador (por ejemplo chromium/156, no el agente de usuario completo), si volvió la cookie de prueba, las dos etiquetas de red y los resultados de las comprobaciones, cada uno de una lista fija de valores. El registro va también al log del nodo.
La dirección IP se usa para buscar las etiquetas de red y se le enseña al visitante; no se guarda. La cookie de prueba es HttpOnly, Secure y SameSite=Lax, limitada a la ruta de la comprobación, y se borra cuando la comprobación queda registrada. No se toman huellas: la página no lee nada del dispositivo aparte de lo que le enseña al visitante.
Solo el soporte de OpenWAF usa el registro, para averiguar por qué falla una comprobación. Detalles: Datos que trata OpenWAF Verify (enlace externo) (borrador pendiente de revisión legal).
Endpoints del borde
El borde los sirve en los hosts con proxy, bajo /__waf/challenge/v1/. No hay que configurar nada, y tu Content Security Policy no cambia: la petición entre orígenes la hace la página de comprobación, no tus páginas.
| Endpoint | Hosts | Qué hace |
|---|---|---|
GET /__waf/challenge/v1/ping | Todos los hosts con proxy | 204 cuando el host usa OpenWAF Verify, 404 si no. Cache-Control: no-store, nunca una cookie. Access-Control-Allow-Origin solo se envía a https://verify.openwaf.dev. |
POST /__waf/challenge/v1/check | Hosts con un widget | Empieza una comprobación: un ID nuevo, la hora del borde, la dirección IP de quien pregunta y sus etiquetas de red, el trabajo de una comprobación del widget y la cookie de prueba. 20 peticiones por minuto por IP. |
POST /__waf/challenge/v1/check/report | Hosts con un widget | Registra los resultados y responde si volvió la cookie de prueba. 20 peticiones por minuto por IP. |
Para ver lo que ve la página de tu host:
curl -sI https://example.com/__waf/challenge/v1/pingPedir a soporte que busque una comprobación
- Pide al visitante que abra la página desde el enlace del fallo (o envíale verify.openwaf.dev/es/ (enlace externo)), que espere al resumen y que te mande el ID de comprobación o el texto de Copiar resultados.
- Escribe a support@openwaf.dev con el ID de comprobación, tu host y la hora aproximada, en los 7 días siguientes a la comprobación.
- Soporte encuentra el registro y, cuando el visitante llegó desde un enlace de fallo, las líneas del log del borde de ese ID de reto: con qué se encontró el intento fallido.
Si soporte no encuentra el ID, la página no terminó (se cerró la pestaña antes del resumen, o no enseñó ningún ID de comprobación) o tiene más de 7 días: pide al visitante que la vuelva a pasar. El ID del reto del pie del modo bajo ataque o del enlace también ayuda por sí solo.