Dominios
Un dominio en el NNumbers WAF es el par formado por el hostname que el cliente accede y el origen que responde por él. Registrar el dominio es lo que pone ese hostname detrás de la inspección del WAF.
Dominios en el WAF
| Campo | Qué es | Ejemplo |
|---|---|---|
| Hostname | El nombre público protegido | app.empresa.com.br |
| Origen | Dónde se entrega el tráfico después de la inspección | https://origin.empresa.com.br |
Un hostname pertenece a una única organización. Si otra organización ya registró el mismo hostname, tu registro se rechaza — y el camino para asumirlo es la transferencia, que exige probar la propiedad de nuevo.
Estados de un dominio
| Estado | Significado |
|---|---|
DRAFT | Registrado, todavía sin verificación de propiedad |
PENDING_VERIFICATION | Esperando que el registro TXT se encuentre en el DNS |
VERIFIED | Propiedad comprobada |
PENDING_CERTIFICATE | Esperando la emisión del certificado HTTPS |
READY_FOR_DNS | Certificado listo, falta que el enrutamiento apunte a la borda |
ACTIVATING | Enrutamiento verificado, protección siendo aplicada |
ACTIVE | Protegido y recibiendo tráfico por la borda |
DEGRADED | Verificación u origen con problema; el dominio puede salir de la borda |
ERROR | Una etapa falló y necesita tu acción |
DISABLED | Protección desactivada por ti; el registro permanece |
REMOVING | Eliminación en curso |
Agregar un dominio
- En la página Dominios, haz clic en Agregar dominio.
- Indica el hostname: solo el nombre, sin ruta y sin esquema.
- Indica el origen: un hostname público o una dirección IP pública.
El origen debe cumplir estas reglas:
| Regla | Detalle |
|---|---|
| Dirección pública | Una dirección privada, interna o de loopback se rechaza |
| Puerto | 80, 443 o el rango de 1024 a 65535 |
| HTTPS | El certificado del origen se verifica siempre; no es posible desactivar la verificación |
| Hostname protegido | El origen no puede ser un hostname que ya proteges en el WAF |
| Cabecera de host | Puedes indicar el Host que el origen espera, si difiere de la dirección |
El WAF protege a quien llega por el hostname público. Si el origen sigue accesible directamente por su dirección, un atacante puede hablar con él sin pasar por la inspección. Restringe el origen para aceptar tráfico solo de las direcciones de salida mostradas en la Console.
Verificación de propiedad
La prueba de que el dominio es tuyo es un registro TXT en el DNS:
| Ítem | Valor |
|---|---|
| Nombre del registro | _nnwaf-challenge.<hostname> |
| Valor | nnwaf-verify=<token> |
| Validez del token | 7 días |
| Permanencia del registro | Mientras el dominio exista |
El token aparece en la Console al crear el dominio. Después de crear el registro, la Console consulta el DNS y el dominio pasa a VERIFIED.
El registro no es descartable: la Console relee el TXT a diario. Si falta durante 7 días, el dominio entra en DEGRADED y sale de la borda — el tráfico deja de estar protegido hasta que el registro vuelva.
El TXT de verificación no sirve solo para el primer día. Es la prueba continua de que el hostname sigue bajo tu control.
Certificado HTTPS
El certificado se emite automáticamente, por Let's Encrypt, en la borda de NNumbers. No compras ni renuevas certificado.
Para tener el certificado antes de cambiar el tráfico, crea el registro que autoriza la emisión:
| Ítem | Valor |
|---|---|
| Nombre del registro | _acme-challenge.<hostname> |
| Tipo | CNAME |
| Valor | El valor mostrado en la Console, que termina en ._acme.gw.nnumbers.com.br |
Con ese CNAME en su lugar, el certificado se emite en la etapa 4 y el dominio queda listo para recibir tráfico — el cambio de DNS ocurre sin ventana de error de certificado. Sin el CNAME, el certificado se emite después de la etapa 5, cuando el enrutamiento ya apunta a la borda.
Enrutamiento de DNS
El enrutamiento es lo que trae el tráfico del cliente a la borda:
| Caso | Registro |
|---|---|
Hostname común (app.empresa.com.br) | CNAME para edge.gw.nnumbers.com.br |
Dominio raíz o apex (empresa.com.br) | A y AAAA con las direcciones mostradas en la Console, o ALIAS/ANAME si el proveedor lo soporta |
No uses CNAME en dominio raíz cuando el proveedor no lo acepta: registros A y AAAA, o ALIAS/ANAME, lo resuelven. Un dominio raíz sin esas opciones no puede protegerse por CNAME.
Después de crear el registro, ejecuta la verificación de enrutamiento en la Console. Confirma que el hostname resuelve a la borda y que la solicitud llega con el Host esperado.
Activar la protección
Con el enrutamiento verificado, haz clic en Activar protección. El dominio pasa a ACTIVATING y luego a ACTIVE.
Para interrumpir la protección sin perder el registro, usa Desactivar. El dominio queda DISABLED y deja de pasar por la inspección; el DNS sigue apuntando a la borda.
Eliminar un dominio
Eliminar desactiva la protección y retira el enrutamiento de la borda. El DNS de tu lado no se modifica: el hostname sigue apuntando a edge.gw.nnumbers.com.br y empieza a responder error hasta que cambies el registro. Ajusta el DNS antes, o inmediatamente después, de eliminar.
Transferir un dominio entre organizaciones
Como un hostname pertenece a una única organización, el cambio de dueño es una transferencia: la organización nueva registra el hostname y prueba la propiedad de nuevo, con el registro TXT. Mientras no ocurra la prueba, el dominio sigue con la organización anterior.
Próximos pasos
- Políticas — definir modo y nivel de paranoia.
- Solución de problemas — cuando el DNS no propaga o el certificado no se emite.
- Seguridad — restringir el origen a las direcciones de NNumbers.
Esta página ajudou?
Reportar um problema nesta páginaNão envie senhas, chaves, tokens ou dados de clientes.