Políticas

La política es el conjunto de decisiones que el WAF aplica a un dominio.

La política del dominio

Cada dominio apunta a una política, que define en qué modo opera el WAF, con qué sensibilidad evalúa las reglas OWASP, cuál es el límite de cuerpo inspeccionado y qué reglas personalizadas y límites de tasa valen allí.

Los cambios en la política valen para el tráfico del dominio en cuanto se guardan, y cada guardado genera una nueva revisión — la revisión aparece en los eventos, para que sepas qué configuración decidió cada bloqueo.

Modos de operación

Modo	Qué hace	Cuándo usarlo
Detección (DETECTION)	Evalúa las reglas OWASP y registra lo que coincidiría como ataque, sin bloquear por ellas	Primer contacto, ajuste de falsos positivos, aplicación legada
Prevención (PREVENTION)	Bloquea cuando la puntuación de anomalía de la solicitud alcanza el límite	Producción, después de validar el tráfico real

La diferencia entre modos vale solo para las reglas OWASP. Estos controles actúan en los dos modos:

• reglas personalizadas con acción de bloqueo;
• la línea base de la plataforma;
• la limitación de tasa.

Es decir: en detección ya estás protegido contra lo que configuraste explícitamente; lo que queda en observación es el juicio del conjunto OWASP.

OWASP CRS

El conjunto de reglas es el OWASP Core Rule Set 4.25.2 (LTS), aplicado por el motor Coraza 3.8.1.

Parámetro	Por defecto	Rango	Efecto
Conjunto OWASP	Activado	activado o desactivado	Evaluar o no las reglas de la comunidad
Nivel de paranoia	1	1 a 4	Cuán estricto es el conjunto
Límite de anomalía de entrada	5	ajustable	Puntuación a partir de la cual la solicitud se bloquea en prevención

Nivel de paranoia es el ajuste más importante. En el nivel 1 el conjunto detiene los ataques claros con pocos falsos positivos. Cada nivel superior amplía la cobertura y aumenta la probabilidad de bloquear tráfico legítimo: sube un nivel por vez y lee los eventos antes de subir de nuevo.

Puntuación de anomalía es la suma de los puntos de las reglas que coincidieron con la solicitud. Cada regla tiene un peso; cuando la suma alcanza el límite, la solicitud se bloquea en prevención. En el evento, el campo de puntuación muestra ese valor.

Qué se inspecciona en el cuerpo

Tipo de contenido	Inspeccionado
application/x-www-form-urlencoded	Sí
multipart/form-data	Sí
application/json y subtipos +json	Sí
XML	Sí
Otros tipos	Depende de la lista del conjunto OWASP

Tamaño del cuerpo inspeccionado. El WAF inspecciona el cuerpo de las solicitudes hasta un límite. El valor por defecto de cada política es 64 KiB y el máximo que una política puede declarar es 1 MiB. El costo de la inspección crece de forma lineal con el tamaño del cuerpo, así que por encima de eso la solicitud pasa a costar más procesamiento de lo que el servicio permite. Una solicitud con un cuerpo mayor que el límite de la política se rechaza con 413. Si necesitas aceptar cargas mayores, usa la exención de inspección de cuerpo en el endpoint — no aumentes el límite de la política.

Los tipos de contenido fuera de la lista del conjunto OWASP se bloquean en el nivel de paranoia 1 por la regla 920420. Eso suele aparecer con text/plain y con +json de proveedor. El camino correcto es una excepción para el tipo en esa ruta, y no desactivar la familia de reglas: ver Eventos y excepciones.

Exención de inspección de cuerpo para cargas

Exención de cuerpo para cargas. En endpoints de carga delimitados, puedes eximir solo el cuerpo de la solicitud de la inspección: cabeceras, ruta y parámetros de URL siguen inspeccionados. La exención tiene alcance por ruta (exacta o prefijo), con métodos y dominio opcionales, justificación obligatoria, caducidad opcional y tamaño máximo de cuerpo obligatorio (hasta 100 MiB). Mientras está vigente, el WAF: rechaza con 413 la solicitud cuyo Content-Length supere el tamaño máximo declarado; rechaza con 411 la solicitud que llegue con Transfer-Encoding (carga en chunked/streaming), porque sin tamaño declarado no hay forma de garantizar el techo — envía Content-Length; registra la exención en la auditoría. Superar el límite de la política no libera nada automáticamente: sin exención, el cuerpo por encima del límite se rechaza. Gestionar la exención exige el rol WAF Editor o WAF Admin y cuenta en la misma cuota de las excepciones.

Ajustando la política

1. Empieza en detección, con el conjunto OWASP activado y paranoia 1.
2. Deja pasar el tráfico real durante algunos días y lee los eventos.
3. Para cada bloqueo que sea falso positivo, crea una excepción puntual desde el propio evento.
4. Solo entonces cambia a prevención.
5. Si necesitas más cobertura, sube el nivel de paranoia un escalón y repite la lectura de eventos.

Prevención no es todo o nada

Las reglas personalizadas y la limitación de tasa funcionan en detección. Puedes empezar bloqueando lo que es inequívoco — un país, una ruta administrativa, un método — y dejar el conjunto OWASP en observación hasta confiar en el resultado.

Próximos pasos

• Reglas personalizadas — bloquear y permitir por condición.
• Eventos y excepciones — leer la decisión de la política y tratar falsos positivos.
• API — administrar la política por API.