Solución de problemas

Casi todo problema de implantación del WAF cae en uno de estos grupos: DNS, certificado, origen o decisión del WAF. La tabla parte del síntoma.

Síntomas y qué hacer

Síntoma	Causa probable	Qué hacer
Dominio detenido en PENDING_VERIFICATION	Registro TXT ausente, con el nombre equivocado o aún sin propagar	Revisa _nnwaf-challenge.<hostname> y el valor nnwaf-verify=<token>; espera el TTL y ejecuta la verificación de nuevo
Dominio en DEGRADED sin que hayas cambiado nada	TXT de verificación ausente desde hace 7 días	Vuelve a crear el registro; el dominio se verifica de nuevo en la relectura diaria
Dominio detenido en PENDING_CERTIFICATE	CNAME de _acme-challenge ausente o apuntando a otro destino	Crea el CNAME con el valor mostrado en la Console y espera la emisión
El navegador indica certificado inválido	Certificado aún no emitido, o DNS ya apunta a la borda antes de la emisión	Vuelve al paso del certificado; si el DNS ya cambió, espera la emisión o rehaz el orden
Dominio detenido en READY_FOR_DNS	El enrutamiento aún no apunta a la borda	Crea el CNAME para edge.gw.nnumbers.com.br, o A/AAAA en el apex, y ejecuta la verificación
404 en todas las solicitudes del hostname	El DNS apunta a la borda, pero el dominio no está activo en ella	Revisa el estado del dominio; un dominio no activo responde 404 en la borda
403 en el navegador	Solicitud bloqueada por el WAF	Pide el identificador de la solicitud que aparece en la respuesta y busca el evento correspondiente
413 en POST grande	Cuerpo por encima del límite de inspección de la política, 64 KiB por defecto	Reduce el cuerpo, usa la exención de inspección de cuerpo en el endpoint de carga o ajusta el límite de la política hasta 1 MiB
411 en carga	Solicitud con Transfer-Encoding (chunked/streaming) bajo exención de cuerpo, que exige tamaño declarado	Envía Content-Length; sin tamaño declarado la exención rechaza la solicitud
429 para un cliente legítimo	Límite de tasa bajo para el volumen real, o límite por instancia mal calibrado	Revisa la unidad y el alcance; ver Limitación de tasa
502	Origen inalcanzable, o certificado del origen inválido	Prueba el origen directamente; la verificación de TLS del origen no puede desactivarse, así que el certificado debe ser válido y confiable
503	Indisponibilidad temporal de la borda o tiempo agotado en el origen	Repite; si persiste, revisa la salud del origen y el tiempo de respuesta
504	Origen más lento que el tiempo límite	Investiga el tiempo de respuesta de la aplicación y el camino hasta ella
Tráfico legítimo bloqueado, sin patrón claro	Falso positivo del conjunto OWASP o regla personalizada agresiva	Lee el evento y crea una excepción puntual; ver Eventos y excepciones
Métricas retrasadas o vacías	La agregación tiene algunos minutos de retraso	Usa los eventos para el caso puntual y espera la agregación
El dominio no se activa	Alguna etapa anterior está incompleta: verificación, certificado o enrutamiento	Sigue los estados en Dominios hasta READY_FOR_DNS

El DNS no propagó

El DNS es de tu proveedor, así que la propagación depende del TTL que configuraste. Para revisar sin esperar al navegador:

dig +short app.empresa.com.br CNAME
dig +short _nnwaf-challenge.app.empresa.com.br TXT
dig +short _acme-challenge.app.empresa.com.br CNAME

Si el CNAME del hostname no aparece, el registro no fue creado o está en el lugar equivocado de la zona. Si aparece y el dominio sigue en READY_FOR_DNS, ejecuta la verificación de enrutamiento en la Console — mira la respuesta por la borda, no la caché de tu computadora.

Certificado no emitido

La emisión depende de que el CNAME de _acme-challenge apunte al valor que muestra la Console, terminado en ._acme.gw.nnumbers.com.br. Errores comunes: crear el registro como TXT en vez de CNAME, usar el nombre sin el prefijo, o dejar un registro antiguo con el mismo nombre en el proveedor.

Mientras el certificado no se emite, no cambies el DNS del hostname a la borda: tendrías error de certificado en el navegador durante la ventana.

Origen indisponible

Antes de culpar al WAF, prueba el origen directamente desde tu entorno:

curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' https://origin.empresa.com.br/

Si el origen responde mal directamente, el problema es suyo. Si responde bien directamente y mal por el WAF, revisa: la dirección y el puerto registrados, el Host que espera el origen, el certificado del origen (la verificación se hace siempre) y el tiempo límite de respuesta del origen.

Errores que ve el usuario final

Código	Significado	Quién lo resuelve
403	Solicitud bloqueada por el WAF; la respuesta trae un identificador de solicitud	Quien administra el WAF, con el identificador
413	Cuerpo por encima del límite de inspección, o por encima del tamaño máximo de la exención	Quien lo envía o quien ajusta la política
411	Carga con Transfer-Encoding bajo exención de cuerpo: falta el Content-Length	Quien lo envía
429	Límite de tasa alcanzado	Quien administra el WAF
404	Host desconocido en la borda: el DNS apunta a la borda, pero el dominio no está activo	Quien administra el WAF
502	Origen inalcanzable o certificado del origen inválido	Origen
503	Indisponibilidad temporal de la borda o tiempo agotado en el origen	NNumbers u origen
504	Origen más lento que el tiempo límite	Origen

El identificador de la solicitud es el atajo

Cuando un usuario relata 403, pide el identificador que aparece en la página de error. Con él encuentras el evento exacto en segundos, sin buscar por hora aproximada.

Próximos pasos

• Dominios — estados y etapas del registro.
• Eventos y excepciones — del bloqueo a la excepción.
• Seguridad — restringir el origen y revisar permisos.