Domínios

Um domínio no NNumbers WAF é o par formado pelo hostname que o cliente acessa e pela origem que responde por ele. Cadastrar o domínio é o que coloca esse hostname atrás da inspeção do WAF.

Domínios no WAF

Campo	O que é	Exemplo
Hostname	O nome público protegido	app.empresa.com.br
Origem	Onde o tráfego é entregue depois da inspeção	https://origin.empresa.com.br

Um hostname pertence a uma única organização. Se outra organização já cadastrou o mesmo hostname, o seu cadastro é recusado — e o caminho para assumi-lo é a transferência, que exige provar a propriedade de novo.

Estados de um domínio

Estado	Significado
DRAFT	Cadastrado, ainda sem verificação de propriedade
PENDING_VERIFICATION	Aguardando o registro TXT ser encontrado no DNS
VERIFIED	Propriedade comprovada
PENDING_CERTIFICATE	Aguardando a emissão do certificado HTTPS
READY_FOR_DNS	Certificado pronto, falta o roteamento apontar para a borda
ACTIVATING	Roteamento conferido, proteção sendo aplicada
ACTIVE	Protegido e recebendo tráfego pela borda
DEGRADED	Verificação ou origem com problema; o domínio pode sair da borda
ERROR	Uma etapa falhou e precisa de ação sua
DISABLED	Proteção desligada por você; o cadastro permanece
REMOVING	Remoção em andamento

Adicionar um domínio

1. Na página Domínios, clique em Adicionar domínio.
2. Informe o hostname: apenas o nome, sem caminho e sem esquema.
3. Informe a origem: um hostname público ou um endereço IP público.

A origem precisa atender a estas regras:

Regra	Detalhe
Endereço público	Endereço privado, interno ou de loopback é recusado
Porta	80, 443 ou a faixa de 1024 a 65535
HTTPS	O certificado da origem é sempre verificado; não é possível desligar a verificação
Hostname protegido	A origem não pode ser um hostname que você já protege no WAF
Cabeçalho de host	Você pode informar o Host que a origem espera, se ele difere do endereço

A origem continua exposta

O WAF protege quem chega pelo hostname público. Se a origem continuar acessível diretamente pelo endereço dela, um atacante pode falar com ela sem passar pela inspeção. Restrinja a origem para aceitar tráfego apenas dos endereços de saída exibidos na Console.

Verificação de propriedade

A prova de que o domínio é seu é um registro TXT no DNS:

Item	Valor
Nome do registro	_nnwaf-challenge.<hostname>
Valor	nnwaf-verify=<token>
Validade do token	7 dias
Permanência do registro	Enquanto o domínio existir

O token aparece na Console no momento da criação do domínio. Depois de criar o registro, a Console confere o DNS e o domínio passa a VERIFIED.

O registro não é descartável: a Console relê o TXT diariamente. Se ele ficar 7 dias ausente, o domínio entra em DEGRADED e sai da borda — o tráfego deixa de ser protegido até o registro voltar.

Não apague o TXT depois da verificação

O TXT de verificação não serve só para o primeiro dia. Ele é a prova contínua de que o hostname continua sob o seu controle.

Certificado HTTPS

O certificado é emitido automaticamente, por Let's Encrypt, pela borda da NNumbers. Você não compra nem renova certificado.

Para ter certificado antes de trocar o tráfego, crie o registro que autoriza a emissão:

Item	Valor
Nome do registro	_acme-challenge.<hostname>
Tipo	CNAME
Valor	O valor mostrado na Console, que termina em ._acme.gw.nnumbers.com.br

Com esse CNAME no lugar, o certificado é emitido na etapa 4 e o domínio fica pronto para receber tráfego — a troca de DNS acontece sem janela de erro de certificado. Sem o CNAME, o certificado é emitido depois da etapa 5, quando o roteamento já aponta para a borda.

Roteamento de DNS

O roteamento é o que traz o tráfego do cliente para a borda:

Caso	Registro
Hostname comum (app.empresa.com.br)	CNAME para edge.gw.nnumbers.com.br
Domínio raiz ou apex (empresa.com.br)	A e AAAA com os endereços mostrados na Console, ou ALIAS/ANAME se o provedor suportar

Não use CNAME em domínio raiz quando o provedor não aceita: registros A e AAAA, ou ALIAS/ANAME, resolvem. Um domínio raiz sem essas opções não pode ser protegido por CNAME.

Depois de criar o registro, rode a conferência de roteamento na Console. Ela confirma que o hostname resolve para a borda e que a requisição chega com o Host esperado.

Ativar a proteção

Com o roteamento conferido, clique em Ativar proteção. O domínio vai para ACTIVATING e, em seguida, para ACTIVE.

Para interromper a proteção sem perder o cadastro, use Desativar. O domínio fica DISABLED e deixa de passar pela inspeção; o DNS continua apontando para a borda.

Remover um domínio

Remover desativa a proteção e retira o roteamento da borda. O DNS do seu lado não é alterado: o hostname continua apontando para edge.gw.nnumbers.com.br e passa a responder erro até você trocar o registro. Ajuste o DNS antes, ou imediatamente depois, de remover.

Transferir um domínio entre organizações

Como um hostname pertence a uma única organização, a mudança de dono é uma transferência: a organização nova cadastra o hostname e prova a propriedade de novo, com o registro TXT. Enquanto a prova não acontece, o domínio continua com a organização anterior.

Próximos passos

• Políticas — definir modo e nível de paranoia.
• Solução de problemas — quando o DNS não propaga ou o certificado não sai.
• Segurança — restringir a origem aos endereços da NNumbers.