Primeiros passos

Colocar um domínio atrás do NNumbers WAF leva alguns minutos de Console e um ajuste no seu provedor de DNS. O caminho é sempre o mesmo: cadastrar o domínio e a origem, provar que o domínio é seu, emitir o certificado, apontar o DNS para a borda e ativar a proteção.

Antes de começar

Requisito	Por quê
Acesso ao DNS do domínio	A verificação de propriedade e o roteamento são feitos por registros DNS
Origem pública, alcançável por HTTPS	Endereço privado ou interno é recusado no cadastro
Permissão de WAF Admin	Criar domínio, apontar origem e ativar proteção exigem esse papel
Decisão sobre o modo da política	Detecção registra sem bloquear; prevenção bloqueia

Se o seu domínio é a raiz da zona (por exemplo, empresa.com.br sem www), confira antes se o provedor de DNS aceita ALIAS ou ANAME, ou se você vai usar registros A e AAAA com os endereços que a Console mostra.

O caminho em sete etapas

Etapa	O que acontece	Onde
1. Domínio	Você informa o hostname que será protegido	Console
2. Origem	Você informa o endereço que recebe o tráfego	Console
3. Propriedade	Um registro TXT prova que o domínio é seu	Seu DNS
4. Certificado	O certificado HTTPS é emitido para o hostname	Console e DNS
5. Roteamento	O hostname passa a apontar para a borda	Seu DNS
6. Conferência	A Console confirma que o tráfego chega pela borda	Console
7. Ativação	A proteção entra em vigor	Console

O detalhe de cada etapa está em Domínios.

Passo a passo

1. Abra a página Domínios e clique em Adicionar domínio.
2. Informe o hostname (por exemplo, app.empresa.com.br) e a origem (por exemplo, https://origin.empresa.com.br).
3. Copie o registro TXT que a Console mostra e crie-o no seu provedor de DNS. O nome é _nnwaf-challenge.<hostname> e o valor começa com nnwaf-verify=.
4. Ainda no provedor de DNS, crie o CNAME _acme-challenge.<hostname> apontando para o valor que a Console mostra. Ele termina em ._acme.gw.nnumbers.com.br e permite emitir o certificado antes de trocar o tráfego.
5. Crie o registro de roteamento: <hostname> como CNAME para edge.gw.nnumbers.com.br. Em domínio raiz, use os endereços A e AAAA mostrados na Console, ou ALIAS/ANAME se o provedor suportar.
6. Volte à Console, rode a conferência de roteamento e aguarde o resultado.
7. Clique em Ativar proteção.

Ordem que evita queda

Faça as etapas 3 e 4 antes da etapa 5. Assim o certificado fica pronto antes de o tráfego passar pela borda e a troca de DNS não derruba a primeira requisição.

Conferindo o resultado

Com o domínio ativo, a primeira verificação é simples: peça o site pelo hostname protegido.

curl -sS -o /dev/null -w '%{http_code}\n' https://app.empresa.com.br/

Um 200 (ou o código normal da sua aplicação) confirma que a requisição atravessou a borda e chegou à origem. Em seguida, confira na Console:

• Métricas — requisições liberadas, bloqueadas e limitadas, por domínio.
• Eventos — o que foi bloqueado ou detectado, com regra, caminho e identificador da requisição.
• Política — modo em uso e nível de paranoia.

Checklist de entrada em produção

Item	Conferido
Registro TXT de verificação criado e mantido	Sim
CNAME de _acme-challenge criado	Sim
Roteamento apontando para edge.gw.nnumbers.com.br	Sim
Certificado emitido, sem aviso no navegador	Sim
Modo da política escolhido (detecção ou prevenção)	Sim
Origem restrita aos endereços de saída exibidos na Console	Sim
Lista de endereços de saída aplicada no firewall da origem	Sim
Eventos revisados depois da ativação	Sim

Próximos passos

• Domínios — estados, verificação, certificado e remoção.
• Políticas — escolher entre detecção e prevenção.
• Eventos e exceções — acompanhar o que foi bloqueado.