Confianza y tratamiento de datos

Comprobado en nuestro código y nuestra configuración el 30 oct 2026.

Qué ve el borde de OpenWAF cuando termina el TLS, qué guarda, durante cuánto tiempo y dónde, quién puede llegar a ello y cómo dejar fuera del borde las partes sensibles de tu producto. Cada afirmación de esta página está comprobada en nuestro código y nuestra configuración, y también están los límites.

Qué ve el borde y qué guarda

En un nombre con proxy el borde termina el TLS: descifra cada petición para inspeccionarla (WAF, reglas, bots) y la vuelve a cifrar hacia tu origen. Ver una petición no es guardarla. Esto es todo lo que el servicio guarda del tráfico de tus visitantes:

Nunca se registran: cuerpos de petición o de respuesta (salvo el texto coincidente de arriba y la caché), cookies, cabeceras Authorization, campos de formularios ni contraseñas. Las copias de las bases de datos se guardan 90 días y las del sistema como mucho 6 meses; al cerrar tu cuenta, tus datos se borran de los sistemas en uso en 30 días, como recoge el contrato de encargo del tratamiento.

Deja fuera del borde las partes sensibles

Decides nombre a nombre qué pasa por OpenWAF. Para una sala de datos de inversores, un servicio de firma de documentos o cualquier nombre cuyo tráfico no quieras que descifre un tercero:

• Deja el nombre solo DNS. Un registro solo DNS se responde tal como lo escribes y los visitantes se conectan directamente a tu servidor: sin terminación TLS, sin inspección y sin nada registrado por el borde. Consulta registros con proxy y solo DNS.
• Deja tu DNS donde está. En una zona externa tu DNS sigue en tu proveedor y solo pasan por el borde los nombres que apuntas a OpenWAF con un CNAME (o un registro A en el dominio raíz). Consulta zonas externas.
• Ajusta un nombre o una ruta con proxy. Cada nombre puede tener su propio modo y nivel del WAF, también log (registra y nunca bloquea) y off, y una excepción del WAF apaga reglas en una ruta como /upload/*. Consulta ajustes por nombre y excepciones del WAF.
• Deja apagadas la caché y la medición de usuarios reales, como vienen por defecto, en los nombres que sirven documentos privados.
• Retos sin terceros. OpenWAF Verify se sirve desde tu propio host. Su reto de navegador pone una sola cookie propia, __waf_pass, firmada con HMAC-SHA256 y que solo lleva su caducidad, el prefijo de red del visitante (/24 o /64), su ámbito y cuándo se emitió. No hay scripts, iframes ni cookies de terceros.

Certificados TLS y claves

• Los certificados de los nombres con proxy los emite Let’s Encrypt automáticamente, desde nuestro plano de control, y se renuevan 30 días antes de caducar; también puedes subir los tuyos. Let’s Encrypt solo recibe los nombres de host.
• Las claves privadas de los certificados, nuestras y subidas, se guardan cifradas con AES-256-GCM. Llegan a los nodos del borde dentro del documento de configuración, firmado con Ed25519 y enviado por TLS. Cada nodo guarda el último documento aplicado en un fichero con permisos solo para su dueño (0600), para poder arrancar sin el plano de control.
• Hacia tu origen: full cifra y full_strict además verifica el certificado del origen (lo que usan los dominios nuevos). La Origin CA de OpenWAF emite certificados de origen de hasta 15 años a partir de tu propia CSR, o de una clave que genera, entrega una vez y no guarda.
• Con los orígenes autenticados cada nodo del borde presenta un certificado de cliente (ECDSA P-256, válido 30 días y rotado automáticamente), así que tu servidor puede rechazar toda conexión que no venga de OpenWAF.
• Se prefiere el intercambio de claves híbrido poscuántico (X25519 + ML-KEM-768) hacia los visitantes y hacia los orígenes.

Detalles: certificados del borde, TLS hacia el origen, Origin CA.

Dónde están los datos y quién puede llegar a ellos

• Ubicación. Plano de control, bases de datos, servidores DNS y copias de seguridad en Alemania (Hetzner). Nodos del borde en Alemania (Hetzner) y en Madrid, España (Vultr); los eventos del nodo de Madrid se guardan en Alemania.
• En tránsito. TLS de los visitantes al borde y del borde a los orígenes HTTPS; los nodos piden su configuración y mandan sus eventos por HTTPS, con cada documento de configuración firmado por el plano de control y cada lote de eventos firmado por su nodo; las transferencias de zona entre nuestros servidores DNS van firmadas con TSIG.
• En reposo. Las claves de los certificados y de la cuenta ACME, las de la Origin CA y las de cliente del borde se cifran con AES-256-GCM; las claves de proveedores y los secretos de la infraestructura están en un gestor de secretos (OpenBao); las copias del sistema de ficheros se cifran antes de salir del servidor. Las bases de datos de eventos y de configuración no están cifradas a nivel de base de datos; solo se llega a ellas desde nuestros propios servidores.
• Quién por nuestra parte. Solo los operadores de la plataforma OpenWAF: SSH solo con claves, segundo factor siempre en sus cuentas del panel y acceso a secretos con roles por servidor y registro de auditoría. AI Services LLC es una empresa de EE. UU. y su personal puede acceder a los datos desde fuera del EEE, con las cláusulas contractuales tipo de la UE.
• Quién por la tuya. Miembros y tokens de la API con roles, limitados a un cliente o a un dominio si quieres; cada cambio lleva un motivo y queda en tu registro de auditoría.

Subencargados

Avisamos a los clientes por correo al menos 30 días antes de añadir o sustituir uno. Lista completa: Subencargados.

Quién opera OpenWAF

OpenWAF Cloud lo opera AI Services LLC (nombre comercial OpenWAF), 99 Wall Street #2351, New York, NY 10005, EE. UU. Para el tráfico de tus visitantes actuamos como encargados del tratamiento según el contrato de encargo del tratamiento (PDF), que aceptas al crear tu organización; las transferencias fuera del EEE se basan en las cláusulas contractuales tipo de la UE. Consulta también la Política de privacidad y el Aviso legal.

Licencia y versiones

OpenWAF Cloud (el borde, el plano de control, el panel, la API y el servidor MCP) es un servicio gestionado propietario: lo usas, no lo instalas. Estas partes son de código abierto:

El motor del WAF es Coraza con OWASP Core Rule Set 4.25, los dos de código abierto (Apache-2.0). El borde y el plano de control no tienen números de versión: se despliegan de forma continua desde su rama principal, cada despliegue identificado por su commit de git, y cada cambio que ven los clientes está fechado en el registro de cambios.

Estado, SLA y lo que todavía no tenemos

status.openwaf.dev muestra el estado en directo de la web, la documentación, el panel, la API, el servidor MCP, la red del borde (Alemania y España), el DNS autoritativo, Verify y AI egress, con la disponibilidad de 30 y 90 días, los tiempos de respuesta y el historial de incidencias (feeds Atom y RSS). Lo miden cada minuto sondas en la red de Cloudflare y está alojado en Cloudflare Pages, aparte de nuestros servidores.

• Todavía ningún acuerdo de nivel de servicio (SLA).
• Ningún informe SOC 2: la preparación para SOC 2 Tipo I está en curso y no se ha hecho ninguna auditoría.
• Ningún certificado ISO/IEC 27001: nuestro SGSI está alineado con ISO/IEC 27001:2022 y la auditoría de certificación no se ha hecho.
• Ningún informe de una prueba de penetración independiente.

Los controles que ya tenemos y cómo comunicar una vulnerabilidad: Seguridad.

De dónde sale cada cifra

Cada cifra de este sitio y de nuestro llms.txt sale de un solo fichero, con la fecha del recuento (30 oct 2026) y una página pública donde puedes comprobarla.