CAA-Eintrag

Ein DNS-Eintrag, der die Zertifizierungsstellen nennt, die für diese Domain ausstellen dürfen. Optionale Härtung: ohne ihn darf jede Stelle ausstellen.

• Hilfe

Ein CAA-Eintrag (Certification Authority Authorization) nennt die Zertifizierungsstellen, die TLS-Zertifikate für Ihre Domain ausstellen dürfen. Jede öffentliche CA muss ihn vor der Ausstellung prüfen: Erlaubt Ihre Domain nur Let's Encrypt, muss jede andere Stelle ablehnen – selbst wenn jemand die Domainvalidierung auf anderem Weg bestanden hat.

So prüft SiteScan

Der Scan sucht CAA-Einträge auf der registrierbaren Domain. Gibt es welche, ist die Zeile grün und zeigt ihre Anzahl. Gibt es keine, steht dort neutral „Fehlt“: Ohne CAA darf jede CA ausstellen, was für den Großteil des Webs der Normalfall ist und kein Mangel. CAA ist eine optionale Härtung.

So legen Sie ihn an

Ermitteln Sie, welche CA Ihre Zertifikate heute ausstellt – das zeigt die Zeile Zertifikatsaussteller –, und veröffentlichen Sie je Stelle einen Eintrag, etwa:

• example.com. CAA 0 issue "letsencrypt.org"
• example.com. CAA 0 issuewild ";" gegen Wildcard-Zertifikate
• example.com. CAA 0 iodef "mailto:security@example.com" für Meldungen über Verstöße

Denken Sie an alle Dienste, die Zertifikate für Sie beziehen: CDN, gehosteter Shop oder Mail-Anbieter nutzen eventuell eine andere CA, und ein vergessener Dienst scheitert bei der nächsten Verlängerung. Subdomains erben die Einträge, sofern sie keine eigenen haben.