Rekord CAA

Rekord DNS z listą urzędów certyfikacji, którym wolno wystawiać certyfikaty dla tej domeny. Nieobowiązkowe wzmocnienie: bez niego wystawić może każdy urząd.

• Pomoc

Rekord CAA (Certification Authority Authorization) wymienia urzędy certyfikacji, którym wolno wystawiać certyfikaty TLS dla domeny. Każdy publiczny urząd musi go sprawdzić przed wystawieniem: jeśli domena dopuszcza tylko Let's Encrypt, każdy inny urząd musi odmówić — nawet komuś, kto zdołał inną drogą przejść weryfikację domeny.

Jak sprawdza SiteScan

Skaner szuka rekordów CAA w domenie rejestrowanej. Jeśli istnieją, wiersz jest zielony i pokazuje ich liczbę. Jeśli nie, widnieje „Brak” w stanie neutralnym: bez CAA certyfikat może wystawić każdy urząd, co dla większości sieci jest normą, a nie usterką. CAA to opcjonalne wzmocnienie.

Jak go dodać

Ustal, który urząd wystawia dziś certyfikaty — pokazuje to wiersz wystawcy certyfikatu — i opublikuj po jednym rekordzie na każdy urząd, np.:

• example.com. CAA 0 issue "letsencrypt.org"
• example.com. CAA 0 issuewild ";" — zakaz certyfikatów wildcard
• example.com. CAA 0 iodef "mailto:security@example.com" — adres zgłoszeń o naruszeniach

Uwzględnij wszystkie usługi, które uzyskują certyfikaty w Twoim imieniu: CDN, sklep w chmurze czy dostawca poczty mogą korzystać z innego urzędu, a pominięta usługa nie odnowi certyfikatu. Subdomeny dziedziczą rekordy, o ile nie publikują własnych.