Запись CAA

DNS-запись со списком удостоверяющих центров, которым разрешено выпускать сертификаты для домена. Необязательное укрепление: без неё выпустить может любой центр.

• Помощь

Запись CAA (Certification Authority Authorization) перечисляет удостоверяющие центры, которым разрешено выпускать TLS-сертификаты для вашего домена. Каждый публичный УЦ обязан проверять её перед выпуском: если домен разрешает выпуск только Let's Encrypt, любой другой центр должен отказать — даже тому, кто сумел пройти проверку владения доменом в обход.

Как проверяет SiteScan

Сканер ищет CAA-записи на регистрируемом домене. Если они есть, строка зелёная и показывает их количество. Если нет, в строке «Отсутствует» в нейтральном состоянии: без CAA выпускать может любой УЦ, и для большей части интернета это норма, а не дефект. CAA — необязательное укрепление.

Как добавить

Выясните, какой УЦ выпускает ваши сертификаты сейчас — это видно в строке издателя сертификата, — и опубликуйте по записи на каждый центр, например:

• example.com. CAA 0 issue "letsencrypt.org"
• example.com. CAA 0 issuewild ";" — запрет wildcard-сертификатов
• example.com. CAA 0 iodef "mailto:security@example.com" — адрес для сообщений о нарушениях

Не забудьте про все сервисы, которые получают сертификаты за вас: CDN, облачный магазин или почтовый провайдер могут пользоваться другим УЦ, и забытый сервис не сможет продлить сертификат. Поддомены наследуют записи, если не публикуют собственные.