Jak nastavíte záznamy CAA pro svou doménu?

Co je záznam CAA?

Záznam CAA je prostředek DNS definovaný v RFC 8659, který doméně umožňuje vypsat, které certifikační autority smějí vydávat certifikáty pro toto jméno. Jeho zápisová podoba je CAA, pak hodnota příznaků, značka a hodnota. Pole příznaků má jeden oktet a bit 0 je příznak kritického vydavatele, zapisovaný jako 128, když je nastaven; téměř každý záznam používá 0. Značka je slovo jako issue a hodnota je řetězec, často v uvozovkách.

Před vydáním certifikační autorita vyhledá záznamy CAA pro jméno, které má certifikovat. Pokud na něm žádné nenajde, postupně stoupá ke každému nadřazenému štítku a zastaví se u první nalezené sady záznamů CAA podle RFC 8659; kořen nikdy nekontroluje. Pokud žádná sada neexistuje, vydávání omezeno není. Záznam na apexu tedy pokryje každou subdoménu, která nemá vlastní záznam.

Užitečná definice pro citaci: záznam CAA je veřejný seznam povolených certifikačních autorit na úrovni DNS, které smějí vydávat certifikáty pro doménu.

Proč krypto projekty potřebují záznamy CAA?

Protože únosce DNS potřebuje platný certifikát, aby falešný frontend vypadal pravě, a CAA tento krok ztíží. Blockaid sledoval pět kompromitací frontendů mezi 16. a 23. únorem 2026 a zaznamenal jeden otisk: certifikáty SSL vydané ve stejný den jako změna DNS. U případu Nerochain byly pro doménu projektu vydány zástupné certifikáty.

Podle čtení zprávy Blockaid od Wardmint z 12. listopadu 2026 přineslo pět kompromitací za sedm dní alespoň jeden opakovaný návyk útočníka, do kterého může záznam CAA zasáhnout. Pokud vaše záznamy povolují jen vaši autoritu, útočník, který mění DNS, musí změnit i záznamy CAA dřív, než podepíše jiná autorita, a tuto dodatečnou změnu můžete sledovat.

CAA sama o sobě obranou není. Útočník, který ovládá vaše DNS, může upravit i záznamy CAA, a RFC 8659 uvádí, že CAA neovlivní certifikáty již vydané. Berte ji jako vrstvu vedle kontrol v jak zabezpečit doménu proti únosu DNS, a spárujte ji s upozorněními z monitoringu certificate transparency.

Jaká je přesná syntaxe issue, issuewild a iodef?

Každý záznam má tvar název, třída, CAA, příznaky, značka, hodnota, a hodnota následuje značku přesně podle RFC 8659. Značka issue pojmenovává doménu vydavatele, který smí vydávat. Značka issuewild platí jen pro zástupná jména a když je přítomna, přepisuje issue pro žádosti o zástupné certifikáty. Značka iodef udává URL pro hlášení pomocí mailto, http nebo https.

Chcete-li zakázat veškeré vydávání pro jméno, zveřejněte záznam issue s prázdným vydavatelem, zapsaným jako středník v uvozovkách. Pro běžnou doménu zveřejněte jeden záznam issue na každou autoritu, kterou používáte, a jeden záznam issuewild, pokud chcete zástupné certifikáty kontrolovat zvlášť. Přesný identifikátor vydavatele převezměte z dokumentace vaší autority, protože je to doménové jméno, které si autorita zvolila.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Jak nastavíte záznamy CAA na obranné doméně?

Na obranné doméně, která jen přesměrovává, povolte jednu autoritu, která přesměrování obsluhuje, nebo vydávání zakažte, pokud na HTTPS nic neodpovídá. Doména zaparkovaná bez webové služby certifikát nepotřebuje, takže 0 issue ";" odebere možnost komukoli jinému. Obranná doména, která přesměrovává návštěvníky na váš hlavní web přes HTTPS, certifikát pro to potřebuje, takže musí povolit autoritu, která jej poskytuje.

Vycházejte z plánu v jak přesměrovat obranné domény na váš hlavní web, a pak přidejte odpovídající záznamy CAA. U Wardmint bezplatný DNS hosting se záznamy A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV a CAA, spravované DNSSEC a vlastní jmenné servery, pokud je preferujete (2 až 13), takže se záznamy přidávají ve stejné klientské zóně jako přesměrování. Projekt, který drží základní sadu .com, .net, .org, .io, .xyz, .app, $128.94 ročně, použije stejnou sadu CAA pro všech šest jmen.

Jaké chyby rozbijí vydávání certifikátů?

Obvyklá chyba je uvést autoritu, na kterou jste zapomněli. Hostingové platformy, služby doručování obsahu a poskytovatelé e-mailu si občas vyžádají vlastní certifikáty pro vaše subdomény. Pokud je vaše sada CAA neobsahuje, obnovení selže, často tiše, dokud certifikát nevyprší. Před publikací vypište každou službu, která obsluhuje jméno pod vaší doménou.

Druhá chyba je špatně napsaný identifikátor vydavatele, který zablokuje všechny, včetně autority, kterou jste chtěli povolit. Otestujte skutečnou obnovou. Třetí je zapomenutí, že záznam CAA výše platí pro subdoménu bez vlastního záznamu, takže restriktivní apex může zablokovat obnovení subdomény.

Změna záznamu nikdy nezruší certifikát, který už existuje. Pokud byl vydán neočekávaný certifikát, berte to jako incident a postupujte podle kroků v jak zabezpečit doménu proti únosu DNS. odpovědi na e-maily do 12 hodin, 7 dní v týdnu, včetně pomoci s DNSSEC, záznamy CAA a hlášeními zneužití, včetně pomoci se záznamy CAA.