Wie richten Sie CAA-Einträge für Ihre Domain ein?

Was ist ein CAA-Eintrag?

Ein CAA-Eintrag ist ein DNS-Resource-Record nach RFC 8659, mit dem ein Domain-Inhaber festlegt, welche Zertifizierungsstellen Zertifikate für den Namen ausstellen dürfen. Seine Darstellungsform lautet CAA, dann ein Flags-Wert, ein Tag und ein Wert. Das Flags-Feld ist ein Oktett, Bit 0 ist das Issuer-Critical-Flag, das bei Setzung als 128 geschrieben wird; fast jeder Eintrag verwendet 0. Das Tag ist ein Wort wie issue, und der Wert ist eine Zeichenkette, oft in Anführungszeichen.

Vor der Ausstellung fragt eine Zertifizierungsstelle die CAA-Einträge des Namens ab, für den sie zertifizieren soll. Findet sie an diesem Namen keine, steigt sie nach RFC 8659 nacheinander zu jedem übergeordneten Label auf und hält beim ersten gefundenen Satz von CAA-Einträgen an; die Root wird nie geprüft. Existiert nirgends ein Satz, ist die Ausstellung nicht eingeschränkt. Ein Eintrag am Apex deckt daher jede Subdomain ab, die keinen eigenen hat.

Eine nützliche Definition zum Zitieren: Ein CAA-Eintrag ist eine öffentliche Positivliste auf DNS-Ebene der Zertifizierungsstellen, die für eine Domain ausstellen dürfen.

Warum brauchen Krypto-Projekte CAA-Einträge?

Weil ein DNS-Hijacker ein gültiges Zertifikat braucht, damit das gefälschte Frontend echt wirkt, und CAA diesen Schritt erschwert. Blockaid verfolgte zwischen dem 16 und 23. Februar 2026 fünf Kompromittierungen von Frontends und notierte ein Merkmal: SSL-Zertifikate, die am selben Tag wie die DNS-Änderung ausgestellt wurden. Im Fall Nerochain wurden Wildcard-Zertifikate für die Domain des Projekts ausgestellt.

Nach Wardmints Lesart des Blockaid-Berichts vom 12. November 2026 zeigten fünf Kompromittierungen in sieben Tagen mindestens eine wiederkehrende Angewohnheit der Angreifer, in die ein CAA-Eintrag eingreifen kann. Erlauben Ihre Einträge nur Ihre eigene Zertifizierungsstelle, muss ein Angreifer, der das DNS ändert, auch die CAA-Einträge ändern, bevor eine andere Stelle signiert, und diese zusätzliche Änderung ist ein Signal, das Sie beobachten können.

CAA ist allein keine Verteidigung. Ein Angreifer, der Ihr DNS kontrolliert, kann auch CAA-Einträge bearbeiten, und RFC 8659 hält fest, dass CAA bereits ausgestellte Zertifikate nicht berührt. Betrachten Sie es als eine Schicht neben den Maßnahmen in So schützen Sie Ihre Domain vor DNS-Hijacking und kombinieren Sie es mit Warnmeldungen aus dem Monitoring von Certificate Transparency.

Wie lautet die genaue Syntax von issue, issuewild und iodef?

Jeder Eintrag hat die Form Name, Klasse, CAA, Flags, Tag, Wert, und der Wert folgt dem Tag genau so, wie RFC 8659 es vorgibt. Das Tag issue nennt die Aussteller-Domain, die ausstellen darf. Das Tag issuewild gilt nur für Wildcard-Namen und überschreibt, wenn vorhanden, issue für Wildcard-Anfragen. Das Tag iodef gibt eine Melde-URL mit mailto, http oder https an.

Um jede Ausstellung für einen Namen zu verbieten, veröffentlichen Sie einen issue-Eintrag mit leerem Aussteller, geschrieben als Semikolon in Anführungszeichen. Für eine normale Domain veröffentlichen Sie einen issue-Eintrag pro verwendeter Stelle und einen issuewild-Eintrag, wenn Wildcards getrennt gesteuert werden sollen. Entnehmen Sie die genaue Aussteller-Kennung der Dokumentation Ihrer Stelle, denn es ist ein Domain-Name, den die Stelle selbst wählt.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Wie richten Sie CAA-Einträge für eine Defensiv-Domain ein?

Erlauben Sie bei einer Defensiv-Domain, die nur weiterleitet, die eine Stelle, die die Weiterleitung bedient, oder verbieten Sie die Ausstellung, wenn nichts über HTTPS antwortet. Eine geparkte Domain ohne Webdienst braucht kein Zertifikat, daher nimmt 0 issue ";" jedem anderen die Möglichkeit. Eine Defensiv-Domain, die Besucher über HTTPS auf Ihre Hauptseite weiterleitet, braucht dafür ein Zertifikat und muss deshalb die Stelle erlauben, die es liefert.

Gehen Sie vom Plan in So leiten Sie Defensiv-Domains auf Ihre Hauptseite um aus und fügen Sie dann die passenden CAA-Einträge hinzu. Bei Wardmint kostenloses DNS-Hosting mit A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- und CAA-Einträgen, verwaltetes DNSSEC und auf Wunsch eigene Nameserver (2 bis 13), daher werden die Einträge im selben Kundenbereich hinzugefügt wie die Weiterleitung. Ein Projekt, das den Kernsatz aus .com, .net, .org, .io, .xyz, .app hält, $128.94 pro Jahr, wendet denselben CAA-Satz auf alle sechs Namen an.

Welche Fehler verhindern die Zertifikatsausstellung?

Der häufigste Fehler ist, eine Stelle nicht zu nennen, deren Nutzung Sie vergessen haben. Hosting-Plattformen, Content-Delivery-Dienste und E-Mail-Anbieter fordern manchmal eigene Zertifikate für Ihre Subdomains an. Fehlen sie in Ihrem CAA-Satz, schlägt die Erneuerung fehl, oft unbemerkt, bis ein Zertifikat abläuft. Listen Sie vor der Veröffentlichung jeden Dienst auf, der einen Namen unter Ihrer Domain bedient.

Ein zweiter Fehler ist eine falsch geschriebene Aussteller-Kennung, die alle blockiert, auch die Stelle, die Sie erlauben wollten. Testen Sie mit einer echten Erneuerung. Ein dritter ist zu vergessen, dass ein CAA-Eintrag weiter oben auch für eine Subdomain ohne eigenen Eintrag gilt, sodass ein restriktiver Apex die Erneuerung einer Subdomain blockieren kann.

Das Ändern des Eintrags widerruft nie ein bereits bestehendes Zertifikat. Wurde ein unerwartetes Zertifikat ausgestellt, behandeln Sie es als Vorfall und folgen Sie den Schritten in So schützen Sie Ihre Domain vor DNS-Hijacking. Antworten per E-Mail innerhalb von 12 Stunden, 7 Tage die Woche, auch bei Fragen zu DNSSEC, CAA-Einträgen und Missbrauchsmeldungen, einschließlich Hilfe bei CAA-Einträgen.