¿Cómo se configuran los registros CAA de su dominio?

¿Qué es un registro CAA?

Un registro CAA es un registro de recursos DNS, definido en la RFC 8659, que permite al titular de un dominio indicar qué autoridades de certificación pueden emitir certificados para ese nombre. Su forma de presentación es CAA, seguido de un valor de indicadores, una etiqueta y un valor. El campo de indicadores es un octeto, y el bit 0 es el indicador de emisor crítico, que se escribe como 128 cuando está activado; casi todos los registros usan 0. La etiqueta es una palabra como issue, y el valor es una cadena, a menudo entre comillas.

Antes de emitir, una autoridad de certificación consulta los registros CAA del nombre cuya certificación se le ha pedido. Si no encuentra ninguno en ese nombre, asciende por cada etiqueta padre sucesivamente y se detiene en el primer conjunto de registros CAA que encuentra, según la RFC 8659; nunca comprueba la raíz. Si no existe ningún conjunto en ningún punto, la emisión no está restringida. Por tanto, un registro en el ápice cubre todos los subdominios que no tienen uno propio.

Una definición útil para citar: un registro CAA es una lista de permitidos pública, a nivel de DNS, de las autoridades de certificación autorizadas a emitir para un dominio.

¿Por qué necesitan los proyectos cripto registros CAA?

Porque un secuestrador de DNS necesita un certificado válido para que el front end falso parezca auténtico, y CAA dificulta ese paso. Blockaid siguió cinco compromisos de front ends entre el 16 y el 23 de febrero de 2026 y señaló una huella: certificados SSL emitidos el mismo día del cambio de DNS. En el caso de Nerochain se emitieron certificados comodín para el dominio del proyecto.

Según la lectura que hace Wardmint del informe de Blockaid el 12 de noviembre de 2026, cinco compromisos en siete días produjeron al menos un hábito repetido del atacante con el que un registro CAA puede interferir. Si sus registros permiten solo a su propia autoridad, un atacante que cambie el DNS debe cambiar también los registros CAA antes de que otra autoridad firme, y ese cambio adicional es una señal que usted puede vigilar.

CAA no es una defensa por sí sola. Un atacante que controla su DNS también puede editar los registros CAA, y la RFC 8659 establece que CAA no afecta a los certificados ya emitidos. Trátelo como una capa junto a los controles de cómo proteger su dominio contra el secuestro de DNS, y combínelo con alertas de la vigilancia de Certificate Transparency.

¿Cuál es la sintaxis exacta de issue, issuewild e iodef?

Cada registro tiene la forma nombre, clase, CAA, indicadores, etiqueta, valor, y el valor sigue a la etiqueta exactamente como especifica la RFC 8659. La etiqueta issue nombra el dominio emisor autorizado a emitir. La etiqueta issuewild se aplica solo a nombres con comodín y, cuando está presente, prevalece sobre issue en las solicitudes de comodín. La etiqueta iodef da una URL de notificación mediante mailto, http o https.

Para prohibir toda emisión para un nombre, publique un registro issue con un emisor vacío, escrito como un punto y coma entre comillas. Para un dominio normal, publique un registro issue por cada autoridad que utilice, y un registro issuewild si quiere controlar los comodines por separado. Tome el identificador exacto del emisor de la documentación de su autoridad, ya que es un nombre de dominio que elige la autoridad.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

¿Cómo se configuran los registros CAA en un dominio defensivo?

En un dominio defensivo que solo redirige, permita la única autoridad que atiende la redirección, o prohíba la emisión si nada responde por HTTPS. Un dominio aparcado sin servicio web no necesita certificado, así que 0 issue ";" elimina la opción para cualquier otro. Un dominio defensivo que reenvía a los visitantes a su sitio principal por HTTPS necesita un certificado para ello, por lo que debe permitir a la autoridad que lo proporciona.

Parta del plan de cómo redirigir los dominios defensivos a su sitio principal y añada después los registros CAA correspondientes. En Wardmint, alojamiento DNS gratuito con registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV y CAA, DNSSEC gestionado y sus propios servidores de nombres si lo prefiere (de 2 a 13), así que los registros se añaden en la misma área de cliente que el reenvío. Un proyecto que tenga el conjunto básico de .com, .net, .org, .io, .xyz, .app, $128.94 al año, aplica el mismo conjunto CAA a los seis nombres.

¿Qué errores impiden la emisión de certificados?

El error habitual es nombrar una autoridad que olvidó que utiliza. Las plataformas de alojamiento, los servicios de entrega de contenido y los proveedores de correo a veces solicitan sus propios certificados para sus subdominios. Si su conjunto CAA los omite, la renovación falla, a menudo en silencio, hasta que caduca un certificado. Enumere todos los servicios que atienden un nombre de su dominio antes de publicar.

Un segundo error es un identificador de emisor mal escrito, que bloquea a todos, incluida la autoridad que quería permitir. Pruebe con una renovación real. Un tercero es olvidar que un registro CAA situado más arriba se aplica a un subdominio que no tiene uno propio, de modo que un ápice restrictivo puede bloquear la renovación de un subdominio.

Cambiar el registro nunca revoca un certificado que ya existe. Si se ha emitido un certificado inesperado, trátelo como un incidente y siga los pasos de cómo proteger su dominio contra el secuestro de DNS. respuestas por correo en menos de 12 horas, los 7 días de la semana, incluida ayuda con DNSSEC, registros CAA e informes de abuso, incluida la ayuda con los registros CAA.