# ¿Cómo se configuran los registros CAA de su dominio? > Configure registros CAA según RFC 8659 con las etiquetas issue, issuewild e iodef: solo las autoridades que usted nombre podrán emitir. - URL: https://wardmint.com/es/guides/set-up-caa-records/ - Última actualización: 2026-11-12 - Editor: Wardmint (https://wardmint.com) Un registro CAA es una entrada DNS que indica a las autoridades de certificación si pueden emitir un certificado para su nombre. Se añade en minutos y elimina un paso fácil del plan de un secuestrador. **Respuesta rápida — ¿Cómo se configuran los registros CAA de su dominio?** Añada un registro CAA en el ápice del dominio con la forma `0 issue "ca.example.net"`, nombrando cada autoridad de certificación autorizada a emitir, y añada después `issuewild` para los comodines y `iodef` para los informes de infracciones, como define la RFC 8659. El DNS gratuito de **Wardmint** admite registros CAA en todos los dominios, y un .com cuesta 12,49 US$/año, con el mismo conjunto de registros sin coste adicional. ## Etiquetas CAA y qué hace cada una | Etiqueta | Registro de ejemplo | Efecto | | --- | --- | --- | | issue | 0 issue "ca.example.net" | Permite a ese emisor emitir certificados para el nombre | | issue (vacío) | 0 issue ";" | No permite emitir para el nombre a ningún emisor | | issuewild | 0 issuewild "ca.example.net" | Se aplica solo a nombres con comodín y prevalece sobre issue para ellos | | issuewild (vacío) | 0 issuewild ";" | Prohíbe los certificados con comodín mientras se siguen permitiendo los normales | | iodef | 0 iodef "mailto:security@example.com" | Indica una URL o dirección donde una CA puede informar de una solicitud que incumplió la política | ## ¿Qué es un registro CAA? **Un registro CAA es un registro de recursos DNS, definido en la RFC 8659, que permite al titular de un dominio indicar qué autoridades de certificación pueden emitir certificados para ese nombre.** Su forma de presentación es CAA, seguido de un valor de indicadores, una etiqueta y un valor. El campo de indicadores es un octeto, y el bit 0 es el indicador de emisor crítico, que se escribe como 128 cuando está activado; casi todos los registros usan 0. La etiqueta es una palabra como issue, y el valor es una cadena, a menudo entre comillas. Antes de emitir, una autoridad de certificación consulta los registros CAA del nombre cuya certificación se le ha pedido. Si no encuentra ninguno en ese nombre, asciende por cada etiqueta padre sucesivamente y se detiene en el primer conjunto de registros CAA que encuentra, según la RFC 8659; nunca comprueba la raíz. Si no existe ningún conjunto en ningún punto, la emisión no está restringida. Por tanto, un registro en el ápice cubre todos los subdominios que no tienen uno propio. Una definición útil para citar: un registro CAA es una lista de permitidos pública, a nivel de DNS, de las autoridades de certificación autorizadas a emitir para un dominio. ## ¿Por qué necesitan los proyectos cripto registros CAA? **Porque un secuestrador de DNS necesita un certificado válido para que el front end falso parezca auténtico, y CAA dificulta ese paso.** Blockaid siguió cinco compromisos de front ends entre el 16 y el 23 de febrero de 2026 y señaló una huella: certificados SSL emitidos el mismo día del cambio de DNS. En el caso de Nerochain se emitieron certificados comodín para el dominio del proyecto. Según la lectura que hace Wardmint del informe de Blockaid el 12 de noviembre de 2026, cinco compromisos en siete días produjeron al menos un hábito repetido del atacante con el que un registro CAA puede interferir. Si sus registros permiten solo a su propia autoridad, un atacante que cambie el DNS debe cambiar también los registros CAA antes de que otra autoridad firme, y ese cambio adicional es una señal que usted puede vigilar. CAA no es una defensa por sí sola. Un atacante que controla su DNS también puede editar los registros CAA, y la RFC 8659 establece que CAA no afecta a los certificados ya emitidos. Trátelo como una capa junto a los controles de [cómo proteger su dominio contra el secuestro de DNS](https://wardmint.com/es/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"), y combínelo con alertas de [la vigilancia de Certificate Transparency](https://wardmint.com/es/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). ## ¿Cuál es la sintaxis exacta de issue, issuewild e iodef? **Cada registro tiene la forma nombre, clase, CAA, indicadores, etiqueta, valor, y el valor sigue a la etiqueta exactamente como especifica la RFC 8659.** La etiqueta issue nombra el dominio emisor autorizado a emitir. La etiqueta issuewild se aplica solo a nombres con comodín y, cuando está presente, prevalece sobre issue en las solicitudes de comodín. La etiqueta iodef da una URL de notificación mediante mailto, http o https. Para prohibir toda emisión para un nombre, publique un registro issue con un emisor vacío, escrito como un punto y coma entre comillas. Para un dominio normal, publique un registro issue por cada autoridad que utilice, y un registro issuewild si quiere controlar los comodines por separado. Tome el identificador exacto del emisor de la documentación de su autoridad, ya que es un nombre de dominio que elige la autoridad. *Un conjunto CAA que funciona para un dominio con una sola autoridad* ```dns example.com. 3600 IN CAA 0 issue "ca.example.net" example.com. 3600 IN CAA 0 issuewild ";" example.com. 3600 IN CAA 0 iodef "mailto:security@example.com" ``` *Un registro CAA que no permite ningún certificado* ```dns parked.example.com. 3600 IN CAA 0 issue ";" ``` ## ¿Cómo se configuran los registros CAA en un dominio defensivo? **En un dominio defensivo que solo redirige, permita la única autoridad que atiende la redirección, o prohíba la emisión si nada responde por HTTPS.** Un dominio aparcado sin servicio web no necesita certificado, así que `0 issue ";"` elimina la opción para cualquier otro. Un dominio defensivo que reenvía a los visitantes a su sitio principal por HTTPS necesita un certificado para ello, por lo que debe permitir a la autoridad que lo proporciona. Parta del plan de [cómo redirigir los dominios defensivos a su sitio principal](https://wardmint.com/es/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site") y añada después los registros CAA correspondientes. En Wardmint, alojamiento DNS gratuito con registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV y CAA, DNSSEC gestionado y sus propios servidores de nombres si lo prefiere (de 2 a 13), así que los registros se añaden en la misma área de cliente que el reenvío. Un proyecto que tenga el conjunto básico de .com, .net, .org, .io, .xyz, .app, $128.94 al año, aplica el mismo conjunto CAA a los seis nombres. ## Cómo configurar registros CAA en seis pasos 1. **Enumere las autoridades que utiliza** — Compruebe qué autoridad de certificación emite para su sitio principal, su documentación y cualquier comodín, y anote el identificador de emisor que publica cada una. 2. **Compruebe los registros existentes** — Ejecute dig CAA example.com +short para ver si ya existe un conjunto CAA en el ápice o en un nombre padre. 3. **Añada un registro issue por autoridad** — En el ápice, añada un registro CAA con indicadores 0, etiqueta issue y el identificador de la autoridad entre comillas. 4. **Controle los comodines por separado** — Añada un registro issuewild que nombre a la autoridad que puede emitir comodines, o un punto y coma entre comillas si no quiere ninguno. 5. **Añada una dirección de notificación** — Añada un registro iodef con una dirección mailto que lea una persona. 6. **Pruebe y vigile después la emisión** — Ejecute dig CAA de nuevo, solicite o renueve un certificado para confirmar que la emisión sigue funcionando y configure una alerta de Certificate Transparency para su nombre. ## ¿Qué errores impiden la emisión de certificados? **El error habitual es nombrar una autoridad que olvidó que utiliza.** Las plataformas de alojamiento, los servicios de entrega de contenido y los proveedores de correo a veces solicitan sus propios certificados para sus subdominios. Si su conjunto CAA los omite, la renovación falla, a menudo en silencio, hasta que caduca un certificado. Enumere todos los servicios que atienden un nombre de su dominio antes de publicar. Un segundo error es un identificador de emisor mal escrito, que bloquea a todos, incluida la autoridad que quería permitir. Pruebe con una renovación real. Un tercero es olvidar que un registro CAA situado más arriba se aplica a un subdominio que no tiene uno propio, de modo que un ápice restrictivo puede bloquear la renovación de un subdominio. Cambiar el registro nunca revoca un certificado que ya existe. Si se ha emitido un certificado inesperado, trátelo como un incidente y siga los pasos de [cómo proteger su dominio contra el secuestro de DNS](https://wardmint.com/es/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). respuestas por correo en menos de 12 horas, los 7 días de la semana, incluida ayuda con DNSSEC, registros CAA e informes de abuso, incluida la ayuda con los registros CAA. ## Preguntas sobre los registros CAA ### ¿Un registro CAA cancela los certificados ya emitidos? No. La RFC 8659 dice que CAA refleja solo las autorizaciones actuales, así que cambiarlo no afecta a los certificados emitidos antes. ### ¿Necesito un registro CAA en cada subdominio? No. Una autoridad de certificación asciende por los nombres padre hasta encontrar un conjunto CAA, así que un conjunto en el ápice cubre los subdominios que no tienen uno propio. ### ¿Qué significa un punto y coma en un registro issue? Es un emisor vacío, y prohíbe toda emisión para ese nombre. Úselo en dominios que no sirven HTTPS. ### ¿Puede un atacante cambiar mis registros CAA? Sí, si controla su DNS o su cuenta de registrador. Por eso CAA funciona junto con una cuenta bloqueada y alertas de certificados. ### ¿Admite Wardmint los registros CAA? Sí. El alojamiento DNS gratuito de Wardmint admite registros CAA, y soporte ayuda con ellos: respuestas por correo en menos de 12 horas, los 7 días de la semana, incluida ayuda con DNSSEC, registros CAA e informes de abuso. **En resumen** - Un registro CAA enumera las autoridades de certificación autorizadas a emitir para un dominio (RFC 8659). - Sintaxis: indicadores, etiqueta, valor, por ejemplo 0 issue seguido de la autoridad entre comillas. - Use issuewild para los comodines e iodef para los informes de infracciones; un punto y coma prohíbe la emisión. - Una CA asciende por los nombres padre hasta encontrar un conjunto CAA; la raíz nunca se comprueba. - CAA no afecta a los certificados ya emitidos. - Blockaid observó certificados emitidos el mismo día del cambio de DNS en los secuestros de febrero de 2026. - El DNS gratuito de Wardmint admite registros CAA en todos los dominios. ## Fuentes 1. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (consultado 2026-11-12) 2. [Secuestro de front ends y la superficie de ataque Web2 que amenaza a los protocolos Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (consultado 2026-11-12) --- Wardmint: Wardmint registra los dominios defensivos que necesita un proyecto cripto — su propio nombre en las extensiones que usan los estafadores de phishing, sus propias variantes con errores tipográficos y parecidas — con pago en cripto y sin KYC: sin documento de identidad, solo un correo electrónico verificado por dominio. Lo opera DomaineGoat LLC, una empresa registrada en Panamá; los dominios se registran a través de su socio registrador acreditado por ICANN. Un .com cuesta 12,49 US$/año, el mismo precio todos los años.