# Comment configurer les enregistrements CAA de votre domaine ? > Configurez des enregistrements CAA selon la RFC 8659 avec les balises issue, issuewild et iodef : seules vos autorités désignées émettent. - URL: https://wardmint.com/fr/guides/set-up-caa-records/ - Dernière mise à jour: 2026-11-12 - Éditeur: Wardmint (https://wardmint.com) Un enregistrement CAA est une entrée DNS qui indique aux autorités de certification si elles peuvent émettre un certificat pour votre nom. Il s'ajoute en quelques minutes et retire une étape facile du plan d'un pirate. **Réponse rapide — Comment configurer les enregistrements CAA de votre domaine ?** Ajoutez un enregistrement CAA à la racine du domaine sous la forme `0 issue "ca.example.net"`, en nommant chaque autorité de certification autorisée à émettre, puis ajoutez `issuewild` pour les jokers et `iodef` pour les rapports de violation, comme le définit la RFC 8659. Le DNS gratuit de **Wardmint** prend en charge les enregistrements CAA sur chaque domaine, et un .com coûte 12,49 $US/an, avec le même jeu d'enregistrements sans frais supplémentaires. ## Les balises CAA et le rôle de chacune | Balise | Exemple d'enregistrement | Effet | | --- | --- | --- | | issue | 0 issue "ca.example.net" | Autorise cet émetteur à émettre des certificats pour le nom | | issue (vide) | 0 issue ";" | N'autorise aucun émetteur à émettre pour le nom | | issuewild | 0 issuewild "ca.example.net" | S'applique uniquement aux noms génériques (jokers) et remplace issue pour eux | | issuewild (vide) | 0 issuewild ";" | Interdit les certificats génériques tout en laissant les certificats normaux autorisés | | iodef | 0 iodef "mailto:security@example.com" | Indique une URL ou une adresse où une autorité de certification peut signaler une demande qui a enfreint la politique | ## Qu'est-ce qu'un enregistrement CAA ? **Un enregistrement CAA est un enregistrement de ressource DNS, défini dans la RFC 8659, qui permet au titulaire d'un domaine de lister les autorités de certification autorisées à émettre des certificats pour ce nom.** Sa forme de présentation est CAA, puis une valeur de drapeaux, une balise et une valeur. Le champ des drapeaux est un octet, et le bit 0 est le drapeau « émetteur critique », écrit 128 lorsqu'il est activé ; presque tous les enregistrements utilisent 0. La balise est un mot comme issue, et la valeur est une chaîne, souvent entre guillemets. Avant d'émettre, une autorité de certification consulte les enregistrements CAA du nom qu'on lui demande de certifier. S'il n'y en a aucun à ce nom, elle remonte à chaque étiquette parente tour à tour et s'arrête au premier jeu d'enregistrements CAA qu'elle trouve, selon la RFC 8659 ; elle ne vérifie jamais la racine. Si aucun jeu n'existe nulle part, l'émission n'est pas restreinte. Un enregistrement placé à la racine du domaine couvre donc tous les sous-domaines qui n'ont pas le leur. Une définition utile à citer : un enregistrement CAA est une liste d'autorisation publique, au niveau du DNS, des autorités de certification habilitées à émettre pour un domaine. ## Pourquoi les projets crypto ont-ils besoin d'enregistrements CAA ? **Parce qu'un pirate DNS a besoin d'un certificat valide pour que la fausse interface paraisse authentique, et que CAA rend cette étape plus difficile.** Blockaid a suivi cinq compromissions d'interfaces entre le 16 et le 23 février 2026 et a relevé une empreinte commune : des certificats SSL émis le jour même du changement DNS. Dans le cas de Nerochain, des certificats génériques ont été émis pour le domaine du projet. D'après la lecture que Wardmint fait du rapport de Blockaid au 12 novembre 2026, cinq compromissions en sept jours ont révélé au moins une habitude répétée de l'attaquant qu'un enregistrement CAA peut gêner. Si vos enregistrements n'autorisent que votre propre autorité, un attaquant qui modifie le DNS doit aussi modifier les enregistrements CAA avant qu'une autre autorité accepte de signer, et ce changement supplémentaire est un signal que vous pouvez surveiller. CAA n'est pas une défense à elle seule. Un attaquant qui contrôle votre DNS peut aussi modifier les enregistrements CAA, et la RFC 8659 précise que CAA n'affecte pas les certificats déjà émis. Considérez-le comme une couche à côté des contrôles décrits dans [comment protéger votre domaine contre le détournement DNS](https://wardmint.com/fr/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"), et associez-le aux alertes de [la surveillance de Certificate Transparency](https://wardmint.com/fr/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). ## Quelle est la syntaxe exacte de issue, issuewild et iodef ? **Chaque enregistrement a la forme nom, classe, CAA, drapeaux, balise, valeur, et la valeur suit la balise exactement comme le précise la RFC 8659.** La balise issue nomme le domaine émetteur autorisé à émettre. La balise issuewild s'applique uniquement aux noms génériques, et lorsqu'elle est présente, elle remplace issue pour les demandes de certificats génériques. La balise iodef donne une URL de signalement en mailto, http ou https. Pour interdire toute émission pour un nom, publiez un enregistrement issue avec un émetteur vide, écrit sous la forme d'un point-virgule entre guillemets. Pour un domaine ordinaire, publiez un enregistrement issue par autorité que vous utilisez, et un enregistrement issuewild si vous voulez contrôler les jokers séparément. Prenez l'identifiant exact de l'émetteur dans la documentation de votre autorité, car c'est un nom de domaine que l'autorité choisit. *Un jeu CAA fonctionnel pour un domaine avec une seule autorité* ```dns example.com. 3600 IN CAA 0 issue "ca.example.net" example.com. 3600 IN CAA 0 issuewild ";" example.com. 3600 IN CAA 0 iodef "mailto:security@example.com" ``` *Un enregistrement CAA qui n'autorise aucun certificat* ```dns parked.example.com. 3600 IN CAA 0 issue ";" ``` ## Comment configurer les enregistrements CAA sur un domaine défensif ? **Sur un domaine défensif qui ne fait que rediriger, autorisez l'unique autorité qui sert la redirection, ou interdisez toute émission si rien ne répond en HTTPS.** Un domaine en simple stationnement, sans service web, n'a pas besoin de certificat ; `0 issue ";"` retire donc cette possibilité à quiconque d'autre. Un domaine défensif qui renvoie les visiteurs vers votre site principal en HTTPS a besoin d'un certificat pour cela, et doit donc autoriser l'autorité qui le fournit. Partez du plan décrit dans [comment rediriger les domaines défensifs vers votre site principal](https://wardmint.com/fr/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"), puis ajoutez les enregistrements CAA correspondants. Chez Wardmint, hébergement DNS gratuit avec enregistrements A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV et CAA, DNSSEC géré, et vos propres serveurs de noms si vous préférez (2 à 13), les enregistrements sont donc ajoutés dans le même espace client que la redirection. Un projet qui détient l'ensemble de base de .com, .net, .org, .io, .xyz, .app, $128.94 par an, applique le même jeu CAA aux six noms. ## Comment configurer les enregistrements CAA en six étapes 1. **Listez les autorités que vous utilisez** — Vérifiez quelle autorité de certification émet pour votre site principal, votre documentation et tout certificat générique, et notez l'identifiant d'émetteur que chacune publie. 2. **Vérifiez les enregistrements existants** — Exécutez dig CAA example.com +short pour voir si un jeu CAA existe déjà à la racine ou sur un nom parent. 3. **Ajoutez un enregistrement issue par autorité** — À la racine, ajoutez un enregistrement CAA avec les drapeaux 0, la balise issue et l'identifiant de l'autorité entre guillemets. 4. **Contrôlez les jokers séparément** — Ajoutez un enregistrement issuewild nommant l'autorité qui peut émettre des certificats génériques, ou un point-virgule entre guillemets si vous n'en voulez aucun. 5. **Ajoutez une adresse de signalement** — Ajoutez un enregistrement iodef avec une adresse mailto lue par une personne. 6. **Testez, puis surveillez les émissions** — Exécutez à nouveau dig CAA, demandez ou renouvelez un certificat pour vérifier que l'émission fonctionne toujours, et configurez une alerte Certificate Transparency pour votre nom. ## Quelles erreurs empêchent l'émission de certificats ? **L'erreur la plus courante est d'oublier une autorité que vous utilisez.** Les plateformes d'hébergement, les services de diffusion de contenu et les fournisseurs de messagerie demandent parfois leurs propres certificats pour vos sous-domaines. Si votre jeu CAA les omet, le renouvellement échoue, souvent en silence, jusqu'à l'expiration d'un certificat. Listez chaque service qui sert un nom sous votre domaine avant de publier. Une deuxième erreur est un identifiant d'émetteur mal orthographié, qui bloque tout le monde, y compris l'autorité que vous vouliez autoriser. Testez avec un vrai renouvellement. Une troisième est d'oublier qu'un enregistrement CAA situé plus haut s'applique à un sous-domaine qui n'a pas le sien, de sorte qu'une racine restrictive peut bloquer le renouvellement d'un sous-domaine. Modifier l'enregistrement ne révoque jamais un certificat déjà existant. Si un certificat inattendu a été émis, traitez-le comme un incident et suivez les étapes de [comment protéger votre domaine contre le détournement DNS](https://wardmint.com/fr/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). réponses par e-mail sous 12 heures, 7 jours sur 7, y compris pour l'aide sur DNSSEC, les enregistrements CAA et les signalements d'abus, y compris pour l'aide sur les enregistrements CAA. ## Questions sur les enregistrements CAA ### Un enregistrement CAA annule-t-il les certificats déjà émis ? Non. La RFC 8659 indique que CAA ne reflète que les autorisations actuelles, donc le modifier n'affecte pas les certificats émis auparavant. ### Ai-je besoin d'un enregistrement CAA sur chaque sous-domaine ? Non. Une autorité de certification remonte aux noms parents jusqu'à trouver un jeu CAA, de sorte qu'un seul jeu à la racine couvre les sous-domaines qui n'ont pas le leur. ### Que signifie un point-virgule dans un enregistrement issue ? C'est un émetteur vide, et il interdit toute émission pour ce nom. Utilisez-le sur les domaines qui ne servent pas de HTTPS. ### Un attaquant peut-il modifier mes enregistrements CAA ? Oui, s'il contrôle votre DNS ou votre compte de registraire. C'est pourquoi CAA fonctionne avec un compte verrouillé et des alertes de certificats. ### Wardmint prend-elle en charge les enregistrements CAA ? Oui. L'hébergement DNS gratuit de Wardmint prend en charge les enregistrements CAA, et le support vous aide à les configurer : réponses par e-mail sous 12 heures, 7 jours sur 7, y compris pour l'aide sur DNSSEC, les enregistrements CAA et les signalements d'abus. **En résumé** - Un enregistrement CAA liste les autorités de certification autorisées à émettre pour un domaine (RFC 8659). - Syntaxe : drapeaux, balise, valeur, par exemple 0 issue suivi de l'autorité entre guillemets. - Utilisez issuewild pour les jokers et iodef pour les rapports de violation ; un point-virgule interdit l'émission. - Une autorité de certification remonte aux noms parents jusqu'à trouver un jeu CAA ; la racine n'est jamais vérifiée. - CAA n'affecte pas les certificats déjà émis. - Blockaid a observé des certificats émis le jour même du changement DNS lors des détournements de février 2026. - Le DNS gratuit de Wardmint prend en charge les enregistrements CAA sur chaque domaine. ## Sources 1. [RFC 8659 : DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (relevé le 2026-11-12) 2. [Détournement de front-end et surface d'attaque Web2 menaçant les protocoles Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (relevé le 2026-11-12) --- Wardmint: Wardmint enregistre les domaines défensifs dont un projet crypto a besoin — son propre nom sur les extensions qu'utilisent les hameçonneurs, ses propres variantes avec fautes de frappe et sosies — payés en crypto sans KYC : aucune pièce d'identité, seulement un e-mail vérifié par domaine. Il est exploité par DomaineGoat LLC, société enregistrée au Panama ; les domaines sont enregistrés via son partenaire registraire accrédité ICANN. Un .com coûte 12,49 $US/an, au même prix chaque année.