Bagaimana cara mengatur rekor CAA untuk domain Anda?

Apa itu rekor CAA?

Rekor CAA adalah rekor sumber daya DNS, yang didefinisikan dalam RFC 8659, yang memungkinkan pemilik domain mencantumkan otoritas sertifikat mana yang boleh menerbitkan sertifikat untuk nama tersebut. Bentuk penulisannya adalah CAA, lalu nilai flags, sebuah tag, dan sebuah nilai. Kolom flags adalah satu oktet, dan bit 0 adalah flag issuer critical, ditulis sebagai 128 jika aktif; hampir setiap rekor memakai 0. Tag adalah kata seperti issue, dan nilainya berupa string, sering diapit tanda kutip.

Sebelum menerbitkan, otoritas sertifikat mencari rekor CAA dari nama yang diminta untuk disertifikasi. Jika tidak menemukan apa pun di nama itu, ia naik ke setiap label induk secara berurutan dan berhenti pada kumpulan rekor CAA pertama yang ditemukannya, menurut RFC 8659; ia tidak pernah memeriksa root. Jika tidak ada kumpulan sama sekali, penerbitan tidak dibatasi. Rekor di apex karenanya mencakup setiap subdomain yang tidak memiliki rekor sendiri.

Definisi yang berguna untuk dikutip: rekor CAA adalah daftar izin publik di tingkat DNS untuk otoritas sertifikat yang diizinkan menerbitkan untuk sebuah domain.

Mengapa proyek kripto memerlukan rekor CAA?

Karena pembajak DNS memerlukan sertifikat yang valid agar front end palsu tampak asli, dan CAA mempersulit langkah itu. Blockaid melacak lima kompromi front end antara 16 dan 23 Februari 2026 dan mencatat satu ciri khas: sertifikat SSL yang diterbitkan pada hari yang sama dengan perubahan DNS. Dalam kasus Nerochain, sertifikat wildcard diterbitkan untuk domain proyek.

Menurut pembacaan Wardmint atas laporan Blockaid tanggal 12 November 2026, lima kompromi dalam tujuh hari menghasilkan setidaknya satu kebiasaan penyerang yang berulang, yang dapat diganggu oleh rekor CAA. Jika rekor Anda hanya mengizinkan otoritas Anda sendiri, penyerang yang mengubah DNS juga harus mengubah rekor CAA sebelum otoritas lain mau menandatangani, dan perubahan tambahan itu adalah sinyal yang bisa Anda pantau.

CAA bukan pertahanan tersendiri. Penyerang yang mengendalikan DNS Anda juga dapat mengedit rekor CAA, dan RFC 8659 menyatakan bahwa CAA tidak memengaruhi sertifikat yang sudah diterbitkan. Perlakukan CAA sebagai lapisan di samping kontrol dalam cara mengamankan domain Anda dari DNS hijacking, dan pasangkan dengan peringatan dari pemantauan certificate transparency.

Apa sintaks persis untuk issue, issuewild, dan iodef?

Setiap rekor memiliki bentuk nama, kelas, CAA, flags, tag, dan nilai, dan nilai mengikuti tag persis seperti yang ditetapkan RFC 8659. Tag issue menyebutkan domain penerbit yang diizinkan menerbitkan. Tag issuewild hanya berlaku untuk nama wildcard, dan jika ada, ia menggantikan issue untuk permintaan wildcard. Tag iodef memberikan URL pelaporan dengan mailto, http, atau https.

Untuk melarang semua penerbitan untuk sebuah nama, terbitkan rekor issue dengan penerbit kosong, ditulis sebagai titik koma dalam tanda kutip. Untuk domain normal, terbitkan satu rekor issue per otoritas yang Anda gunakan, dan satu rekor issuewild jika Anda ingin wildcard dikontrol terpisah. Ambil identifier penerbit yang tepat dari dokumentasi otoritas Anda, karena itu adalah nama domain yang dipilih otoritas tersebut.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Bagaimana cara mengatur rekor CAA pada domain defensif?

Pada domain defensif yang hanya mengalihkan, izinkan satu otoritas yang melayani pengalihan, atau larang penerbitan jika tidak ada yang menjawab melalui HTTPS. Domain yang diparkir tanpa layanan web tidak memerlukan sertifikat, sehingga 0 issue ";" menghapus opsi itu bagi siapa pun. Domain defensif yang meneruskan pengunjung ke situs utama Anda melalui HTTPS memerlukan sertifikat untuk itu, sehingga harus mengizinkan otoritas yang menyediakannya.

Mulailah dari rencana di cara mengalihkan domain defensif ke situs utama Anda, lalu tambahkan rekor CAA yang sesuai. Di Wardmint, DNS gratis dengan rekaman A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV dan CAA, DNSSEC terkelola, dan nameserver Anda sendiri jika Anda mau (2 sampai 13), sehingga rekor ditambahkan di area klien yang sama dengan penerusan. Proyek yang memegang kumpulan inti .com, .net, .org, .io, .xyz, .app, $128.94 per tahun, menerapkan kumpulan CAA yang sama ke keenam nama.

Kesalahan apa yang merusak penerbitan sertifikat?

Kesalahan yang paling umum adalah menyebutkan otoritas yang Anda lupa gunakan. Platform hosting, layanan pengiriman konten, dan penyedia email kadang meminta sertifikat mereka sendiri untuk subdomain Anda. Jika kumpulan CAA Anda menghilangkannya, perpanjangan gagal, sering kali tanpa pemberitahuan, hingga sertifikat kedaluwarsa. Daftarkan setiap layanan yang melayani nama di bawah domain Anda sebelum Anda menerbitkan.

Kesalahan kedua adalah identifier penerbit yang salah eja, yang memblokir semua orang, termasuk otoritas yang Anda maksudkan untuk diizinkan. Uji dengan perpanjangan sungguhan. Kesalahan ketiga adalah lupa bahwa rekor CAA di tingkat atas berlaku untuk subdomain yang tidak memiliki rekor sendiri, sehingga apex yang ketat dapat memblokir perpanjangan subdomain.

Mengubah rekor tidak pernah mencabut sertifikat yang sudah ada. Jika sertifikat tak terduga telah diterbitkan, perlakukan sebagai insiden dan ikuti langkah dalam cara mengamankan domain Anda dari DNS hijacking. balasan email dalam 12 jam, 7 hari seminggu, termasuk bantuan soal DNSSEC, rekaman CAA dan laporan penyalahgunaan, termasuk bantuan dengan rekor CAA.