Come si configurano i record CAA per il proprio dominio?

Che cos'è un record CAA?

Un record CAA è un resource record DNS, definito nella RFC 8659, che permette al titolare di un dominio di elencare quali autorità di certificazione possono emettere certificati per il nome. La sua forma di presentazione è CAA, poi un valore di flags, un tag e un valore. Il campo flags è un ottetto e il bit 0 è il flag issuer critical, scritto come 128 quando è impostato; quasi tutti i record usano 0. Il tag è una parola come issue e il valore è una stringa, spesso tra virgolette.

Prima di emettere, un'autorità di certificazione consulta i record CAA del nome che le è stato chiesto di certificare. Se non ne trova a quel nome, risale a ciascuna etichetta padre a turno e si ferma al primo set di record CAA che trova, secondo la RFC 8659; non controlla mai la radice. Se non esiste alcun set da nessuna parte, l'emissione non è limitata. Un record sull'apex copre quindi ogni sottodominio che non ha un record proprio.

Una definizione utile da citare: un record CAA è un elenco di autorizzazione pubblico, a livello DNS, delle autorità di certificazione autorizzate a emettere per un dominio.

Perché i progetti crypto hanno bisogno dei record CAA?

Perché un hijacker DNS ha bisogno di un certificato valido per far sembrare autentico il falso front end, e CAA rende più difficile questo passaggio. Blockaid ha tracciato cinque compromissioni di front end tra il 16 e il 23 febbraio 2026 e ha notato un'impronta ricorrente: certificati SSL emessi lo stesso giorno della modifica DNS. Nel caso Nerochain sono stati emessi certificati wildcard per il dominio del progetto.

Secondo la lettura di Wardmint del rapporto di Blockaid del 12 novembre 2026, cinque compromissioni in sette giorni hanno prodotto almeno un'abitudine ripetuta degli attaccanti su cui un record CAA può interferire. Se i vostri record consentono solo la vostra autorità, un attaccante che modifica il DNS deve modificare anche i record CAA prima che un'altra autorità firmi, e quella modifica in più è un segnale che potete monitorare.

CAA non è una difesa sufficiente da sola. Un attaccante che controlla il vostro DNS può modificare anche i record CAA, e la RFC 8659 afferma che CAA non influisce sui certificati già emessi. Consideratelo uno strato accanto ai controlli descritti in come proteggere il dominio dal DNS hijacking, e abbinatelo agli avvisi del monitoraggio della certificate transparency.

Qual è la sintassi esatta di issue, issuewild e iodef?

Ogni record ha la forma nome, classe, CAA, flags, tag, valore, e il valore segue il tag esattamente come specifica la RFC 8659. Il tag issue indica il dominio dell'emittente autorizzato a emettere. Il tag issuewild si applica solo ai nomi wildcard e, se presente, prevale su issue per le richieste wildcard. Il tag iodef fornisce un URL di segnalazione che usa mailto, http o https.

Per vietare ogni emissione per un nome, pubblicate un record issue con emittente vuoto, scritto come un punto e virgola tra virgolette. Per un dominio normale, pubblicate un record issue per ogni autorità che usate, e un record issuewild se volete controllare i wildcard separatamente. Prendete l'identificativo esatto dell'emittente dalla documentazione della vostra autorità, perché è un nome di dominio scelto dall'autorità stessa.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Come si configurano i record CAA su un dominio difensivo?

Su un dominio difensivo che fa solo da reindirizzamento, consentite l'unica autorità che serve il reindirizzamento, oppure vietate l'emissione se nulla risponde via HTTPS. Un dominio parcheggiato senza servizio web non ha bisogno di un certificato, quindi 0 issue ";" toglie questa possibilità a chiunque altro. Un dominio difensivo che inoltra i visitatori al sito principale via HTTPS ha bisogno di un certificato per farlo, quindi deve consentire l'autorità che lo fornisce.

Partite dal piano descritto in come reindirizzare i domini difensivi al sito principale, poi aggiungete i record CAA corrispondenti. Su Wardmint, hosting DNS gratuito con record A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gestito e, se preferite, nameserver personalizzati (da 2 a 13), quindi i record si aggiungono nella stessa area clienti dell'inoltro. Un progetto che possiede il set base di .com, .net, .org, .io, .xyz, .app, $128.94 l'anno, applica lo stesso set CAA a tutti e sei i nomi.

Quali errori bloccano l'emissione dei certificati?

L'errore più comune è indicare un'autorità e dimenticarne un'altra che usate. Piattaforme di hosting, servizi di content delivery e provider di posta a volte richiedono propri certificati per i vostri sottodomini. Se il vostro set CAA li omette, il rinnovo fallisce, spesso in silenzio, finché un certificato scade. Elencate ogni servizio che serve un nome sotto il vostro dominio prima di pubblicare.

Un secondo errore è un identificativo dell'emittente scritto in modo sbagliato, che blocca tutti, compresa l'autorità che intendevate consentire. Testate con un rinnovo reale. Un terzo è dimenticare che un record CAA a un livello superiore si applica a un sottodominio che non ne ha di propri, per cui un apex restrittivo può bloccare il rinnovo di un sottodominio.

Modificare il record non revoca mai un certificato già esistente. Se è stato emesso un certificato inatteso, trattatelo come un incidente e seguite i passaggi in come proteggere il dominio dal DNS hijacking. risposte via e-mail entro 12 ore, 7 giorni su 7, compreso l'aiuto con DNSSEC, record CAA e segnalazioni di abuso, compreso l'aiuto con i record CAA.