Jak skonfigurować rekordy CAA dla swojej domeny?

Czym jest rekord CAA?

Rekord CAA to rekord zasobów DNS, zdefiniowany w RFC 8659, który pozwala właścicielowi domeny wskazać, jakie urzędy certyfikacji mogą wystawiać certyfikaty dla tej nazwy. Jego forma tekstowa to CAA, następnie wartość flag, tag i wartość. Pole flag ma jeden oktet, a bit 0 to flaga krytyczności wystawcy, zapisywana jako 128, gdy jest ustawiona; prawie każdy rekord używa 0. Tag to słowo, takie jak issue, a wartość to ciąg znaków, często ujęty w cudzysłów.

Przed wystawieniem certyfikatu urząd certyfikacji sprawdza rekordy CAA nazwy, którą ma poświadczyć. Jeśli nie znajdzie żadnych pod tą nazwą, wspina się kolejno po każdej nadrzędnej etykiecie i zatrzymuje się na pierwszym znalezionym zestawie rekordów CAA, zgodnie z RFC 8659; nigdy nie sprawdza korzenia. Jeśli nigdzie nie ma zestawu, wystawianie nie jest ograniczone. Rekord w wierzchołku obejmuje więc każdą subdomenę, która nie ma własnego rekordu.

Przydatna definicja do zacytowania: rekord CAA to publiczna lista dozwolonych na poziomie DNS, wskazująca urzędy certyfikacji uprawnione do wystawiania certyfikatów dla domeny.

Dlaczego projekty kryptowalutowe potrzebują rekordów CAA?

Ponieważ osoba przejmująca DNS potrzebuje ważnego certyfikatu, by fałszywy frontend wyglądał wiarygodnie, a CAA utrudnia ten krok. Blockaid śledził pięć włamań do frontendów między 16 a 23 lutego 2026 r. i zauważył jeden wspólny ślad: certyfikaty SSL wystawiane tego samego dnia co zmiana DNS. W przypadku Nerochain wystawiono certyfikaty wildcard dla domeny projektu.

Według odczytu raportu Blockaid przez Wardmint z 12 listopada 2026 r. pięć włamań w siedem dni dało co najmniej jeden powtarzający się nawyk atakujących, w który rekord CAA może ingerować. Jeśli Twoje rekordy zezwalają tylko na Twój własny urząd, atakujący zmieniający DNS musi też zmienić rekordy CAA, zanim inny urząd podpisze certyfikat, a ta dodatkowa zmiana jest sygnałem, który możesz obserwować.

CAA nie jest samodzielną obroną. Atakujący kontrolujący Twój DNS może edytować także rekordy CAA, a RFC 8659 stwierdza, że CAA nie wpływa na certyfikaty już wystawione. Traktuj go jako warstwę obok zabezpieczeń z jak zabezpieczyć domenę przed przejęciem DNS i połącz z alertami z monitorowanie Certificate Transparency.

Jaka jest dokładna składnia issue, issuewild i iodef?

Każdy rekord ma postać nazwa, klasa, CAA, flagi, tag, wartość, a wartość następuje po tagu dokładnie tak, jak określa RFC 8659. Tag issue wskazuje domenę wystawcy uprawnionego do wystawiania. Tag issuewild dotyczy tylko nazw wildcard i, gdy jest obecny, zastępuje issue dla żądań wildcard. Tag iodef podaje adres URL raportowania z użyciem mailto, http lub https.

Aby zabronić wszelkiego wystawiania dla nazwy, opublikuj rekord issue z pustym wystawcą, zapisanym jako średnik w cudzysłowie. Dla zwykłej domeny opublikuj jeden rekord issue na każdy używany urząd oraz jeden rekord issuewild, jeśli chcesz osobno kontrolować certyfikaty wildcard. Dokładny identyfikator wystawcy weź z dokumentacji swojego urzędu, bo jest to nazwa domeny wybrana przez ten urząd.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Jak skonfigurować rekordy CAA w domenie obronnej?

W domenie obronnej, która tylko przekierowuje, zezwól na jeden urząd obsługujący przekierowanie albo zabroń wystawiania, jeśli nic nie odpowiada przez HTTPS. Domena zaparkowana bez usługi WWW nie potrzebuje certyfikatu, więc 0 issue ";" odbiera tę możliwość komukolwiek innemu. Domena obronna, która przekierowuje odwiedzających na Twoją główną stronę przez HTTPS, potrzebuje do tego certyfikatu, więc musi zezwalać na urząd, który go dostarcza.

Zacznij od planu z jak przekierować domeny obronne na swoją główną stronę, a potem dodaj odpowiednie rekordy CAA. W Wardmint bezpłatny hosting DNS z rekordami A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV i CAA, zarządzany DNSSEC oraz własne serwery nazw, jeśli wolisz (od 2 do 13), więc rekordy dodajesz w tym samym panelu klienta co przekierowanie. Projekt, który posiada podstawowy zestaw .com, .net, .org, .io, .xyz, .app, $128.94 rocznie, stosuje ten sam zestaw CAA do wszystkich sześciu nazw.

Jakie błędy blokują wystawianie certyfikatów?

Typowy błąd to pominięcie urzędu, z którego zapomniano korzystać. Platformy hostingowe, usługi dostarczania treści i dostawcy poczty czasem zamawiają własne certyfikaty dla Twoich subdomen. Jeśli Twój zestaw CAA ich pomija, odnowienie kończy się niepowodzeniem, często po cichu, aż certyfikat wygaśnie. Przed publikacją wypisz każdą usługę, która obsługuje jakąkolwiek nazwę w Twojej domenie.

Drugi błąd to źle zapisany identyfikator wystawcy, który blokuje wszystkich, także urząd, który miał zostać dopuszczony. Testuj prawdziwym odnowieniem. Trzeci to zapominanie, że rekord CAA wyżej w hierarchii obowiązuje subdomenę bez własnego rekordu, więc restrykcyjny wierzchołek może zablokować odnowienie certyfikatu subdomeny.

Zmiana rekordu nigdy nie unieważnia istniejącego certyfikatu. Jeśli wystawiono nieoczekiwany certyfikat, potraktuj to jako incydent i wykonaj kroki z jak zabezpieczyć domenę przed przejęciem DNS. odpowiedzi e-mailem w ciągu 12 godzin, 7 dni w tygodniu, także pomoc w sprawie DNSSEC, rekordów CAA i zgłoszeń nadużyć, w tym pomoc przy rekordach CAA.