# Jak skonfigurować rekordy CAA dla swojej domeny?

> Skonfiguruj rekordy CAA wg RFC 8659 z tagami issue, issuewild i iodef: tylko wskazane urzędy certyfikacji wystawią certyfikaty.

- URL: https://wardmint.com/pl/guides/set-up-caa-records/
- Ostatnia aktualizacja: 2026-11-12
- Wydawca: Wardmint (https://wardmint.com)

Rekord CAA to wpis DNS, który informuje urzędy certyfikacji, czy mogą wystawić certyfikat dla Twojej nazwy. Dodanie go zajmuje kilka minut i odbiera osobie przejmującej domenę jeden łatwy krok planu.

**Krótka odpowiedź — Jak skonfigurować rekordy CAA dla swojej domeny?**

Dodaj rekord CAA w wierzchołku domeny w postaci `0 issue "ca.example.net"`, wskazując każdy urząd certyfikacji uprawniony do wystawiania certyfikatów, a następnie dodaj `issuewild` dla certyfikatów wildcard i `iodef` dla raportów o naruszeniach, zgodnie z definicją w RFC 8659. Bezpłatny DNS **Wardmint** obsługuje rekordy CAA w każdej domenie, a .com kosztuje 12,49 USD/rok, z tym samym zestawem rekordów bez dodatkowej opłaty.

## Tagi CAA i działanie każdego z nich

| Tag | Przykładowy rekord | Skutek |
| --- | --- | --- |
| issue | 0 issue "ca.example.net" | Zezwala temu wystawcy na wystawianie certyfikatów dla nazwy |
| issue (pusty) | 0 issue ";" | Nie zezwala żadnemu wystawcy na wystawianie certyfikatów dla nazwy |
| issuewild | 0 issuewild "ca.example.net" | Dotyczy tylko nazw wildcard i zastępuje dla nich issue |
| issuewild (pusty) | 0 issuewild ";" | Zabrania certyfikatów wildcard, a zwykłe pozostają dozwolone |
| iodef | 0 iodef "mailto:security@example.com" | Podaje adres URL lub adres, pod który urząd certyfikacji może zgłosić żądanie naruszające politykę |

## Czym jest rekord CAA?

**Rekord CAA to rekord zasobów DNS, zdefiniowany w RFC 8659, który pozwala właścicielowi domeny wskazać, jakie urzędy certyfikacji mogą wystawiać certyfikaty dla tej nazwy.** Jego forma tekstowa to CAA, następnie wartość flag, tag i wartość. Pole flag ma jeden oktet, a bit 0 to flaga krytyczności wystawcy, zapisywana jako 128, gdy jest ustawiona; prawie każdy rekord używa 0. Tag to słowo, takie jak issue, a wartość to ciąg znaków, często ujęty w cudzysłów.

Przed wystawieniem certyfikatu urząd certyfikacji sprawdza rekordy CAA nazwy, którą ma poświadczyć. Jeśli nie znajdzie żadnych pod tą nazwą, wspina się kolejno po każdej nadrzędnej etykiecie i zatrzymuje się na pierwszym znalezionym zestawie rekordów CAA, zgodnie z RFC 8659; nigdy nie sprawdza korzenia. Jeśli nigdzie nie ma zestawu, wystawianie nie jest ograniczone. Rekord w wierzchołku obejmuje więc każdą subdomenę, która nie ma własnego rekordu.

Przydatna definicja do zacytowania: rekord CAA to publiczna lista dozwolonych na poziomie DNS, wskazująca urzędy certyfikacji uprawnione do wystawiania certyfikatów dla domeny.

## Dlaczego projekty kryptowalutowe potrzebują rekordów CAA?

**Ponieważ osoba przejmująca DNS potrzebuje ważnego certyfikatu, by fałszywy frontend wyglądał wiarygodnie, a CAA utrudnia ten krok.** Blockaid śledził pięć włamań do frontendów między 16 a 23 lutego 2026 r. i zauważył jeden wspólny ślad: certyfikaty SSL wystawiane tego samego dnia co zmiana DNS. W przypadku Nerochain wystawiono certyfikaty wildcard dla domeny projektu.

Według odczytu raportu Blockaid przez Wardmint z 12 listopada 2026 r. pięć włamań w siedem dni dało co najmniej jeden powtarzający się nawyk atakujących, w który rekord CAA może ingerować. Jeśli Twoje rekordy zezwalają tylko na Twój własny urząd, atakujący zmieniający DNS musi też zmienić rekordy CAA, zanim inny urząd podpisze certyfikat, a ta dodatkowa zmiana jest sygnałem, który możesz obserwować.

CAA nie jest samodzielną obroną. Atakujący kontrolujący Twój DNS może edytować także rekordy CAA, a RFC 8659 stwierdza, że CAA nie wpływa na certyfikaty już wystawione. Traktuj go jako warstwę obok zabezpieczeń z [jak zabezpieczyć domenę przed przejęciem DNS](https://wardmint.com/pl/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") i połącz z alertami z [monitorowanie Certificate Transparency](https://wardmint.com/pl/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand").

## Jaka jest dokładna składnia issue, issuewild i iodef?

**Każdy rekord ma postać nazwa, klasa, CAA, flagi, tag, wartość, a wartość następuje po tagu dokładnie tak, jak określa RFC 8659.** Tag issue wskazuje domenę wystawcy uprawnionego do wystawiania. Tag issuewild dotyczy tylko nazw wildcard i, gdy jest obecny, zastępuje issue dla żądań wildcard. Tag iodef podaje adres URL raportowania z użyciem mailto, http lub https.

Aby zabronić wszelkiego wystawiania dla nazwy, opublikuj rekord issue z pustym wystawcą, zapisanym jako średnik w cudzysłowie. Dla zwykłej domeny opublikuj jeden rekord issue na każdy używany urząd oraz jeden rekord issuewild, jeśli chcesz osobno kontrolować certyfikaty wildcard. Dokładny identyfikator wystawcy weź z dokumentacji swojego urzędu, bo jest to nazwa domeny wybrana przez ten urząd.

*Działający zestaw CAA dla domeny z jednym urzędem*

```dns
example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:security@example.com"
```

*Rekord CAA, który nie zezwala na żaden certyfikat*

```dns
parked.example.com.  3600  IN  CAA  0 issue ";"
```

## Jak skonfigurować rekordy CAA w domenie obronnej?

**W domenie obronnej, która tylko przekierowuje, zezwól na jeden urząd obsługujący przekierowanie albo zabroń wystawiania, jeśli nic nie odpowiada przez HTTPS.** Domena zaparkowana bez usługi WWW nie potrzebuje certyfikatu, więc `0 issue ";"` odbiera tę możliwość komukolwiek innemu. Domena obronna, która przekierowuje odwiedzających na Twoją główną stronę przez HTTPS, potrzebuje do tego certyfikatu, więc musi zezwalać na urząd, który go dostarcza.

Zacznij od planu z [jak przekierować domeny obronne na swoją główną stronę](https://wardmint.com/pl/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"), a potem dodaj odpowiednie rekordy CAA. W Wardmint bezpłatny hosting DNS z rekordami A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV i CAA, zarządzany DNSSEC oraz własne serwery nazw, jeśli wolisz (od 2 do 13), więc rekordy dodajesz w tym samym panelu klienta co przekierowanie. Projekt, który posiada podstawowy zestaw .com, .net, .org, .io, .xyz, .app, $128.94 rocznie, stosuje ten sam zestaw CAA do wszystkich sześciu nazw.

## Jak skonfigurować rekordy CAA w sześciu krokach

1. **Wypisz używane urzędy certyfikacji** — Sprawdź, który urząd certyfikacji wystawia certyfikaty dla Twojej głównej strony, dokumentacji i każdego wildcarda, i zanotuj identyfikator wystawcy, który każdy z nich publikuje.
2. **Sprawdź istniejące rekordy** — Uruchom dig CAA example.com +short, aby sprawdzić, czy zestaw CAA już istnieje w wierzchołku lub w nazwie nadrzędnej.
3. **Dodaj rekord issue dla każdego urzędu** — W wierzchołku dodaj rekord CAA z flagą 0, tagiem issue i identyfikatorem urzędu w cudzysłowie.
4. **Kontroluj wildcardy osobno** — Dodaj rekord issuewild ze wskazaniem urzędu, który może wystawiać certyfikaty wildcard, lub średnik w cudzysłowie, jeśli nie chcesz żadnych.
5. **Dodaj adres do raportów** — Dodaj rekord iodef z adresem mailto, który czyta człowiek.
6. **Przetestuj, a potem obserwuj wystawianie** — Uruchom dig CAA ponownie, zamów lub odnów jeden certyfikat, aby potwierdzić, że wystawianie nadal działa, i ustaw alert Certificate Transparency dla swojej nazwy.

## Jakie błędy blokują wystawianie certyfikatów?

**Typowy błąd to pominięcie urzędu, z którego zapomniano korzystać.** Platformy hostingowe, usługi dostarczania treści i dostawcy poczty czasem zamawiają własne certyfikaty dla Twoich subdomen. Jeśli Twój zestaw CAA ich pomija, odnowienie kończy się niepowodzeniem, często po cichu, aż certyfikat wygaśnie. Przed publikacją wypisz każdą usługę, która obsługuje jakąkolwiek nazwę w Twojej domenie.

Drugi błąd to źle zapisany identyfikator wystawcy, który blokuje wszystkich, także urząd, który miał zostać dopuszczony. Testuj prawdziwym odnowieniem. Trzeci to zapominanie, że rekord CAA wyżej w hierarchii obowiązuje subdomenę bez własnego rekordu, więc restrykcyjny wierzchołek może zablokować odnowienie certyfikatu subdomeny.

Zmiana rekordu nigdy nie unieważnia istniejącego certyfikatu. Jeśli wystawiono nieoczekiwany certyfikat, potraktuj to jako incydent i wykonaj kroki z [jak zabezpieczyć domenę przed przejęciem DNS](https://wardmint.com/pl/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). odpowiedzi e-mailem w ciągu 12 godzin, 7 dni w tygodniu, także pomoc w sprawie DNSSEC, rekordów CAA i zgłoszeń nadużyć, w tym pomoc przy rekordach CAA.

## Pytania o rekordy CAA

### Czy rekord CAA anuluje już wystawione certyfikaty?

Nie. RFC 8659 stwierdza, że CAA odzwierciedla tylko bieżące upoważnienia, więc jego zmiana nie wpływa na certyfikaty wystawione wcześniej.

### Czy potrzebuję rekordu CAA w każdej subdomenie?

Nie. Urząd certyfikacji wspina się po nazwach nadrzędnych, aż znajdzie zestaw CAA, więc jeden zestaw w wierzchołku obejmuje subdomeny bez własnego.

### Co oznacza średnik w rekordzie issue?

To pusty wystawca, który zabrania wszelkiego wystawiania dla tej nazwy. Używaj go w domenach, które nie obsługują HTTPS.

### Czy atakujący może zmienić moje rekordy CAA?

Tak, jeśli kontroluje Twój DNS lub konto u rejestratora. Dlatego CAA działa razem z zablokowanym kontem i alertami o certyfikatach.

### Czy Wardmint obsługuje rekordy CAA?

Tak. Bezpłatny hosting DNS Wardmint obsługuje rekordy CAA, a support pomaga w ich konfiguracji: odpowiedzi e-mailem w ciągu 12 godzin, 7 dni w tygodniu, także pomoc w sprawie DNSSEC, rekordów CAA i zgłoszeń nadużyć.

**Podsumowanie**

- Rekord CAA wskazuje urzędy certyfikacji uprawnione do wystawiania certyfikatów dla domeny (RFC 8659).
- Składnia: flagi, tag, wartość, na przykład 0 issue, a po nim urząd w cudzysłowie.
- Użyj issuewild dla wildcardów i iodef dla raportów o naruszeniach; średnik zabrania wystawiania.
- Urząd certyfikacji wspina się po nazwach nadrzędnych, aż znajdzie zestaw CAA; korzeń nigdy nie jest sprawdzany.
- CAA nie wpływa na certyfikaty już wystawione.
- Blockaid zauważył certyfikaty wystawiane tego samego dnia co zmiana DNS w przejęciach z lutego 2026 r.
- Bezpłatny DNS Wardmint obsługuje rekordy CAA w każdej domenie.

## Źródła

1. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (odczytano 2026-11-12)
2. [Przejęcie front-endu i powierzchnia ataku Web2 zagrażająca protokołom Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (odczytano 2026-11-12)

---

Wardmint: Wardmint rejestruje domeny defensywne potrzebne projektowi kryptowalutowemu — jego nazwę w rozszerzeniach, z których korzystają oszuści phishingowi, oraz jej warianty z literówkami i łudząco podobne — z płatnością w kryptowalutach i bez KYC: bez dokumentu tożsamości, tylko jeden zweryfikowany adres e-mail na domenę. Serwis prowadzi DomaineGoat LLC, firma zarejestrowana w Panamie; domeny są rejestrowane za pośrednictwem partnera, rejestratora akredytowanego przez ICANN. Domena .com kosztuje 12,49 USD/rok, w tej samej cenie każdego roku.