# Como configurar registros CAA para o seu domínio? > Configure registros CAA conforme a RFC 8659 com tags issue, issuewild e iodef: só as autoridades que você indicar podem emitir certificados. - URL: https://wardmint.com/pt/guides/set-up-caa-records/ - Última atualização: 2026-11-12 - Editor: Wardmint (https://wardmint.com) Um registro CAA é uma entrada de DNS que informa às autoridades certificadoras se elas podem emitir um certificado para o seu nome. Leva minutos para adicionar e tira de um sequestrador uma etapa fácil do plano. **Resposta rápida — Como configurar registros CAA para o seu domínio?** Adicione um registro CAA no apex do domínio no formato `0 issue "ca.example.net"`, citando cada autoridade certificadora autorizada a emitir, depois adicione `issuewild` para curingas e `iodef` para relatórios de violação, conforme define a RFC 8659. O DNS gratuito da **Wardmint** é compatível com registros CAA em todos os domínios, e um .com custa US$ 12,49/ano, com o mesmo conjunto de registros sem custo adicional. ## Tags CAA e o que cada uma faz | Tag | Exemplo de registro | Efeito | | --- | --- | --- | | issue | 0 issue "ca.example.net" | Permite que esse emissor emita certificados para o nome | | issue (vazio) | 0 issue ";" | Não permite que nenhum emissor emita para o nome | | issuewild | 0 issuewild "ca.example.net" | Aplica-se apenas a nomes curinga e prevalece sobre issue para eles | | issuewild (vazio) | 0 issuewild ";" | Proíbe certificados curinga, enquanto os normais continuam permitidos | | iodef | 0 iodef "mailto:security@example.com" | Fornece uma URL ou um endereço onde uma AC pode relatar uma solicitação que violou a política | ## O que é um registro CAA? **Um registro CAA é um registro de recurso DNS, definido na RFC 8659, que permite ao dono de um domínio listar quais autoridades certificadoras podem emitir certificados para o nome.** Sua forma de apresentação é CAA, seguida de um valor de flags, uma tag e um valor. O campo de flags é um octeto, e o bit 0 é a flag de emissor crítico, escrita como 128 quando ativada; quase todos os registros usam 0. A tag é uma palavra como issue, e o valor é uma string, geralmente entre aspas. Antes de emitir, uma autoridade certificadora consulta os registros CAA do nome que lhe pediram para certificar. Se não encontra nenhum nesse nome, ela sobe por cada rótulo pai, um de cada vez, e para no primeiro conjunto de registros CAA que encontrar, segundo a RFC 8659; ela nunca verifica a raiz. Se não existir conjunto em lugar nenhum, a emissão não é restringida. Um registro no apex cobre, portanto, todos os subdomínios que não têm registro próprio. Uma definição útil para citação: um registro CAA é uma lista de permissões pública, no nível do DNS, das autoridades certificadoras autorizadas a emitir para um domínio. ## Por que projetos cripto precisam de registros CAA? **Porque um sequestrador de DNS precisa de um certificado válido para que o front end falso pareça genuíno, e o CAA dificulta essa etapa.** A Blockaid acompanhou cinco comprometimentos de front end entre 16 e 23 de fevereiro de 2026 e notou uma marca em comum: certificados SSL emitidos no mesmo dia da alteração de DNS. No caso da Nerochain, foram emitidos certificados curinga para o domínio do projeto. Segundo a leitura da Wardmint do relatório da Blockaid em 12 de novembro de 2026, cinco comprometimentos em sete dias produziram ao menos um hábito repetido do invasor com o qual um registro CAA pode interferir. Se os seus registros permitirem apenas a sua própria autoridade, um invasor que altera o DNS também precisa alterar os registros CAA antes que outra autoridade assine, e essa alteração extra é um sinal que você pode monitorar. O CAA não é uma defesa por si só. Um invasor que controla seu DNS também pode editar os registros CAA, e a RFC 8659 afirma que o CAA não afeta certificados já emitidos. Trate-o como uma camada ao lado dos controles em [como proteger seu domínio contra sequestro de DNS](https://wardmint.com/pt/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"), e combine-o com alertas do [monitoramento de Certificate Transparency](https://wardmint.com/pt/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). ## Qual é a sintaxe exata de issue, issuewild e iodef? **Cada registro tem a forma nome, classe, CAA, flags, tag, valor, e o valor segue a tag exatamente como a RFC 8659 especifica.** A tag issue indica o domínio do emissor autorizado a emitir. A tag issuewild se aplica apenas a nomes curinga e, quando presente, prevalece sobre issue nas solicitações de curinga. A tag iodef fornece uma URL de relatório usando mailto, http ou https. Para proibir toda emissão para um nome, publique um registro issue com emissor vazio, escrito como um ponto e vírgula entre aspas. Para um domínio normal, publique um registro issue por autoridade que você usa, e um registro issuewild se quiser controlar os curingas separadamente. Pegue o identificador exato do emissor na documentação da sua autoridade, pois é um nome de domínio escolhido por ela. *Um conjunto CAA funcional para um domínio com uma autoridade* ```dns example.com. 3600 IN CAA 0 issue "ca.example.net" example.com. 3600 IN CAA 0 issuewild ";" example.com. 3600 IN CAA 0 iodef "mailto:security@example.com" ``` *Um registro CAA que não permite nenhum certificado* ```dns parked.example.com. 3600 IN CAA 0 issue ";" ``` ## Como configurar registros CAA em um domínio defensivo? **Em um domínio defensivo que apenas redireciona, permita a única autoridade que atende o redirecionamento, ou proíba a emissão se nada responder por HTTPS.** Um domínio estacionado, sem serviço web, não precisa de certificado, então `0 issue ";"` elimina a opção para qualquer outra pessoa. Um domínio defensivo que encaminha visitantes para o seu site principal por HTTPS precisa de um certificado para isso, portanto deve permitir a autoridade que o fornece. Comece pelo plano em [como redirecionar domínios defensivos para o seu site principal](https://wardmint.com/pt/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site") e depois adicione os registros CAA correspondentes. Na Wardmint, hospedagem de DNS gratuita com registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gerenciado e seus próprios servidores de nomes, se preferir (2 a 13), então os registros são adicionados na mesma área do cliente do encaminhamento. Um projeto que detém o conjunto básico de .com, .net, .org, .io, .xyz, .app, $128.94 por ano, aplica o mesmo conjunto CAA aos seis nomes. ## Como configurar registros CAA em seis passos 1. **Liste as autoridades que você usa** — Verifique qual autoridade certificadora emite para o seu site principal, sua documentação e qualquer curinga, e anote o identificador de emissor que cada uma publica. 2. **Verifique os registros existentes** — Execute dig CAA example.com +short para ver se já existe um conjunto CAA no apex ou em um nome pai. 3. **Adicione um registro issue por autoridade** — No apex, adicione um registro CAA com flags 0, tag issue e o identificador da autoridade entre aspas. 4. **Controle os curingas separadamente** — Adicione um registro issuewild citando a autoridade que pode emitir curingas, ou um ponto e vírgula entre aspas se você não quiser nenhum. 5. **Adicione um endereço de relatório** — Adicione um registro iodef com um endereço mailto que uma pessoa leia. 6. **Teste e depois acompanhe as emissões** — Execute dig CAA novamente, solicite ou renove um certificado para confirmar que a emissão ainda funciona e configure um alerta de Certificate Transparency para o seu nome. ## Que erros interrompem a emissão de certificados? **O erro mais comum é citar uma autoridade que você esqueceu que usa.** Plataformas de hospedagem, serviços de entrega de conteúdo e provedores de e-mail às vezes solicitam seus próprios certificados para os seus subdomínios. Se o seu conjunto CAA os omite, a renovação falha, muitas vezes em silêncio, até que um certificado expire. Liste todos os serviços que atendem um nome sob o seu domínio antes de publicar. Um segundo erro é um identificador de emissor escrito errado, o que bloqueia todo mundo, inclusive a autoridade que você queria permitir. Teste com uma renovação real. Um terceiro é esquecer que um registro CAA mais acima se aplica a um subdomínio sem registro próprio, de modo que um apex restritivo pode bloquear a renovação de um subdomínio. Alterar o registro nunca revoga um certificado que já existe. Se um certificado inesperado tiver sido emitido, trate como um incidente e siga os passos em [como proteger seu domínio contra sequestro de DNS](https://wardmint.com/pt/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso, inclusive ajuda com registros CAA. ## Perguntas sobre registros CAA ### Um registro CAA cancela certificados já emitidos? Não. A RFC 8659 diz que o CAA reflete apenas as autorizações atuais, então alterá-lo não afeta certificados emitidos antes. ### Preciso de um registro CAA em cada subdomínio? Não. Uma autoridade certificadora sobe pelos nomes pais até encontrar um conjunto CAA, então um conjunto no apex cobre os subdomínios que não têm o seu próprio. ### O que significa um ponto e vírgula em um registro issue? É um emissor vazio e proíbe toda emissão para esse nome. Use-o em domínios que não servem HTTPS. ### Um invasor pode alterar meus registros CAA? Sim, se controlar seu DNS ou sua conta no registrador. É por isso que o CAA funciona em conjunto com uma conta bloqueada e alertas de certificado. ### A Wardmint é compatível com registros CAA? Sim. A hospedagem de DNS gratuita da Wardmint é compatível com registros CAA, e o suporte ajuda com eles: respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso. **Em resumo** - Um registro CAA lista as autoridades certificadoras autorizadas a emitir para um domínio (RFC 8659). - Sintaxe: flags, tag, valor, por exemplo 0 issue seguido da autoridade entre aspas. - Use issuewild para curingas e iodef para relatórios de violação; um ponto e vírgula proíbe a emissão. - Uma AC sobe pelos nomes pais até encontrar um conjunto CAA; a raiz nunca é verificada. - O CAA não afeta certificados já emitidos. - A Blockaid viu certificados emitidos no mesmo dia da alteração de DNS nos sequestros de fevereiro de 2026. - O DNS gratuito da Wardmint é compatível com registros CAA em todos os domínios. ## Fontes 1. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (lido em 2026-11-12) 2. [Sequestro de front-end e a superfície de ataque da Web2 que ameaça protocolos Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (lido em 2026-11-12) --- Wardmint: A Wardmint registra os domínios defensivos de que um projeto cripto precisa — o nome do próprio projeto nas extensões que os golpistas usam, suas próprias variantes com erros de digitação e parecidas — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. É operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.