Cum configurați înregistrările CAA pentru domeniul dvs.?

Ce este o înregistrare CAA?

O înregistrare CAA este o înregistrare de resursă DNS, definită în RFC 8659, care permite titularului domeniului să listeze ce autorități de certificare pot emite certificate pentru nume. Forma sa de prezentare este CAA, apoi o valoare pentru steaguri, o etichetă și o valoare. Câmpul de steaguri are un octet, iar bitul 0 este steagul critic al emitentului, scris ca 128 când este setat; aproape fiecare înregistrare folosește 0. Eticheta este un cuvânt precum issue, iar valoarea este un șir, adesea între ghilimele.

Înainte de a emite, o autoritate de certificare caută înregistrările CAA ale numelui pentru care i s-a cerut certificatul. Dacă nu găsește niciuna la acel nume, urcă la fiecare etichetă părinte pe rând și se oprește la primul set de înregistrări CAA găsit, conform RFC 8659; nu verifică niciodată rădăcina. Dacă nu există niciun set nicăieri, emiterea nu este restricționată. O înregistrare la apex acoperă deci fiecare subdomeniu care nu are propria înregistrare.

O definiție utilă de citat: o înregistrare CAA este o listă publică de admitere, la nivel DNS, a autorităților de certificare autorizate să emită pentru un domeniu.

De ce au nevoie proiectele cripto de înregistrări CAA?

Pentru că un deturnător DNS are nevoie de un certificat valid ca să facă interfața falsă să pară autentică, iar CAA îngreunează acest pas. Blockaid a urmărit cinci compromiteri ale interfeței între 16 și 23 februarie 2026 și a remarcat o amprentă: certificate SSL emise în aceeași zi cu modificarea DNS. În cazul Nerochain, au fost emise certificate wildcard pentru domeniul proiectului.

Potrivit lecturii Wardmint asupra raportului Blockaid din 12 noiembrie 2026, cinci compromiteri în șapte zile au produs cel puțin un obicei repetat al atacatorului pe care o înregistrare CAA îl poate perturba. Dacă înregistrările dvs. permit doar propria autoritate, un atacator care schimbă DNS-ul trebuie să schimbe și înregistrările CAA înainte ca o altă autoritate să semneze, iar această modificare suplimentară este un semnal pe care îl puteți urmări.

CAA nu este o apărare de sine stătătoare. Un atacator care controlează DNS-ul dvs. poate edita și înregistrările CAA, iar RFC 8659 precizează că CAA nu afectează certificatele deja emise. Tratați-l ca pe un strat alături de controalele din cum să vă securizați domeniul împotriva deturnării DNS și asociați-l cu alertele din monitorizarea certificatelor Certificate Transparency.

Care este sintaxa exactă a issue, issuewild și iodef?

Fiecare înregistrare are forma nume, clasă, CAA, steaguri, etichetă, valoare, iar valoarea urmează eticheta exact cum specifică RFC 8659. Eticheta issue numește domeniul emitentului autorizat să emită. Eticheta issuewild se aplică doar numelor wildcard și, când este prezentă, înlocuiește issue pentru cererile wildcard. Eticheta iodef dă un URL de raportare, folosind mailto, http sau https.

Pentru a interzice orice emitere la un nume, publicați o înregistrare issue cu un emitent gol, scris ca punct și virgulă între ghilimele. Pentru un domeniu obișnuit, publicați câte o înregistrare issue pentru fiecare autoritate folosită și o înregistrare issuewild dacă doriți controlul separat al wildcard-urilor. Luați identificatorul exact al emitentului din documentația autorității, deoarece este un nume de domeniu pe care îl alege autoritatea.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Cum configurați înregistrările CAA pe un domeniu defensiv?

Pe un domeniu defensiv care doar redirecționează, permiteți singura autoritate care servește redirecționarea sau interziceți emiterea dacă nimic nu răspunde prin HTTPS. Un domeniu parcat, fără serviciu web, nu are nevoie de certificat, astfel încât 0 issue ";" elimină această opțiune pentru oricine altcineva. Un domeniu defensiv care trimite vizitatorii către site-ul principal prin HTTPS are nevoie de un certificat pentru aceasta, deci trebuie să permită autoritatea care îl furnizează.

Porniți de la planul din cum să redirecționați domeniile defensive către site-ul principal, apoi adăugați înregistrările CAA corespunzătoare. Pe Wardmint, DNS gratuit cu înregistrări A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV și CAA, DNSSEC gestionat și serverele dumneavoastră de nume, dacă preferați (între 2 și 13), deci înregistrările se adaugă în aceeași zonă a clientului ca redirecționarea. Un proiect care deține setul de bază de .com, .net, .org, .io, .xyz, .app, $128.94 pe an, aplică același set CAA tuturor celor șase nume.

Ce greșeli întrerup emiterea certificatelor?

Greșeala obișnuită este să numiți o autoritate pe care ați uitat că o folosiți. Platformele de găzduire, serviciile de livrare a conținutului și furnizorii de e-mail cer uneori propriile certificate pentru subdomeniile dvs. Dacă setul CAA le omite, reînnoirea eșuează, adesea în tăcere, până când expiră un certificat. Enumerați fiecare serviciu care servește un nume din domeniul dvs. înainte de a publica.

O a doua greșeală este un identificator de emitent scris greșit, care blochează pe toată lumea, inclusiv autoritatea pe care ați vrut să o permiteți. Testați cu o reînnoire reală. A treia este uitarea faptului că o înregistrare CAA situată mai sus se aplică unui subdomeniu fără propria înregistrare, deci un apex restrictiv poate bloca reînnoirea unui subdomeniu.

Schimbarea înregistrării nu revocă niciodată un certificat deja existent. Dacă a fost emis un certificat neașteptat, tratați-l ca pe un incident și urmați pașii din cum să vă securizați domeniul împotriva deturnării DNS. răspunsuri prin e-mail în 12 ore, 7 zile din 7, inclusiv ajutor pentru DNSSEC, înregistrări CAA și rapoarte de abuz, inclusiv ajutor cu înregistrările CAA.