# Как настроить записи CAA для вашего домена?

> Настройте записи CAA по RFC 8659 с тегами issue, issuewild и iodef, чтобы выпускать сертификаты для домена могли только указанные вами центры.

- URL: https://wardmint.com/ru/guides/set-up-caa-records/
- Последнее обновление: 2026-11-12
- Издатель: Wardmint (https://wardmint.com)

Запись CAA — это DNS-запись, которая сообщает удостоверяющим центрам, можно ли им выпускать сертификат на ваше имя. Её добавление занимает минуты, и она убирает лёгкий шаг из плана злоумышленника.

**Кратко — Как настроить записи CAA для вашего домена?**

Добавьте запись CAA на вершине домена в виде `0 issue "ca.example.net"`, указав каждый удостоверяющий центр, которому разрешён выпуск, затем добавьте `issuewild` для wildcard-сертификатов и `iodef` для отчётов о нарушениях, как определяет RFC 8659. Бесплатный DNS **Wardmint** поддерживает записи CAA на каждом домене, а .com стоит 12,49 $/год, при этом тот же набор записей настраивается без доплаты.

## Теги CAA и что делает каждый из них

| Тег | Пример записи | Действие |
| --- | --- | --- |
| issue | 0 issue "ca.example.net" | Разрешает этому эмитенту выпускать сертификаты на имя |
| issue (empty) | 0 issue ";" | Не разрешает выпуск на имя никакому эмитенту |
| issuewild | 0 issuewild "ca.example.net" | Применяется только к wildcard-именам и для них переопределяет issue |
| issuewild (empty) | 0 issuewild ";" | Запрещает wildcard-сертификаты, при этом обычные остаются разрешёнными |
| iodef | 0 iodef "mailto:security@example.com" | Задаёт URL или адрес, куда удостоверяющий центр может сообщить о запросе, нарушившем политику |

## Что такое запись CAA?

**Запись CAA — это ресурсная запись DNS, определённая в RFC 8659, которая позволяет владельцу домена перечислить удостоверяющие центры, которым разрешено выпускать сертификаты на это имя.** Её текстовая форма: CAA, затем значение флагов, тег и значение. Поле флагов занимает один октет, а бит 0 — это флаг критичности для эмитента, который при установке записывается как 128; почти все записи используют 0. Тег — это слово вроде issue, а значение — строка, часто в кавычках.

Перед выпуском удостоверяющий центр ищет записи CAA для имени, которое его просят заверить. Если на этом имени их нет, он по очереди поднимается к каждой родительской метке и останавливается на первом найденном наборе записей CAA согласно RFC 8659; корень он никогда не проверяет. Если набора нет нигде, выпуск не ограничен. Поэтому запись на вершине домена охватывает все поддомены, у которых нет собственной записи.

Подходящее для цитирования определение: запись CAA — это публичный белый список на уровне DNS, в котором перечислены удостоверяющие центры, которым разрешено выпускать сертификаты для домена.

## Зачем криптопроектам записи CAA?

**Потому что DNS-злоумышленнику нужен действительный сертификат, чтобы поддельный фронтенд выглядел настоящим, а CAA усложняет этот шаг.** Blockaid отследил пять компрометаций фронтендов с 16 по 23 February 2026 и отметил один отпечаток: SSL-сертификаты, выпущенные в тот же день, что и изменение DNS. В случае Nerochain для домена проекта были выпущены wildcard-сертификаты.

По прочтению Wardmint отчёта Blockaid на 12 November 2026, пять компрометаций за семь дней дали как минимум одну повторяющуюся привычку злоумышленников, которой может помешать запись CAA. Если ваши записи разрешают только ваш собственный удостоверяющий центр, злоумышленнику, изменившему DNS, придётся также изменить записи CAA, прежде чем другой центр подпишет сертификат, и это дополнительное изменение — сигнал, за которым можно следить.

CAA не является защитой сама по себе. Злоумышленник, управляющий вашим DNS, может отредактировать и записи CAA, а RFC 8659 прямо указывает, что CAA не влияет на уже выпущенные сертификаты. Рассматривайте её как слой рядом с мерами из [как защитить домен от DNS-hijacking](https://wardmint.com/ru/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") и дополняйте оповещениями из [мониторинг Certificate Transparency](https://wardmint.com/ru/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand").

## Каков точный синтаксис issue, issuewild и iodef?

**Каждая запись имеет вид «имя, класс, CAA, флаги, тег, значение», а значение следует за тегом точно так, как задаёт RFC 8659.** Тег issue указывает домен эмитента, которому разрешён выпуск. Тег issuewild применяется только к wildcard-именам, и при наличии он переопределяет issue для wildcard-запросов. Тег iodef задаёт URL для отчётов с использованием mailto, http или https.

Чтобы запретить любой выпуск для имени, опубликуйте запись issue с пустым эмитентом, записанным как точка с запятой в кавычках. Для обычного домена опубликуйте по одной записи issue на каждый используемый вами центр и одну запись issuewild, если хотите управлять wildcard-сертификатами отдельно. Точный идентификатор эмитента берите из документации вашего центра, поскольку это доменное имя, которое центр выбирает сам.

*Рабочий набор CAA для домена с одним удостоверяющим центром*

```dns
example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:security@example.com"
```

*Запись CAA, которая не разрешает ни одного сертификата*

```dns
parked.example.com.  3600  IN  CAA  0 issue ";"
```

## Как настроить записи CAA на защитном домене?

**На защитном домене, который только перенаправляет, разрешите единственный центр, обслуживающий перенаправление, или запретите выпуск, если ничто не отвечает по HTTPS.** Припаркованному домену без веб-сервиса сертификат не нужен, поэтому `0 issue ";"` лишает такой возможности всех остальных. Защитному домену, который перенаправляет посетителей на ваш основной сайт по HTTPS, нужен для этого сертификат, поэтому он должен разрешать центр, который его выдаёт.

Начните с плана из [как перенаправить защитные домены на ваш основной сайт](https://wardmint.com/ru/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"), затем добавьте соответствующие записи CAA. В Wardmint бесплатный DNS-хостинг с записями A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV и CAA, управляемый DNSSEC и собственные серверы имён по желанию (от 2 до 13), поэтому записи добавляются в том же личном кабинете, что и перенаправление. Проект, владеющий базовым набором из .com, .net, .org, .io, .xyz, .app, $128.94 в год, применяет один и тот же набор CAA ко всем шести именам.

## Как настроить записи CAA за шесть шагов

1. **Составьте список используемых центров** — Проверьте, какой удостоверяющий центр выпускает сертификаты для вашего основного сайта, документации и любых wildcard, и запишите идентификатор эмитента, который публикует каждый из них.
2. **Проверьте существующие записи** — Выполните dig CAA example.com +short, чтобы узнать, есть ли уже набор CAA на вершине домена или на родительском имени.
3. **Добавьте запись issue для каждого центра** — На вершине домена добавьте запись CAA с флагами 0, тегом issue и идентификатором центра в кавычках.
4. **Управляйте wildcard отдельно** — Добавьте запись issuewild с центром, которому разрешён выпуск wildcard-сертификатов, или с точкой с запятой в кавычках, если они вам не нужны.
5. **Добавьте адрес для отчётов** — Добавьте запись iodef с адресом mailto, который читает человек.
6. **Проверьте, затем следите за выпуском** — Снова выполните dig CAA, запросите или продлите один сертификат, чтобы убедиться, что выпуск по-прежнему работает, и настройте оповещение Certificate Transparency по вашему имени.

## Какие ошибки ломают выпуск сертификатов?

**Обычная ошибка — не указать центр, о использовании которого вы забыли.** Хостинг-платформы, сети доставки контента и почтовые провайдеры иногда запрашивают собственные сертификаты для ваших поддоменов. Если в вашем наборе CAA их нет, продление не проходит, часто незаметно, пока сертификат не истечёт. Перед публикацией перечислите все сервисы, обслуживающие имена в вашем домене.

Вторая ошибка — опечатка в идентификаторе эмитента: она блокирует всех, в том числе центр, который вы хотели разрешить. Проверяйте реальным продлением. Третья — забыть, что запись CAA выше по иерархии действует на поддомен, у которого собственной нет, поэтому строгая запись на вершине может заблокировать продление для поддомена.

Изменение записи никогда не отзывает уже существующий сертификат. Если выпущен неожиданный сертификат, считайте это инцидентом и выполните шаги из [как защитить домен от DNS-hijacking](https://wardmint.com/ru/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). ответы по e-mail в течение 12 часов, 7 дней в неделю, включая помощь с DNSSEC, записями CAA и жалобами на злоупотребления, включая помощь с записями CAA.

## Вопросы о записях CAA

### Отменяет ли запись CAA уже выпущенные сертификаты?

Нет. RFC 8659 указывает, что CAA отражает только текущие разрешения, поэтому её изменение не влияет на сертификаты, выпущенные ранее.

### Нужна ли запись CAA на каждом поддомене?

Нет. Удостоверяющий центр поднимается по родительским именам, пока не найдёт набор CAA, поэтому один набор на вершине домена охватывает поддомены без собственного.

### Что означает точка с запятой в записи issue?

Это пустой эмитент, и она запрещает любой выпуск для этого имени. Используйте её на доменах, которые не обслуживают HTTPS.

### Может ли злоумышленник изменить мои записи CAA?

Да, если он управляет вашим DNS или аккаунтом у регистратора. Поэтому CAA работает вместе с заблокированным аккаунтом и оповещениями о сертификатах.

### Поддерживает ли Wardmint записи CAA?

Да. Бесплатный DNS-хостинг Wardmint поддерживает записи CAA, а поддержка помогает с ними: ответы по e-mail в течение 12 часов, 7 дней в неделю, включая помощь с DNSSEC, записями CAA и жалобами на злоупотребления.

**Вкратце**

- Запись CAA перечисляет удостоверяющие центры, которым разрешено выпускать сертификаты для домена (RFC 8659).
- Синтаксис: флаги, тег, значение, например 0 issue, а затем центр в кавычках.
- Используйте issuewild для wildcard и iodef для отчётов о нарушениях; точка с запятой запрещает выпуск.
- Удостоверяющий центр поднимается по родительским именам, пока не найдёт набор CAA; корень не проверяется никогда.
- CAA не влияет на уже выпущенные сертификаты.
- Blockaid обнаружил сертификаты, выпущенные в тот же день, что и изменение DNS, при перехватах в February 2026.
- Бесплатный DNS Wardmint поддерживает записи CAA на каждом домене.

## Источники

1. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (прочитано 2026-11-12)
2. [Перехват фронтенда и поверхность атаки Web2, угрожающая протоколам Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (прочитано 2026-11-12)

---

Wardmint: Wardmint регистрирует защитные домены, которые нужны крипто-проекту: собственное имя проекта в зонах, которые используют фишеры, и собственные варианты с опечатками и похожими написаниями. Оплата в криптовалюте, без KYC: без документов, удостоверяющих личность, нужен только один подтверждённый e-mail на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, одна и та же цена каждый год.