# Hur konfigurerar du CAA-poster för din domän? > Konfigurera CAA-poster enligt RFC 8659 med taggarna issue, issuewild och iodef så att bara de certifikatutfärdare du anger kan utfärda för din domän. - URL: https://wardmint.com/sv/guides/set-up-caa-records/ - Senast uppdaterad: 2026-11-12 - Utgivare: Wardmint (https://wardmint.com) En CAA-post är en DNS-post som talar om för certifikatutfärdare om de får utfärda ett certifikat för ditt namn. Den tar några minuter att lägga till och tar bort ett enkelt steg ur en kapares plan. **Snabbt svar — Hur konfigurerar du CAA-poster för din domän?** Lägg till en CAA-post på domänens topp i formen `0 issue "ca.example.net"`, med varje certifikatutfärdare som får utfärda, och lägg sedan till `issuewild` för jokercertifikat och `iodef` för överträdelserapporter, enligt RFC 8659. **Wardmint**s gratis DNS stöder CAA-poster på varje domän, och en .com kostar 12,49 US$/år, med samma postuppsättning utan extra kostnad. ## CAA-taggar och vad var och en gör | Tagg | Exempelpost | Effekt | | --- | --- | --- | | issue | 0 issue "ca.example.net" | Tillåter den utfärdaren att utfärda certifikat för namnet | | issue (tomt) | 0 issue ";" | Tillåter ingen utfärdare att utfärda för namnet | | issuewild | 0 issuewild "ca.example.net" | Gäller bara jokernamn och åsidosätter issue för dem | | issuewild (tomt) | 0 issuewild ";" | Förbjuder jokercertifikat medan vanliga certifikat fortfarande tillåts | | iodef | 0 iodef "mailto:security@example.com" | Anger en URL eller adress dit en certifikatutfärdare kan rapportera en begäran som bröt mot policyn | ## Vad är en CAA-post? **En CAA-post är en DNS-resurspost, definierad i RFC 8659, som låter en domänägare ange vilka certifikatutfärdare som får utfärda certifikat för namnet.** Dess presentationsform är CAA, följt av ett flaggvärde, en tagg och ett värde. Flaggfältet är en oktett, och bit 0 är issuer critical-flaggan, skriven som 128 när den är satt; nästan alla poster använder 0. Taggen är ett ord som issue, och värdet är en sträng, ofta inom citattecken. Innan den utfärdar slår en certifikatutfärdare upp CAA-posterna för namnet den har bett att certifiera. Hittar den inga på det namnet klättrar den till varje överordnad etikett i tur och ordning och stannar vid den första uppsättningen CAA-poster den hittar, enligt RFC 8659; den kontrollerar aldrig roten. Om ingen uppsättning finns någonstans begränsas inte utfärdandet. En post på toppen täcker alltså varje underdomän som saknar en egen. En användbar definition att citera: en CAA-post är en offentlig allow-lista på DNS-nivå över de certifikatutfärdare som får utfärda för en domän. ## Varför behöver kryptoprojekt CAA-poster? **Eftersom en DNS-kapare behöver ett giltigt certifikat för att få den falska frontenden att se äkta ut, gör CAA det steget svårare.** Blockaid följde fem frontend-kompromisser mellan den 16 och den 23 februari 2026 och noterade ett fingeravtryck: SSL-certifikat utfärdade samma dag som DNS-ändringen. I Nerochain-fallet utfärdades jokercertifikat för projektets domän. Enligt Wardmints läsning av Blockaid-rapporten den 12 november 2026 gav fem kompromisser på sju dagar minst en upprepad angriparvana som en CAA-post kan störa. Om dina poster tillåter bara din egen utfärdare måste en angripare som ändrar DNS även ändra CAA-posterna innan en annan utfärdare skriver under, och den extra ändringen är en signal du kan bevaka. CAA är inget försvar på egen hand. En angripare som kontrollerar din DNS kan också redigera CAA-poster, och RFC 8659 anger att CAA inte påverkar certifikat som redan utfärdats. Behandla det som ett lager vid sidan av kontrollerna i [hur du säkrar din domän mot DNS-kapning](https://wardmint.com/sv/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"), och kombinera det med larm från [certifikattransparensövervakning](https://wardmint.com/sv/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). ## Vad är den exakta syntaxen för issue, issuewild och iodef? **Varje post har formen namn, klass, CAA, flaggor, tagg, värde, och värdet följer taggen exakt som RFC 8659 anger.** Taggen issue anger domännamnet för den utfärdare som får utfärda. Taggen issuewild gäller bara jokernamn, och när den finns åsidosätter den issue för jokerförfrågningar. Taggen iodef anger en rapporteringsadress med mailto, http eller https. För att förbjuda all utfärdande för ett namn publicerar du en issue-post med en tom utfärdare, skriven som ett semikolon inom citattecken. För en vanlig domän publicerar du en issue-post per auktoritet som du använder, och en issuewild-post om du vill styra jokercertifikat separat. Ta den exakta utfärdaridentifieraren från din utfärdares dokumentation, eftersom det är ett domännamn som utfärdaren väljer. *En fungerande CAA-uppsättning för en domän med en utfärdare* ```dns example.com. 3600 IN CAA 0 issue "ca.example.net" example.com. 3600 IN CAA 0 issuewild ";" example.com. 3600 IN CAA 0 iodef "mailto:security@example.com" ``` *En CAA-post som tillåter inget certifikat alls* ```dns parked.example.com. 3600 IN CAA 0 issue ";" ``` ## Hur konfigurerar du CAA-poster på en försvarsdomän? **På en försvarsdomän som bara omdirigerar, tillåt den enda utfärdare som betjänar omdirigeringen, eller förbjud utfärdande om inget svarar över HTTPS.** En domän som är parkerad utan webbtjänst behöver inget certifikat, så `0 issue ";"` tar bort alternativet för alla andra. En försvarsdomän som vidarebefordrar besökare till din huvudsajt över HTTPS behöver ett certifikat för det, så den måste tillåta den utfärdare som tillhandahåller det. Utgå från planen i [hur du omdirigerar försvarsdomäner till din huvudsajt](https://wardmint.com/sv/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"), och lägg sedan till motsvarande CAA-poster. På Wardmint gratis DNS-hosting med A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- och CAA-poster, hanterad DNSSEC och egna nameservers om du föredrar det (2 till 13), så posterna läggs till i samma kundyta som vidarebefordringen. Ett projekt som har kärnuppsättningen .com, .net, .org, .io, .xyz, .app för $128.94 per år tillämpar samma CAA-uppsättning på alla sex namn. ## Så konfigurerar du CAA-poster i sex steg 1. **Lista de auktoriteter du använder** — Kontrollera vilken certifikatutfärdare som utfärdar för din huvudsajt, dina dokument och eventuella jokercertifikat, och notera utfärdaridentifieraren som varje utfärdare publicerar. 2. **Kontrollera befintliga poster** — Kör dig CAA example.com +short för att se om en CAA-uppsättning redan finns på toppen eller på ett överordnat namn. 3. **Lägg till en issue-post per auktoritet** — På toppen lägger du till en CAA-post med flaggor 0, taggen issue och auktoritetens identifierare inom citattecken. 4. **Styr jokercertifikat separat** — Lägg till en issuewild-post som anger den auktoritet som får utfärda jokercertifikat, eller ett semikolon inom citattecken om du inte vill ha några. 5. **Lägg till en rapporteringsadress** — Lägg till en iodef-post med en mailto-adress som en person läser. 6. **Testa och bevaka sedan utfärdandet** — Kör dig CAA igen, begär eller förnya ett certifikat för att bekräfta att utfärdandet fortfarande fungerar, och ställ in ett Certificate Transparency-larm för ditt namn. ## Vilka misstag bryter utfärdandet av certifikat? **Det vanligaste misstaget är att ange en auktoritet som du har glömt att du använder.** Hostingplattformar, innehållsleveranstjänster och e-postleverantörer begär ibland egna certifikat för dina underdomäner. Om din CAA-uppsättning utelämnar dem misslyckas förnyelsen, ofta tyst, tills ett certifikat löper ut. Lista varje tjänst som betjänar ett namn under din domän innan du publicerar. Ett andra misstag är en felstavad utfärdaridentifierare, som blockerar alla, inklusive den auktoritet du menade att tillåta. Testa med en riktig förnyelse. Ett tredje är att glömma att en CAA-post högre upp gäller för en underdomän som saknar en egen, så en restriktiv topp kan blockera en underdomäns förnyelse. Att ändra posten återkallar aldrig ett certifikat som redan finns. Om ett oväntat certifikat har utfärdats, behandla det som en incident och följ stegen i [hur du säkrar din domän mot DNS-kapning](https://wardmint.com/sv/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). e-svar inom 12 timmar, 7 dagar i veckan, inklusive hjälp med DNSSEC, CAA-poster och missbruksanmälningar, inklusive hjälp med CAA-poster. ## Frågor om CAA-poster ### Upphäver en CAA-post certifikat som redan utfärdats? Nej. RFC 8659 anger att CAA bara återspeglar aktuella godkännanden, så en ändring påverkar inte certifikat som utfärdats tidigare. ### Behöver jag en CAA-post för varje underdomän? Nej. En certifikatutfärdare klättrar till överordnade namn tills den hittar en CAA-uppsättning, så en uppsättning på toppen täcker underdomäner utan egen. ### Vad betyder ett semikolon i en issue-post? Det är en tom utfärdare, och den förbjuder allt utfärdande för namnet. Använd den på domäner som inte betjänar HTTPS. ### Kan en angripare ändra mina CAA-poster? Ja, om de kontrollerar din DNS eller ditt registrarkonto. Därför fungerar CAA tillsammans med ett låst konto och certifikatlarm. ### Stöder Wardmint CAA-poster? Ja. Wardmints gratis DNS-hosting stöder CAA-poster, och supporten hjälper till med dem: e-svar inom 12 timmar, 7 dagar i veckan, inklusive hjälp med DNSSEC, CAA-poster och missbruksanmälningar. **Sammanfattning** - En CAA-post anger vilka certifikatutfärdare som får utfärda för en domän (RFC 8659). - Syntax: flaggor, tagg, värde, till exempel 0 issue följt av auktoriteten inom citattecken. - Använd issuewild för jokercertifikat och iodef för överträdelserapporter; ett semikolon förbjuder utfärdande. - En CA klättrar till överordnade namn tills den hittar en CAA-uppsättning; roten kontrolleras aldrig. - CAA påverkar inte certifikat som redan utfärdats. - Blockaid såg certifikat som utfärdats samma dag som DNS-ändringen i kapningarna i februari 2026. - Wardmints gratis DNS stöder CAA-poster på varje domän. ## Källor 1. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659.html) — IETF / RFC Editor (läst 2026-11-12) 2. [Frontend-kapning och attackytan i Web2 som hotar Web3-protokoll](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (läst 2026-11-12) --- Wardmint: Wardmint registrerar de defensiva domäner ett kryptoprojekt behöver: det egna namnet under de tillägg nätfiskare använder, och egna stavfels- och look-alike-varianter. Betalt i krypto utan KYC: ingen ID, bara en verifierad e-postadress per domän. Tjänsten drivs av DomaineGoat LLC, ett bolag registrerat i Panama; domänerna registreras genom vår ICANN-ackrediterade registrar-partner. En .com kostar 12,49 US$/år, samma pris varje år.