Alan adınız için CAA kayıtlarını nasıl kurarsınız?

CAA kaydı nedir?

CAA kaydı, RFC 8659'da tanımlanan ve alan adı sahibinin ad için hangi sertifika yetkililerinin sertifika düzenleyebileceğini listelemesini sağlayan bir DNS kaynak kaydıdır. Sunum biçimi CAA, ardından bir bayrak değeri, bir etiket ve bir değerdir. Bayrak alanı bir oktettir ve 0. bit, ayarlandığında 128 olarak yazılan kritik düzenleyici bayrağıdır; hemen hemen her kayıt 0 kullanır. Etiket issue gibi bir sözcüktür ve değer çoğunlukla tırnak içinde yazılan bir dizedir.

Bir sertifika yetkilisi, sertifika düzenlemeden önce kendisinden sertifikalandırması istenen adın CAA kayıtlarına bakar. O adda hiç kayıt bulamazsa her üst etikete sırayla çıkar ve RFC 8659'a göre bulduğu ilk CAA kayıt setinde durur; kökü asla kontrol etmez. Hiçbir yerde set yoksa düzenleme kısıtlanmaz. Bu nedenle kökteki bir kayıt, kendi kaydı olmayan her alt alan adını kapsar.

Alıntılanabilecek yararlı bir tanım: CAA kaydı, bir alan adı için sertifika düzenlemesine izin verilen sertifika yetkililerinin herkese açık, DNS düzeyinde bir izin listesidir.

Kripto projelerinin neden CAA kayıtlarına ihtiyacı var?

Çünkü bir DNS ele geçirici, sahte ön yüzü gerçek gibi göstermek için geçerli bir sertifikaya ihtiyaç duyar ve CAA bu adımı zorlaştırır. Blockaid, 16-23 Şubat 2026 arasında beş ön yüz ele geçirmesini izledi ve tek bir parmak izi not etti: DNS değişikliğiyle aynı gün düzenlenen SSL sertifikaları. Nerochain olayında projenin alan adı için joker karakterli sertifikalar düzenlendi.

Wardmint'in 12 Kasım 2026'da Blockaid raporunu okumasına göre, yedi günde beş ele geçirme, bir CAA kaydının engelleyebileceği en az bir tekrarlanan saldırgan alışkanlığı ortaya çıkardı. Kayıtlarınız yalnızca kendi yetkilinize izin veriyorsa DNS'i değiştiren bir saldırgan, başka bir yetkili imzalamadan önce CAA kayıtlarını da değiştirmek zorundadır ve bu ek değişiklik izleyebileceğiniz bir işarettir.

CAA tek başına bir savunma değildir. DNS'inizi kontrol eden bir saldırgan CAA kayıtlarını da düzenleyebilir ve RFC 8659, CAA'nın zaten düzenlenmiş sertifikaları etkilemediğini belirtir. Bunu alan adınızı DNS ele geçirmeye karşı nasıl korursunuz yazısındaki kontrollerin yanında bir katman olarak ele alın ve certificate transparency izleme uyarılarıyla eşleştirin.

issue, issuewild ve iodef'in tam sözdizimi nedir?

Her kayıt ad, sınıf, CAA, bayrak, etiket, değer biçimindedir ve değer, etiketi RFC 8659'un belirttiği şekilde birebir izler. issue etiketi, düzenleme yetkisi olan düzenleyici alan adını belirtir. issuewild etiketi yalnızca joker karakterli adlara uygulanır ve mevcut olduğunda joker karakterli talepler için issue'yu geçersiz kılar. iodef etiketi, mailto, http veya https kullanan bir raporlama URL'si verir.

Bir ad için tüm düzenlemeyi yasaklamak üzere, düzenleyicisi boş olan, tırnak içinde noktalı virgül olarak yazılan bir issue kaydı yayımlayın. Normal bir alan adı için kullandığınız her yetkili başına bir issue kaydı ve joker karakterleri ayrı denetlemek istiyorsanız bir issuewild kaydı yayımlayın. Kesin düzenleyici tanımlayıcısını yetkilinizin belgelerinden alın, çünkü bu, yetkilinin seçtiği bir alan adıdır.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Savunma amaçlı bir alan adında CAA kayıtlarını nasıl kurarsınız?

Yalnızca yönlendirme yapan bir savunma alan adında, yönlendirmeyi sunan tek yetkiliye izin verin; HTTPS üzerinden hiçbir şey yanıt vermiyorsa düzenlemeyi yasaklayın. Web hizmeti olmadan park edilmiş bir alan adının sertifikaya ihtiyacı yoktur, bu nedenle 0 issue ";" bu seçeneği başkaları için kaldırır. Ziyaretçileri HTTPS üzerinden ana sitenize yönlendiren bir savunma alan adı bunun için sertifikaya ihtiyaç duyar, dolayısıyla onu sağlayan yetkiliye izin vermelidir.

savunma alan adlarını ana sitenize nasıl yönlendirirsiniz yazısındaki plandan başlayın, ardından eşleşen CAA kayıtlarını ekleyin. Wardmint'te A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV ve CAA kayıtlarıyla ücretsiz DNS barındırma, yönetilen DNSSEC ve isterseniz kendi ad sunucularınız (2 ila 13); böylece kayıtlar yönlendirmeyle aynı müşteri alanında eklenir. .com, .net, .org, .io, .xyz, .app çekirdek setini yılda $128.94 karşılığında tutan bir proje, aynı CAA setini altı adın tümüne uygular.

Hangi hatalar sertifika düzenlemesini bozar?

Olağan hata, kullandığınızı unuttuğunuz bir yetkiliyi belirtmemektir. Barındırma platformları, içerik dağıtım hizmetleri ve e-posta sağlayıcıları bazen alt alan adlarınız için kendi sertifikalarını ister. CAA setiniz bunları dışarıda bırakırsa yenileme, çoğu zaman sessizce, bir sertifikanın süresi dolana kadar başarısız olur. Yayımlamadan önce alan adınız altındaki bir adı sunan her hizmeti listeleyin.

İkinci hata, yanlış yazılmış bir düzenleyici tanımlayıcısıdır; bu, izin vermek istediğiniz yetkili dahil herkesi engeller. Gerçek bir yenilemeyle test edin. Üçüncüsü, daha yukarıdaki bir CAA kaydının kendi kaydı olmayan bir alt alan adına uygulandığını unutmaktır; bu yüzden kısıtlayıcı bir kök, bir alt alan adının yenilemesini engelleyebilir.

Kaydı değiştirmek, hâlihazırda var olan bir sertifikayı asla iptal etmez. Beklenmedik bir sertifika düzenlenmişse bunu bir olay olarak ele alın ve alan adınızı DNS ele geçirmeye karşı nasıl korursunuz yazısındaki adımları izleyin. haftanın 7 günü, 12 saat içinde e-posta yanıtı; DNSSEC, CAA kayıtları ve kötüye kullanım bildirimleri konusunda yardım dahil, CAA kayıtlarıyla ilgili yardım dahil.