Як налаштувати записи CAA для вашого домену?

Що таке запис CAA?

Запис CAA — це ресурсний запис DNS, визначений у RFC 8659, який дає власнику домену змогу назвати центри сертифікації, що можуть видавати сертифікати для імені. Його форма подання — CAA, далі значення flags, тег і значення. Поле flags — це один октет, біт 0 є прапорцем критичності видавця і записується як 128, коли встановлений; майже всі записи мають 0. Тег — це слово на кшталт issue, а значення — рядок, часто в лапках.

Перед видачею центр сертифікації шукає записи CAA для імені, на яке його просять засвідчити сертифікат. Якщо їх немає на цьому імені, він піднімається до кожної батьківської мітки по черзі і зупиняється на першому наборі записів CAA, який знайде, згідно з RFC 8659; корінь ніколи не перевіряється. Якщо набору немає взагалі, видача не обмежена. Запис на верхівці тому охоплює кожен піддомен, який не має власного запису.

Корисне визначення для цитування: запис CAA — це публічний список дозволених центрів сертифікації на рівні DNS, яким можна видавати сертифікати для домену.

Навіщо крипто-проєктам записи CAA?

Бо зловмиснику перехоплення DNS потрібен дійсний сертифікат, щоб фальшивий інтерфейс виглядав справжнім, а CAA ускладнює цей крок. Blockaid відстежила п'ять компрометацій інтерфейсів між 16 і 23 лютого 2026 року і відзначила одну ознаку: сертифікати SSL, видані того самого дня, що й зміна DNS. У випадку Nerochain для домену проєкту були видані wildcard-сертифікати.

За висновком Wardmint з аналізу звіту Blockaid від 12 листопада 2026 року, п'ять компрометацій за сім днів породили щонайменше одну повторювану звичку зловмисників, з якою може впоратися запис CAA. Якщо ваші записи дозволяють лише ваш власний центр, зловмисник, що змінює DNS, також мусить змінити записи CAA, перш ніж інший центр підпише сертифікат, і цю додаткову зміну можна відстежити.

CAA сама по собі не є захистом. Зловмисник, який контролює ваш DNS, може змінити і записи CAA, а RFC 8659 прямо зазначає, що CAA не впливає на сертифікати, які вже видано. Сприймайте її як шар поруч із заходами з як захистити домен від перехоплення DNS, і поєднуйте з сповіщеннями від моніторингу прозорості сертифікатів.

Який точний синтаксис issue, issuewild і iodef?

Кожен запис має форму: ім'я, клас, CAA, flags, тег і значення, а значення йде за тегом точно так, як визначає RFC 8659. Тег issue називає доменного видавця, якому дозволено видавати. Тег issuewild стосується лише wildcard-імен і, якщо присутній, має пріоритет над issue для wildcard-запитів. Тег iodef задає URL для звітів з використанням mailto, http або https.

Щоб заборонити всю видачу для імені, опублікуйте запис issue з порожнім видавцем, записаним як крапка з комою в лапках. Для звичайного домену опублікуйте один запис issue на кожен центр, яким користуєтеся, і один запис issuewild, якщо хочете окремо контролювати wildcard-сертифікати. Точний ідентифікатор видавця беріть із документації вашого центру, бо це доменне ім'я, яке обирає сам центр.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

Як налаштувати записи CAA на захисному домені?

На захисному домені, що лише перенаправляє, дозвольте один центр, який обслуговує перенаправлення, або забороніть видачу, якщо нічого не відповідає через HTTPS. Домен, припаркований без веб-сервісу, не потребує сертифіката, тож 0 issue ";" прибирає цю можливість для будь-кого іншого. Захисний домен, який пересилає відвідувачів на ваш основний сайт через HTTPS, потребує для цього сертифіката, тому мусить дозволити центр, що його надає.

Почніть з плану з як перенаправити захисні домени на ваш основний сайт, потім додайте відповідні записи CAA. У Wardmint безкоштовний DNS-хостинг із записами A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV і CAA, керований DNSSEC, а за бажанням власні сервери імен (від 2 до 13), тож записи додаються в тій самій клієнтській зоні, що й переспрямування. Проєкт, який тримає основний набір .com, .net, .org, .io, .xyz, .app, $128.94 на рік, застосовує той самий набір CAA до всіх шести імен.

Які помилки ламають видачу сертифікатів?

Типова помилка — назвати центр, яким ви користуєтеся, але про який забули. Хостингові платформи, сервіси доставки контенту і поштові провайдери іноді запитують власні сертифікати для ваших піддоменів. Якщо ваш набір CAA їх пропускає, поновлення зриватиметься, часто мовчки, аж доки сертифікат не закінчиться. Перед публікацією складіть список кожного сервісу, що обслуговує ім'я під вашим доменом.

Друга помилка — неправильно написаний ідентифікатор видавця, який блокує всіх, зокрема центр, якого ви мали на увазі. Перевіряйте поновленням на справжньому сертифікаті. Третя — забути, що запис CAA вищого рівня діє на піддомен без власного запису, тож суворий запис на верхівці може заблокувати поновлення піддомену.

Зміна запису ніколи не відкликає сертифікат, який уже існує. Якщо видано несподіваний сертифікат, розглядайте це як інцидент і дійте за кроками з як захистити домен від перехоплення DNS. відповіді на листи протягом 12 годин, 7 днів на тиждень, зокрема з DNSSEC, записами CAA та скаргами про зловживання, зокрема з допомогою щодо записів CAA.