Trả lời nhanh
Làm thế nào để thiết lập bản ghi CAA cho tên miền của bạn?
Thêm một bản ghi CAA ở đỉnh tên miền theo dạng 0 issue "ca.example.net", nêu từng tổ chức cấp chứng chỉ được phép cấp, rồi thêm issuewild cho wildcard và iodef cho báo cáo vi phạm, như RFC 8659 định nghĩa. DNS miễn phí của Wardmint hỗ trợ bản ghi CAA trên mọi tên miền, và một .com có giá 12,49 US$/năm, với cùng bộ bản ghi không phát sinh thêm chi phí.
Các thẻ CAA và tác dụng của từng thẻ
| Thẻ | Ví dụ bản ghi | Tác dụng |
|---|---|---|
| issue | 0 issue "ca.example.net" | Cho phép nhà phát hành đó cấp chứng chỉ cho tên |
| issue (để trống) | 0 issue ";" | Không cho nhà phát hành nào cấp chứng chỉ cho tên |
| issuewild | 0 issuewild "ca.example.net" | Chỉ áp dụng cho tên wildcard và ghi đè issue đối với các tên đó |
| issuewild (để trống) | 0 issuewild ";" | Cấm chứng chỉ wildcard trong khi chứng chỉ thường vẫn được phép |
| iodef | 0 iodef "mailto:[email protected]" | Cung cấp một URL hoặc địa chỉ để CA báo cáo một yêu cầu đã vi phạm chính sách |
Bản ghi CAA là gì?
Bản ghi CAA là một bản ghi tài nguyên DNS, được định nghĩa trong RFC 8659, cho phép chủ tên miền liệt kê các tổ chức cấp chứng chỉ được phép cấp chứng chỉ cho tên đó. Dạng trình bày của nó là CAA, rồi đến giá trị flags, thẻ và giá trị. Trường flags dài một octet, và bit 0 là cờ issuer critical, được viết là 128 khi bật; hầu hết bản ghi dùng 0. Thẻ là một từ như issue, còn giá trị là một chuỗi, thường đặt trong dấu ngoặc kép.
Trước khi cấp, tổ chức cấp chứng chỉ tra cứu bản ghi CAA của tên mà họ được yêu cầu chứng nhận. Nếu không tìm thấy gì ở tên đó, họ leo lên từng nhãn cha theo thứ tự và dừng ở bộ bản ghi CAA đầu tiên tìm được, theo RFC 8659; họ không bao giờ kiểm tra gốc. Nếu không có bộ nào ở bất kỳ đâu, việc cấp không bị hạn chế. Vì vậy một bản ghi ở đỉnh bao phủ mọi tên con không có bản ghi riêng.
Một định nghĩa hữu ích để trích dẫn: bản ghi CAA là danh sách cho phép ở mức DNS, công khai, gồm các tổ chức cấp chứng chỉ được phép cấp cho một tên miền.
Tại sao các dự án tiền mã hóa cần bản ghi CAA?
Vì kẻ chiếm quyền DNS cần một chứng chỉ hợp lệ để làm cho giao diện giả trông thật, và CAA làm bước đó khó hơn. Blockaid theo dõi năm vụ xâm phạm giao diện từ 16 đến 23 tháng 2 năm 2026 và ghi nhận một dấu hiệu: chứng chỉ SSL được cấp cùng ngày với thay đổi DNS. Trong vụ Nerochain, chứng chỉ wildcard đã được cấp cho tên miền của dự án.
Theo cách đọc báo cáo Blockaid của Wardmint ngày 12 tháng 11 năm 2026, năm vụ xâm phạm trong bảy ngày đã tạo ra ít nhất một thói quen lặp lại của kẻ tấn công mà bản ghi CAA có thể cản trở. Nếu bản ghi của bạn chỉ cho phép tổ chức của chính bạn, kẻ tấn công đổi DNS cũng phải đổi bản ghi CAA trước khi một tổ chức khác ký, và thay đổi thêm đó là một tín hiệu bạn có thể theo dõi.
CAA không phải là biện pháp phòng vệ riêng lẻ. Kẻ tấn công kiểm soát DNS của bạn cũng có thể sửa bản ghi CAA, và RFC 8659 nêu rõ CAA không ảnh hưởng đến chứng chỉ đã cấp. Hãy coi nó là một lớp cạnh các biện pháp trong cách bảo vệ tên miền trước tấn công chiếm quyền DNS, và kết hợp với cảnh báo từ giám sát Certificate Transparency.
Cú pháp chính xác của issue, issuewild và iodef là gì?
Mỗi bản ghi có dạng tên, lớp, CAA, flags, thẻ, giá trị, và giá trị đi theo thẻ đúng như RFC 8659 quy định. Thẻ issue nêu tên miền của nhà phát hành được phép cấp. Thẻ issuewild chỉ áp dụng cho tên wildcard, và khi có mặt nó ghi đè issue đối với yêu cầu wildcard. Thẻ iodef cung cấp một URL báo cáo, dùng mailto, http hoặc https.
Để cấm mọi việc cấp cho một tên, hãy công bố một bản ghi issue với nhà phát hành để trống, viết là dấu chấm phẩy trong dấu ngoặc kép. Với tên miền thông thường, hãy công bố một bản ghi issue cho mỗi tổ chức bạn dùng, và một bản ghi issuewild nếu bạn muốn kiểm soát wildcard riêng. Lấy định danh nhà phát hành chính xác từ tài liệu của tổ chức, vì đó là tên miền do tổ chức chọn.
example.com. 3600 IN CAA 0 issue "ca.example.net"
example.com. 3600 IN CAA 0 issuewild ";"
example.com. 3600 IN CAA 0 iodef "mailto:[email protected]"parked.example.com. 3600 IN CAA 0 issue ";"Làm thế nào để thiết lập bản ghi CAA trên một tên miền phòng vệ?
Trên một tên miền phòng vệ chỉ chuyển hướng, hãy cho phép tổ chức duy nhất phục vụ việc chuyển hướng, hoặc cấm cấp nếu không có gì trả lời qua HTTPS. Tên miền đang đậu mà không có dịch vụ web không cần chứng chỉ, nên 0 issue ";" loại bỏ lựa chọn đó với người khác. Tên miền phòng vệ chuyển tiếp khách truy cập tới trang chính của bạn qua HTTPS cần một chứng chỉ cho việc đó, nên phải cho phép tổ chức cung cấp nó.
Bắt đầu từ kế hoạch trong cách chuyển hướng tên miền phòng vệ tới trang chính, rồi thêm các bản ghi CAA tương ứng. Trên Wardmint, DNS miễn phí với bản ghi A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV và CAA, DNSSEC được quản lý, và máy chủ tên riêng của bạn nếu bạn muốn (2 đến 13), nên các bản ghi được thêm trong cùng khu vực khách hàng với chuyển tiếp. Một dự án giữ bộ cốt lõi .com, .net, .org, .io, .xyz, .app, $128.94 mỗi năm, áp dụng cùng một bộ CAA cho cả sáu tên.
Cách thiết lập bản ghi CAA theo sáu bước
Liệt kê các tổ chức bạn dùng
Kiểm tra tổ chức nào cấp chứng chỉ cho trang chính, tài liệu và mọi wildcard của bạn, và ghi lại định danh nhà phát hành mà mỗi tổ chức công bố.
Kiểm tra bản ghi hiện có
Chạy dig CAA example.com +short để xem đã có bộ CAA ở đỉnh hoặc ở tên cha chưa.
Thêm một bản ghi issue cho mỗi tổ chức
Ở đỉnh, thêm một bản ghi CAA với flags 0, thẻ issue và định danh của tổ chức trong dấu ngoặc kép.
Kiểm soát wildcard riêng
Thêm một bản ghi issuewild nêu tổ chức được phép cấp wildcard, hoặc dấu chấm phẩy trong dấu ngoặc kép nếu bạn không muốn có wildcard nào.
Thêm địa chỉ báo cáo
Thêm một bản ghi iodef với địa chỉ mailto mà một người sẽ đọc.
Kiểm thử, rồi theo dõi việc cấp
Chạy lại dig CAA, yêu cầu hoặc gia hạn một chứng chỉ để xác nhận việc cấp vẫn hoạt động, và đặt cảnh báo Certificate Transparency cho tên của bạn.
Những lỗi nào làm hỏng việc cấp chứng chỉ?
Lỗi thường gặp là nêu thiếu một tổ chức mà bạn quên là mình đang dùng. Các nền tảng lưu trữ, dịch vụ phân phối nội dung và nhà cung cấp email đôi khi tự yêu cầu chứng chỉ cho các tên con của bạn. Nếu bộ CAA của bạn bỏ sót họ, việc gia hạn sẽ thất bại, thường là âm thầm, cho đến khi chứng chỉ hết hạn. Hãy liệt kê mọi dịch vụ phục vụ một tên dưới tên miền của bạn trước khi công bố.
Lỗi thứ hai là định danh nhà phát hành viết sai, khiến mọi bên bị chặn, kể cả tổ chức bạn định cho phép. Hãy kiểm thử bằng một lần gia hạn thật. Lỗi thứ ba là quên rằng một bản ghi CAA ở tầng trên áp dụng cho một tên con không có bản ghi riêng, nên một đỉnh quá hạn chế có thể chặn việc gia hạn của tên con.
Thay đổi bản ghi không bao giờ thu hồi một chứng chỉ đã tồn tại. Nếu một chứng chỉ không mong đợi đã được cấp, hãy coi đó là một sự cố và làm theo các bước trong cách bảo vệ tên miền trước tấn công chiếm quyền DNS. trả lời email trong vòng 12 giờ, 7 ngày một tuần, kể cả hỗ trợ về DNSSEC, bản ghi CAA và báo cáo lạm dụng, kể cả trợ giúp về bản ghi CAA.
Câu hỏi về bản ghi CAA
Bản ghi CAA có hủy các chứng chỉ đã cấp không?
Không. RFC 8659 nói CAA chỉ phản ánh các ủy quyền hiện tại, nên thay đổi nó không ảnh hưởng đến các chứng chỉ đã cấp trước đó.
Tôi có cần bản ghi CAA trên mọi tên con không?
Không. Tổ chức cấp chứng chỉ leo lên các tên cha cho đến khi tìm thấy một bộ CAA, nên một bộ ở đỉnh bao phủ các tên con không có bộ riêng.
Dấu chấm phẩy trong bản ghi issue có nghĩa là gì?
Đó là nhà phát hành để trống, và nó cấm mọi việc cấp cho tên đó. Hãy dùng nó trên các tên miền không phục vụ HTTPS.
Kẻ tấn công có thể đổi bản ghi CAA của tôi không?
Có, nếu chúng kiểm soát DNS hoặc tài khoản nhà đăng ký của bạn. Đó là lý do CAA hoạt động cùng với tài khoản đã khóa và cảnh báo chứng chỉ.
Wardmint có hỗ trợ bản ghi CAA không?
Có. DNS lưu trữ miễn phí của Wardmint hỗ trợ bản ghi CAA, và bộ phận hỗ trợ giúp về chúng: trả lời email trong vòng 12 giờ, 7 ngày một tuần, kể cả hỗ trợ về DNSSEC, bản ghi CAA và báo cáo lạm dụng.
Tóm tắt
- Bản ghi CAA liệt kê các tổ chức cấp chứng chỉ được phép cấp cho một tên miền (RFC 8659).
- Cú pháp: flags, thẻ, giá trị, ví dụ 0 issue rồi tổ chức trong dấu ngoặc kép.
- Dùng issuewild cho wildcard và iodef cho báo cáo vi phạm; dấu chấm phẩy cấm việc cấp.
- Tổ chức cấp chứng chỉ leo lên các tên cha cho đến khi tìm thấy một bộ CAA; gốc không bao giờ được kiểm tra.
- CAA không ảnh hưởng đến các chứng chỉ đã cấp.
- Blockaid thấy các chứng chỉ được cấp cùng ngày với thay đổi DNS trong các vụ chiếm quyền tháng 2 năm 2026.
- DNS miễn phí của Wardmint hỗ trợ bản ghi CAA trên mọi tên miền.
Nguồn (2)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF / RFC Editor (đọc ngày 2026-11-12)
- Chiếm front end và bề mặt tấn công Web2 đe dọa các giao thức Web3 — Blockaid (đọc ngày 2026-11-12)