Der CAA-Eintrag (Certification Authority Authorization) ist ein DNS-Eintragstyp, mit dem Sie festlegen können, welche Zertifizierungsstellen (CAs) SSL-Zertifikate für Ihre Domain ausstellen dürfen. Die Zertifizierungsstellen sind verpflichtet, vor der Ausstellung den CAA-Eintrag zu überprüfen; sollten sie darin nicht aufgeführt sein, müssen sie den Antrag ablehnen.

Ein CAA-Eintrag ist nicht zwingend erforderlich. Verfügt die Domain über keinen CAA-Eintrag, kann jede Zertifizierungsstelle ein Zertifikat für diese Domain ausstellen (natürlich erst nach erfolgreicher Domain-Validierung).

Wozu dient das?

Der CAA-Eintrag stellt eine zusätzliche Sicherheitsebene dar: Selbst wenn ein Angreifer die Überprüfung durch eine weniger strenge Zertifizierungsstelle irgendwie umgehen könnte, dürfte diese keine Zertifikate für die Domain ausstellen, da sie nicht im CAA-Eintrag aufgeführt ist. Bei größeren Organisationen dient dies zudem dazu, zu verhindern, dass Mitarbeiter ohne Genehmigung ein Zertifikat von einem anderen Zertifikatsaussteller beantragen.

Wie sieht das aus?

pelda.hu.  CAA  0 issue "letsencrypt.org"
pelda.hu.  CAA  0 issue "sectigo.com"
pelda.hu.  CAA  0 issuewild "sectigo.com"
pelda.hu.  CAA  0 iodef "mailto:it@pelda.hu"

Stichwort	Bedeutung
issue	Dieser Registrar kann ein Zertifikat für die Domain ausstellen (auch ein Wildcard-Zertifikat, sofern kein separater „issuewild“-Eintrag vorhanden ist).
issuewild	Diese Zertifizierungsstelle darf Wildcard-Zertifikate (*.pelda.hu) ausstellen. Sofern ein solcher Eintrag vorhanden ist, dürfen Wildcard-Zertifikate nur von den hier aufgeführten Zertifizierungsstellen ausgestellt werden.
iodef	An diese Adresse können sich die Herausgeber wenden, wenn sie einen unzulässigen Antrag abgelehnt haben.

Die führende 0 ist das Kennzeichen (Flag); lassen Sie diese auf 0 stehen. Der Eintrag gilt auch für Subdomains, sofern die Subdomain keinen eigenen CAA-Eintrag besitzt.

Welchen Wert soll ich angeben?

Im CAA-Eintrag muss jeder Zertifikatsaussteller aufgeführt sein, von dem die Domain ein Zertifikat erhält:

Zertifikat	Wert
Kostenloses Zertifikat für das Webhosting (AutoSSL, Let’s Encrypt)	letsencrypt.org
Kostenpflichtiges Zertifikat über den Kundenbereich (ausgestellt von Sectigo)	sectigo.com
Domain hinter einem Cloudflare-Proxy	Von Cloudflare verwendete Nameserver (Cloudflare ergänzt die CAA-Einträge automatisch, wenn der Proxy aktiviert ist)

Falls Sie einen weiteren Zertifikatsaussteller nutzen (z. B. Google Trust Services, DigiCert), geben Sie bitte auch dessen Namen an. Den genauen Wert finden Sie in der Dokumentation des jeweiligen Ausstellers.

Wichtig: Wenn Sie einen CAA-Eintrag einrichten und dabei einen Aussteller vergessen, erhalten Sie bei der nächsten Verlängerung kein Zertifikat von diesem Aussteller. Dies ist eine der häufigsten Ursachen für AutoSSL-Fehler: Fehlt „letsencrypt.org“ im CAA-Eintrag, schlägt die Verlängerung des kostenlosen Zertifikats fehl.

Wie kann ich dies einrichten?

Wenn Ihre Domain unsere Nameserver nutzt:

1. Melden Sie sich bei cPanel an und klicken Sie im Bereich „Domains“ auf das Symbol „Zone-Editor“.
2. Klicken Sie neben der Domain auf die Schaltfläche „Verwalten“ (Manage).
3. Klicken Sie auf den Pfeil neben der Schaltfläche „Eintrag hinzufügen“ (Add Record) und wählen Sie die Option „CAA-Eintrag hinzufügen“ aus.
4. Geben Sie den Namen (die Domain), das Label (issue, issuewild oder iodef) und den Wert (beispielsweise letsencrypt.org) ein und speichern Sie die Angaben.

Falls Sie Ihre DNS-Einstellungen anderweitig verwalten (beispielsweise bei Cloudflare oder bei Ihrem Domain-Registrar), müssen Sie den Eintrag dort vornehmen.

Wie kann ich dies überprüfen?

Sie können die CAA-Einträge der Domain mit dem Befehl „dig“ abfragen:

dig CAA pelda.hu +short

Wenn der Befehl keine Ergebnisse liefert, verfügt die Domain über keinen CAA-Eintrag, was bedeutet, dass jeder Zertifikatsaussteller ein Zertifikat dafür ausstellen kann. Allgemeine Informationen zu den verschiedenen DNS-Eintragstypen finden Sie im Artikel „Arten von DNS-Einträgen“.