A CAA (Certification Authority Authorization) egy DNS rekordtípus, amellyel megadhatja, mely tanúsítványkiadók (CA-k) adhatnak ki SSL tanúsítványt a domainjére. A tanúsítványkiadóknak a kiadás előtt kötelező ellenőrizniük a CAA rekordot, és ha nem szerepelnek benne, el kell utasítaniuk a kérést.
A CAA rekord nem kötelező. Ha a domainnek nincs CAA rekordja, bármelyik tanúsítványkiadó kiadhat rá tanúsítványt (természetesen csak sikeres domain-validáció után).
Mire jó?
A CAA rekord egy plusz biztonsági réteg: ha egy támadó valamilyen módon át is jutna egy kevésbé szigorú tanúsítványkiadó ellenőrzésén, az a kiadó nem adhatna ki tanúsítványt a domainre, mert nem szerepel a CAA rekordban. Nagyobb szervezeteknél arra is jó, hogy a munkatársak ne igényeljenek tanúsítványt jóváhagyás nélkül, más kiadótól.
Hogyan néz ki?
pelda.hu. CAA 0 issue "letsencrypt.org"
pelda.hu. CAA 0 issue "sectigo.com"
pelda.hu. CAA 0 issuewild "sectigo.com"
pelda.hu. CAA 0 iodef "mailto:it@pelda.hu"
| Címke | Jelentése |
|---|---|
issue |
Ez a kiadó adhat ki tanúsítványt a domainre (wildcard-ot is, ha nincs külön issuewild rekord). |
issuewild |
Ez a kiadó adhat ki wildcard (*.pelda.hu) tanúsítványt. Ha van ilyen rekord, wildcard tanúsítványt csak az itt felsorolt kiadók adhatnak ki. |
iodef |
Erre a címre jelezhetik a kiadók, ha szabálytalan igénylést utasítottak el. |
Az elején álló 0 a jelző (flag), ezt hagyja 0-n. A rekord az aldomainekre is vonatkozik, hacsak az aldomainnek nincs saját CAA rekordja.
Milyen értéket adjak meg?
A CAA rekordban minden olyan kiadónak szerepelnie kell, amelytől a domainre tanúsítványt kap:
| Tanúsítvány | Érték |
|---|---|
| Ingyenes tanúsítvány a tárhelyen (AutoSSL, Let’s Encrypt) | letsencrypt.org |
| Fizetős tanúsítvány az Ügyfélportálról (Sectigo által kiadott) | sectigo.com |
| Cloudflare proxy mögött lévő domain | a Cloudflare által használt kiadók (a Cloudflare a CAA rekordokat automatikusan kiegészíti, ha a proxy be van kapcsolva) |
Ha más kiadót is használ (például Google Trust Services, DigiCert), annak a nevét is vegye fel. A pontos értéket a kiadó dokumentációjában találja.
Fontos: ha CAA rekordot állít be, és kifelejt belőle egy kiadót, attól a kiadótól a következő megújításkor nem kap tanúsítványt. Ez a AutoSSL hibák egyik gyakori oka: ha a CAA rekordból hiányzik a letsencrypt.org, az ingyenes tanúsítvány megújítása elbukik.
Hogyan állíthatom be?
Ha a domain a mi névszervereinket használja:
- Jelentkezzen be a cPanelbe, és a Domainek részben kattintson a Zónaszerkesztő (Zone Editor) ikonra.
- A domain mellett kattintson a Kezelés (Manage) gombra.
- Kattintson a Rekord hozzáadása (Add Record) gomb melletti nyílra, és válassza a CAA rekord hozzáadása lehetőséget.
- Adja meg a nevet (a domain), a címkét (
issue,issuewildvagyiodef) és az értéket (példáulletsencrypt.org), majd mentse.
Ha a DNS-t máshol kezeli (például a Cloudflare-nél vagy a domainregisztrátornál), ott kell felvennie a rekordot.
Hogyan ellenőrizhetem?
A domain CAA rekordjait a dig paranccsal kérdezheti le:
dig CAA pelda.hu +short
Ha a parancs nem ad vissza semmit, a domainnek nincs CAA rekordja, vagyis bármelyik kiadó kiadhat rá tanúsítványt. A DNS rekordtípusokról általánosan a DNS rekordok típusai cikkben olvashat.
