CAA (Certification Authority Authorization) je vrsta zapisa DNS, s katero določiš, kateri izdajatelji potrdil (CA) smejo za tvojo domeno izdati potrdilo SSL. Izdajatelji potrdil morajo pred izdajo obvezno preveriti zapis CAA in, če v njem niso navedeni, zahtevo zavrniti.

Zapis CAA ni obvezen. Če domena nima zapisa CAA, lahko zanjo potrdilo izda kateri koli izdajatelj (seveda le po uspešnem preverjanju domene).

Čemu služi?

Zapis CAA je dodatna varnostna plast: tudi če bi napadalec nekako prestal preverjanje manj strogega izdajatelja, ta izdajatelj potrdila za domeno ne bi smel izdati, ker ni naveden v zapisu CAA. V večjih organizacijah je uporaben tudi zato, da zaposleni brez odobritve ne zahtevajo potrdila pri drugem izdajatelju.

Kako je videti?

pelda.hu.  CAA  0 issue "letsencrypt.org"
pelda.hu.  CAA  0 issue "sectigo.com"
pelda.hu.  CAA  0 issuewild "sectigo.com"
pelda.hu.  CAA  0 iodef "mailto:it@pelda.hu"

Oznaka	Pomen
issue	Ta izdajatelj sme izdati potrdilo za domeno (tudi wildcard, če ni ločenega zapisa issuewild).
issuewild	Ta izdajatelj sme izdati potrdilo wildcard (*.pelda.hu). Če tak zapis obstaja, smejo potrdilo wildcard izdati le tu navedeni izdajatelji.
iodef	Na ta naslov lahko izdajatelji sporočijo, če so zavrnili nepravilno zahtevo.

0 na začetku je zastavica (flag), pusti jo na 0. Zapis velja tudi za poddomene, razen če ima poddomena svoj zapis CAA.

Kakšno vrednost navesti?

V zapisu CAA mora biti naveden vsak izdajatelj, od katerega dobiš potrdilo za domeno:

Potrdilo	Vrednost
Brezplačno potrdilo na gostovanju (AutoSSL, Let’s Encrypt)	letsencrypt.org
Plačljivo potrdilo s portala za stranke (izdaja ga Sectigo)	sectigo.com
Domena za proxyjem Cloudflare	izdajatelji, ki jih uporablja Cloudflare (Cloudflare zapise CAA samodejno dopolni, če je proxy vklopljen)

Če uporabljaš še drugega izdajatelja (na primer Google Trust Services, DigiCert), dodaj tudi njegovo ime. Točno vrednost najdeš v dokumentaciji izdajatelja.

Pomembno: če nastaviš zapis CAA in v njem pozabiš izdajatelja, od tega izdajatelja ob naslednjem podaljšanju ne dobiš potrdila. To je eden pogostih vzrokov napak AutoSSL: če v zapisu CAA manjka letsencrypt.org, podaljšanje brezplačnega potrdila spodleti.

Kako ga nastavim?

Če domena uporablja naše imenske strežnike:

1. Prijavi se v cPanel in v razdelku Domene klikni ikono Urejevalnik con (Zone Editor).
2. Ob domeni klikni gumb Upravljaj (Manage).
3. Klikni puščico ob gumbu Dodaj zapis (Add Record) in izberi možnost Dodaj zapis CAA.
4. Vnesi ime (domena), oznako (issue, issuewild ali iodef) in vrednost (na primer letsencrypt.org), nato shrani.

Če DNS upravljaš drugje (na primer pri Cloudflare ali registrarju domene), moraš zapis dodati tam.

Kako ga preverim?

Zapise CAA domene poizveš z ukazom dig:

dig CAA pelda.hu +short

Če ukaz ne vrne ničesar, domena nima zapisa CAA, kar pomeni, da lahko zanjo potrdilo izda kateri koli izdajatelj. O vrstah zapisov DNS na splošno beri v članku Vrste zapisov DNS.