CAA záznamy

Certifikační autority musí před vystavením certifikátu zkontrolovat, zda jsou v DNS pro každou doménu uvedenou v žádosti o SSL certifikát či S/MIME certifikát přítomné záznamy CAA (TYPE 257) a pokud ano, zda tyto záznamy dané certifikační autoritě nebrání ve vystavení daného typu certifikátu.

CAA záznamy nejsou povinné

Pokud si tedy nejste jisti, jak s CAA záznamy pracovat, jednoduše je nepoužívejte a případné již existující CAA záznamy z DNS odeberte.

Typy CAA záznamů

CAA záznamy lze specifikovat pro různé typy certifikátů:

Typ certifikátu	CAA RRType	Příklad
Non-wildcard SSL	issue	example.com. CAA 0 issue "trust-provider.com"
Wildcard SSL	issuewild	example.com. CAA 0 issuewild "trust-provider.com"
S/MIME	issuemail	example.com. CAA 0 issuemail "trust-provider.com"

U typu issuemail se v e-mailové adrese vztahuje na doménu za znakem @, například při žádosti o S/MIME certifikát pro e-mailovou adresu test@example.com se ověřuje pro doménu example.com.

Hodnoty CAA podle CA

Certifikační autorita	Hodnota CAA záznamu
AlpiroSSL	trust-provider.com
Certum	certum.pl
Sectigo + PositiveSSL + InstantSSL + EnterpriseSSL	sectigo.com usertrust.com
DigiCert + GeoTrust + Thawte + RapidSSL + Symantec	digicert.com
GlobalSign + AlphaSSL	globalsign.com

Příklady konfigurace CAA

Příklad 1:

example.com.

CAA

0 issue "trust-provider.com"

Výše uvedený příklad konfigurace CAA záznamů umožní vystavit:

wildcard i non-wildcard SSL certifikáty AlpiroSSL
S/MIME certifikáty kterékoliv certifikační autority

Příklad 2:

example.com.

CAA

0 issuemail "trust-provider.com"

Výše uvedený příklad konfigurace CAA záznamů umožní vystavit:

pouze S/MIME certifikáty Alpiro
SSL certifikáty kterékoliv certifikační autority

Příklad 3:

example.com.	CAA	0 issue "trust-provider.com"
		0 issue "sectigo.com"
		0 issuewild "sectigo.com"
		0 issuewild "globalsign.com"
		0 issuemail "certum.pl"

Výše uvedený příklad konfigurace CAA záznamů umožní vystavit:

pouze non-wildcard SSL certifikáty AlpiroSSL
non-wildcard i wildcard SSL certifikáty Sectigo
pouze wildcard SSL certifikáty GlobalSign
pouze S/MIME certifikáty Certum

Příklad 4:

example.com.

CAA

0 issuemail ""

Výše uvedený příklad konfigurace CAA záznamů znamená, že:

nelze vystavit žádné S/MIME certifikáty
lze vystavit SSL certifikáty kterékoliv certifikační autority

CAA u subdomén

Certifikační autorita nejprve zjišťuje přítomnost CAA záznamů u všech subdomén (domén III. řádu, IV. a nižších řádů) uvedených v žádosti o SSL certifikát a pokud žádné nastavené nejsou, postupuje až k doméně II. řádu.

Například pro doménu IV. řádu client.secure.ssls.cz bude certifikační autorita zjišťovat přítomnost CAA záznamů v DNS v tomto pořadí:

client.secure.ssls.cz — status: NOERROR, CAA záznamy: žádné
↳ secure.ssls.cz — status: NOERROR, CAA záznamy: žádné
↳ ssls.cz — status: NOERROR, CAA záznamy: žádné nebo správné
↳ OK — SSL certifikát může být vystaven

K těmto systematickým krokům však dojde pouze pokud DNS server nevrátí žádné CAA záznamy, zatímco DNS v hlavičce vrátí status: NOERROR. Nastane-li situace, kdy DNS server nevrátí žádné CAA záznamy (což je jinak v pořádku), ale v hlavičce DNS odpovědi je zároveň například status: SERVFAIL či status: REFUSED, pak certifikační autorita bude považovat informaci o nepřítomnosti CAA záznamů za nespolehlivou a k vystavení SSL certifikátu nedojde, dokud nebude konfigurace DNS serveru opravena.