CAA (Certification Authority Authorization), alan adı sahibinin hangi CA'ların sertifika düzenleyebileceğini DNS üzerinden bildirmesini sağlayan kayıt türüdür. CA'lar sertifika vermeden önce bu kaydı sorgulamak zorundadır; uyumsuz kayıt varsa düzenleme reddedilir.
Kaydın yapısı
- issue: Alan adı için sertifika düzenleyebilecek CA'yı belirtir.
- issuewild: Wildcard sertifikalar için izin verilen CA'yı belirtir; yoksa issue kuralı geçerli olur.
- iodef: İhlal veya hata durumunda bildirim gönderilecek adres.
alanadi.com. IN CAA 0 issue "digicert.com"
alanadi.com. IN CAA 0 issuewild "digicert.com"
alanadi.com. IN CAA 0 iodef "mailto:guvenlik@alanadi.com"CA tanımlayıcı alan adı (örneğin digicert.com, sectigo.com, letsencrypt.org) her CA'nın belgelerinde yer alır; kullandığınız CA'nın değerini onun dokümanından doğrulayın.
Nasıl sorgulanır?
dig CAA alanadi.com +short
nslookup -type=CAA alanadi.comCA, kaydı bulamazsa üst alan adlarına doğru ağaçta yukarı çıkarak arar; hiçbir yerde kayıt yoksa düzenlemeye izin verir.
Sertifika doğrulamasıyla ilişkisi
- Sertifika talebinde CA önce alan adının CAA kaydına bakar.
- Kendi tanımlayıcısı yoksa başvuru reddedilir ve CAA hatası verir.
- Alan adı kontrolü (DCV) ayrı bir adımdır; CAA izni tek başına sertifika anlamına gelmez.
Sık hatalar
- CA değiştirdiğinizde yeni CA'nın tanımlayıcısını eklemeyi unutmak, yenileme sırasında hata doğurur.
- Alt alan adında eski bir CAA kaydının üst alan adı kuralını ezmesi.
- Wildcard için issuewild tanımlayıp issue'yu unutmak veya tersi.
- DNS sağlayıcısının CAA kayıt türünü desteklememesi.
Önerilen uygulama
Kullandığınız CA'ları listeleyin, yalnızca onlara izin veren kayıtları girin ve iodef adresini izlenen bir kutuya yönlendirin. Kayıtları değiştirdikten sonra DNS önbelleğinin (TTL) dolmasını bekleyin. CA değiştirecekseniz yeni CA'nın tanımlayıcısını sertifika siparişinden önce ekleyin.
Kaydı eklemek sertifika güvenliğini artıran ücretsiz ve düşük riskli bir önlemdir. Ürün seçeneklerini SSL sertifikaları sayfasında inceleyebilir, mevcut sertifikanızın durumunu SSL kontrol aracıyla görebilirsiniz.