CAA Record Yapılandırması

CAA (Certification Authority Authorization), bir alan adı sahibinin DNS üzerinden "yalnızca şu CA'lar benim adıma sertifika verebilir" demesini sağlayan kayıt türüdür. CA'lar, sertifika vermeden önce CAA kaydını kontrol etmek zorundadır; kayıt, listede olmayan bir CA'nın talebini reddettirir.

Kayıt yapısı

Her kayıt bir flag, bir tag ve bir value içerir. Yaygın etiketler:

• issue: Normal (wildcard olmayan) sertifika verebilecek CA.
• issuewild: Wildcard sertifika verebilecek CA.
• iodef: İhlal veya hatalı talep bildirimi için e-posta/URL.

Örnek kayıtlar

alanadi.com.  IN  CAA  0 issue "sectigo.com"
alanadi.com.  IN  CAA  0 issuewild "sectigo.com"
alanadi.com.  IN  CAA  0 iodef "mailto:guvenlik@alanadi.com"

Kullandığınız CA'nın CAA için istediği alan adı değerini (ör. "sectigo.com", "digicert.com", "letsencrypt.org") CA'nın dokümanlarından kontrol edin; yanlış değer kendi sertifikanızı da engeller.

Adım adım

1. Kullandığınız ve kullanmayı planladığınız tüm CA'ları listeleyin (ücretsiz otomasyon araçları dahil).
2. DNS panelinizde CAA kaydı ekleyin (tür: CAA). Panelde desteklenmiyorsa DNS sağlayıcınıza sorun.
3. Kaydı doğrulayın: dig CAA alanadi.com +short
4. Yeni sertifika talebinin başarılı olduğunu test edin.

Dikkat edilecekler

• CAA, alt alan adlarına devralınır; bir alt alan adı için farklı kayıt yazarak geçersiz kılabilirsiniz.
• CA değiştirirken önce yeni CA'yı kayda ekleyin, yeni sertifika alındıktan sonra eskisini kaldırın.
• CAA kaydı sertifika doğrulama yöntemini değil, yalnızca yetkili CA'yı kısıtlar.
• DNSSEC ile birlikte kullanıldığında kaydın değiştirilmesi de zorlaşır.

Sık görülen hatalar

• Wildcard sertifika alıp yalnızca issue yazmak; wildcard için issuewild ayrıca değerlendirilir.
• DNS sağlayıcısının CAA kaydını desteklemediğini fark etmemek.
• CA'nın CAA alan adını yanlış yazmak.
• Alt alan adında eski bir CAA kaydının üst kaydı gölgelemesi.
• Otomatik sertifika araçlarının kullandığı CA'yı listeye eklemeyi unutmak.

Sertifika temin etmeden önce CAA kontrolü yapmak, "CAA kaydı nedeniyle reddedildi" hatasını önler. Seçenekler için SSL sertifikaları, doğrulama sırasında sorun yaşarsanız SSL sorun giderici sayfasına bakabilirsiniz.