Om du har följt kapitlen om DNS-posttyper vet du att varje post i din DNS-zon har ett särskilt syfte. A-poster pekar på servrar. MX-poster dirigerar e-post. TXT-poster hanterar verifiering och e-postsäkerhet. En CAA-post gör något annat. Den styr vem som får utfärda SSL-certifikat för ditt domännamn.
Utan en CAA-post kan vilken certifikatutfärdare som helst i världen utfärda ett certifikat för din domän om någon begär ett. Det kan låta ofarligt, men det öppnar dörren för att certifikat utfärdas av utfärdare som du aldrig valt och aldrig godkänt. En CAA-post stänger den dörren och ger dig kontrollen.
Vad står CAA för?
CAA står för certificate authority authorization, auktorisering av certifikatutfärdare. Namnet säger exakt vad posten gör. Den ger specifika certifikatutfärdare (CA) tillstånd att utfärda SSL-certifikat för din domän och säger åt alla andra CA att vägra.
Certifikatutfärdare är organisationerna som ansvarar för att verifiera att en domänägare är den den utger sig för att vara och sedan utfärda SSL-certifikatet som möjliggör HTTPS. Det finns dussintals CA som verkar runt om i världen. Utan en CAA-post är din domän öppen för alla. Med en väljer du vilka som har tillstånd.
Hur ser en CAA-post ut?
En CAA-post har tre huvuddelar som samverkar. Så här betyder var och en.
- Flagga (flag) är ett tal som styr hur posten hanteras. I de flesta upplägg är den satt till 0. En flagga på 128 talar om för en CA att om den inte förstår postens tagg måste den vägra utfärda certifikatet i stället för att ignorera posten
- Tagg (tag) talar om för CA vilken sorts tillstånd eller instruktion posten innehåller. Det finns tre taggtyper, som förklaras i detalj nedan
- Värde (value) är namnet på certifikatutfärdaren som auktoriseras eller kontaktadressen för rapportering. Det står alltid inom citattecken
Så här ser en enkel CAA-post ut i en DNS-panel.
- Värdnamn satt till @
- Typ satt till CAA
- Flagga satt till 0
- Tagg satt till issue
- Värde satt till "exempel-ca.org"
Den posten säger en sak. Bara den certifikatutfärdaren får utfärda vanliga SSL-certifikat för den här domänen. Varje annan CA som får en begäran om certifikat för din domän måste först kontrollera dina CAA-poster och vägra om den inte finns på listan.
Vilka är de tre taggtyperna för CAA-poster?
Varje CAA-post använder en av tre taggar. Taggen talar om för certifikatutfärdare vilken sorts instruktion posten innehåller.
Taggen "issue"
Taggen issue är den vanligaste. Den namnger en certifikatutfärdare som får utfärda vanliga SSL-certifikat för din domän. Om du vill tillåta två olika CA lägger du till två separata CAA-poster, var och en med taggen issue och olika CA-namn.
Om din domän till exempel använder certifikat från två olika utfärdare skulle du ha två CAA-poster.
- 0 issue "exempel-ca.org"
- 0 issue "annan-ca.com"
Om du vill blockera all utfärdning helt kan du sätta issue-värdet till ett semikolon utan något efter. Då talar du om för varje CA i världen att ingen har tillstånd att utfärda certifikat för din domän.
Taggen "issuewild"
Taggen issuewild fungerar som issue, men gäller bara jokertecken-certifikat (wildcard). Ett wildcard-certifikat täcker din huvuddomän och alla dess underdomäner på en gång (som *.dindomän.com).
Om du ställer in en issuewild-post styr den vilka CA som får utfärda wildcard-certifikat, separat från vilka som får utfärda vanliga. Det är användbart om du vill ha en CA som sköter dina vanliga certifikat och en annan som sköter wildcard-certifikat, eller om du vill blockera wildcard-certifikat helt men fortfarande tillåta vanliga.
Om det inte finns någon issuewild-post gäller taggen issue som standard för både vanliga certifikat och wildcard-certifikat.
Taggen "iodef"
Taggen iodef styr inte vem som får utfärda certifikat. I stället talar den om för CA vart de ska skicka en rapport om någon försöker begära ett certifikat som bryter mot din CAA-policy.
Värdet är oftast en e-postadress eller en URL. Till exempel.
- 0 iodef "mailto:security@dindomän.com"
Det betyder att om en CA får en begäran om certifikat för din domän och din CAA-post säger att den CA:n inte har tillstånd bör CA:n skicka ett meddelande till den e-postadressen. Inte alla CA stöder iodef-rapportering, men de som gör det ger dig insyn i obehöriga certifikatbegäranden.
Hur lägger du till en CAA-post?
Att lägga till en CAA-post följer en liknande process som att lägga till vilken annan DNS-post som helst. Om du har lagt till en TXT-post eller en A-post tidigare känns det igen.
- Logga in i den DNS-hanteringspanel där din domäns namnservrar är inställda. Det är oftast din domänregistrator eller din hostingleverantör
- Hitta avsnittet för DNS-poster eller DNS-zonredigeraren
- Klicka på alternativet för att lägga till en ny post
- Välj CAA som posttyp
- Sätt flaggan till 0 om du inte har ett särskilt skäl att använda 128
- Välj taggtyp. Använd "issue" för vanliga certifikat, "issuewild" för wildcard-certifikat eller "iodef" för rapporter om överträdelser
- Ange värdet. För issue och issuewild är det CA:ns domännamn. För iodef är det en e-postadress eller en rapporterings-URL
- Spara posten
Om du vill auktorisera mer än en CA lägger du till en separat CAA-post för var och en. DNS-ändringar kan ta allt från några minuter till 48 timmar att spridas. Läs kapitlet om hur DNS fungerar för mer om det.
Behöver du en CAA-post?
En CAA-post är inte obligatorisk. Din domän fungerar utmärkt utan en, och ditt SSL-certifikat fungerar fortfarande. Men en CAA-post ger ett användbart lager av domänsäkerhet som inte kostar något att ställa in.
Utan en CAA-post kan vilken certifikatutfärdare som helst utfärda ett SSL-certifikat för din domän om någon begär ett. I de flesta fall är det inget problem, eftersom CA har egna verifieringssteg. Men de stegen är inte ofelbara. Det har förekommit fall där certifikat utfärdats till fel personer, antingen på grund av misstag eller hos CA med svagare valideringsprocesser.
Med en CAA-post på plats kan bara de CA du uttryckligen namngett utfärda certifikat. Alla andra CA måste vägra, även om den som begär certifikatet klarar deras vanliga kontroller. Det är ett litet tillägg i din DNS-zon som minskar en hel kategori av risk.
Vad händer om din CAA-post blockerar en legitim begäran?
Om du lägger till en CAA-post som namnger en CA och sedan försöker få ett certifikat från en annan CA misslyckas begäran. CA:n kontrollerar dina CAA-poster, ser att den inte har tillstånd och vägrar utfärda certifikatet.
Det är inget fel. Det är hela poängen. Men det betyder att du behöver hålla dina CAA-poster i takt med den CA som din hostingleverantör eller webbplatsplattform använder. Om du byter hostingleverantör och den nya leverantören använder en annan CA måste du uppdatera dina CAA-poster så att den nya ingår.
Lösningen är enkel. Antingen lägger du till en ny CAA-post för den nya CA:n eller så uppdaterar du den befintliga. Det viktiga är att kontrollera dina CAA-poster varje gång du byter SSL-leverantör eller hostinglösning.
Så hanterar WEMASY CAA-poster
När du bygger en webbplats med WEMASY och ansluter en egen domän ordnar och hanterar WEMASY ditt SSL-certifikat automatiskt. Om du vill lägga till en CAA-post för extra säkerhet talar WEMASYs guide för domäninställning om vilken CA du ska auktorisera, så att din certifikatförnyelse aldrig blockeras.
WEMASY sköter SSL, hosting och domänkonfiguration på ett ställe, så du behöver inte oroa dig för att felaktiga CAA-poster förstör ditt certifikat. Om du lägger till en CAA-post ska du bara se till att den inkluderar den CA som WEMASY använder. Se vad som ingår i varje plan på sidan WEMASYs prissida.
Vad kommer härnäst?
Nu när du förstår hur en CAA-post styr vilka certifikatutfärdare som får utfärda SSL-certifikat för din domän handlar nästa kapitel om SRV-poster. SRV-poster talar om för internet var specifika tjänster som körs på din domän finns, som VoIP- eller chattservrar. För en överblick över alla posttyper och när du ska använda var och en, se kapitlet om DNS-posttyper.
Vanliga frågor
Påverkar en CAA-post webbplatsens hastighet eller drifttid?
Nej. CAA-poster kontrolleras bara när en certifikatutfärdare behandlar en ny begäran om certifikat. De är inte inblandade i hur din webbplats laddas eller hur besökare når dina sidor. Webbplatsens hastighet och drifttid beror på din hosting, din A-post och serverns prestanda, inte på dina CAA-inställningar. Med WEMASYs webbplatsbyggare kan du ställa in detta direkt på din webbplats.
Vad händer om du inte har några CAA-poster alls?
Om din domän inte har några CAA-poster får varje certifikatutfärdare i världen utfärda certifikat för den. Det är standardläget för de flesta domäner. Det orsakar inget omedelbart problem, men det betyder att det inte finns någon begränsning av vem som kan få ett SSL-certifikat i din domäns namn.
Kan du ha CAA-poster på underdomäner?
Ja. Du kan ställa in CAA-poster på specifika underdomäner för att styra certifikatutfärdandet mer detaljerat. Om en underdomän har en egen CAA-post går den före posten på rotdomänen. Om det inte finns någon CAA-post på underdomänen kontrollerar CA:n i stället den överordnade domänens CAA-poster.
Hur tar du reda på vilken CA din hostingleverantör använder?
Det enklaste är att kontrollera ditt nuvarande SSL-certifikat. I de flesta webbläsare kan du klicka på hänglåsikonen i adressfältet, se certifikatets uppgifter och se vilken CA som utfärdade det. Du kan också kontakta din hostingleverantör direkt. Det finns både ideella och kommersiella certifikatutfärdare att välja bland.
Hindrar en CAA-post att någon skapar en falsk version av din webbplats?
En CAA-post gör det svårare för någon att få ett legitimt SSL-certifikat för din domän från en obehörig CA. Den förhindrar inte alla former av nätfiske eller identitetsstöld, men den tar bort en väg som en angripare kunde ta. Tillsammans med starka lösenord, WHOIS-skydd och ett säkert konto hos domänregistratorn är en CAA-post en del av en bredare säkerhetslösning.