¿Qué es un registro CAA?
Un registro CAA (Certification Authority Authorization) permite que un dominio declare qué autoridades de certificación pueden emitir certificados para él. La CA/Browser Forum obliga a las CA a respetar estos registros, por lo que reducen el riesgo de mis-emisión: que una CA emita por error un certificado para tu dominio. CAA es una barrera de protección sencilla y potente para tus certificados TLS.
Cómo funcionan los registros CAA
Un registro CAA nombra una autoridad de certificación permitida por su dominio. Antes de emitir, una CA conforme comprueba los registros CAA de tu dominio; si existen registros y ninguno lista esa CA, debe rechazar. El registro tiene tres partes: un flag, una etiqueta y un valor. Las etiquetas habituales son issue (autoriza a una CA a emitir certificados estándar), issuewild (controla específicamente los certificados comodín) e iodef (una URL o mailto donde las CA reportan violaciones de política). Por ejemplo, issue "letsencrypt.org" permite emitir solo a Let's Encrypt.
Cómo leer tus resultados de la consulta CAA
IPeek lista los registros CAA del dominio, cada uno con su etiqueta y valor. Lee las etiquetas issue para ver qué CA están autorizadas; un valor como "letsencrypt.org" o "digicert.com" nombra la autoridad permitida. Una etiqueta issuewild restringe quién puede emitir certificados comodín. Un valor issue de ";" (punto y coma) significa que ninguna CA está autorizada en absoluto. Si el dominio no tiene registros CAA, cualquier CA pública puede emitir, que es el valor permisivo por defecto. Comprueba que las CA listadas coincidan con los proveedores que realmente usas para tus certificados.
Por qué los registros CAA mejoran la seguridad de los certificados
Sin CAA, cualquiera de las decenas de autoridades de certificación públicas puede emitir un certificado para tu dominio, así que basta con una única CA comprometida o engañada para que un atacante obtenga un certificado válido. CAA reduce esa superficie de ataque solo a las CA que nombras. Como la CA/Browser Forum exige que las CA comprueben CAA antes de emitir, la protección se aplica en todo el sector. Añade la etiqueta iodef y las CA autorizadas podrán notificarte intentos de violación de política, dándote un aviso temprano de que alguien intenta obtener un certificado que no debería.