Qu'est-ce qu'un enregistrement CAA ?
Un enregistrement CAA (Certification Authority Authorization) permet à un domaine de déclarer quelles autorités de certification sont autorisées à émettre des certificats pour lui. Le CA/Browser Forum impose aux autorités de respecter ces enregistrements, ce qui réduit le risque d'émission erronée — une autorité émettant à tort un certificat pour votre domaine. CAA est un garde-fou simple et puissant pour vos certificats TLS.
Comment fonctionnent les enregistrements CAA
Un enregistrement CAA nomme une autorité de certification autorisée par son domaine. Avant d'émettre, une autorité conforme consulte les enregistrements CAA de votre domaine ; si des enregistrements existent et qu'aucun ne mentionne cette autorité, elle doit refuser. L'enregistrement comporte trois parties : un drapeau (flag), une étiquette (tag) et une valeur. Les étiquettes courantes sont issue (autorise une autorité à émettre des certificats standard), issuewild (contrôle spécifiquement les certificats génériques) et iodef (une URL ou un mailto où les autorités signalent les violations de politique). Par exemple, issue "letsencrypt.org" n'autorise que Let's Encrypt à émettre.
Comment lire les résultats de votre recherche CAA
IPeek liste les enregistrements CAA du domaine, chacun avec son étiquette et sa valeur. Lisez les étiquettes issue pour voir quelles autorités sont autorisées — une valeur comme "letsencrypt.org" ou "digicert.com" nomme l'autorité permise. Une étiquette issuewild restreint qui peut émettre des certificats génériques. Une valeur issue de ";" (point-virgule) signifie qu'aucune autorité n'est autorisée. Si le domaine n'a aucun enregistrement CAA, n'importe quelle autorité publique peut émettre, ce qui est le comportement permissif par défaut. Vérifiez que les autorités listées correspondent aux fournisseurs que vous utilisez réellement pour vos certificats.
Pourquoi les enregistrements CAA renforcent la sécurité des certificats
Sans CAA, n'importe laquelle des dizaines d'autorités de certification publiques peut émettre un certificat pour votre domaine : une seule autorité compromise ou trompée suffit alors à un attaquant pour obtenir un certificat valide. CAA réduit cette surface d'attaque aux seules autorités que vous nommez. Comme le CA/Browser Forum impose aux autorités de vérifier le CAA avant d'émettre, la protection est appliquée à l'échelle du secteur. Ajoutez l'étiquette iodef et les autorités autorisées pourront vous signaler les tentatives de violation de politique, vous alertant tôt si quelqu'un tente d'obtenir un certificat qu'il ne devrait pas.