Che cos'è un record CAA?
Un record CAA (Certification Authority Authorization) consente a un dominio di dichiarare quali certificate authority possono emettere certificati per esso. Le CA sono tenute dal CA/Browser Forum a rispettare questi record, quindi riducono il rischio di emissione errata — una CA che emette per sbaglio un certificato per il tuo dominio. CAA è una barriera di protezione semplice e potente per i tuoi certificati TLS.
Come funzionano i record CAA
Un record CAA nomina una certificate authority autorizzata tramite il suo dominio. Prima di emettere, una CA conforme controlla i record CAA del tuo dominio; se esistono record e nessuno elenca quella CA, deve rifiutare. Il record ha tre parti: un flag, un tag e un valore. I tag comuni sono issue (autorizza una CA a emettere certificati standard), issuewild (controlla specificamente i certificati wildcard) e iodef (un URL o mailto dove le CA segnalano le violazioni di policy). Ad esempio, issue "letsencrypt.org" permette solo a Let's Encrypt di emettere.
Come interpretare i risultati di una ricerca CAA
IPeek elenca i record CAA del dominio, ciascuno con il suo tag e valore. Leggi i tag issue per vedere quali CA sono autorizzate — un valore come "letsencrypt.org" o "digicert.com" nomina l'autorità consentita. Un tag issuewild limita chi può emettere certificati wildcard. Un valore issue di ";" (punto e virgola) significa che nessuna CA è autorizzata. Se il dominio non ha record CAA, qualsiasi CA pubblica può emettere, che è il comportamento predefinito permissivo. Verifica che le CA elencate corrispondano ai provider che usi effettivamente per i certificati.
Perché i record CAA migliorano la sicurezza dei certificati
Senza CAA, una qualsiasi delle decine di certificate authority pubbliche può emettere un certificato per il tuo dominio, quindi una singola CA compromessa o ingannata basta a un aggressore per ottenere un certificato valido. CAA restringe quella superficie di attacco alle sole CA che nomini. Poiché il CA/Browser Forum impone che le CA controllino il CAA prima di emettere, la protezione è applicata a livello di intero settore. Aggiungi il tag iodef e le CA autorizzate potranno avvisarti dei tentativi di violazione della policy, dandoti un allarme precoce su chi cerca di ottenere un certificato che non dovrebbe.