O que é um registro CAA?
Um registro CAA (Certification Authority Authorization) permite que um domínio declare quais autoridades certificadoras podem emitir certificados para ele. As CAs são obrigadas pelo CA/Browser Forum a respeitar esses registros, então eles reduzem o risco de emissão indevida — uma CA emitir erroneamente um certificado para o seu domínio. O CAA é uma proteção simples e poderosa para seus certificados TLS.
Como funcionam os registros CAA
Um registro CAA nomeia uma autoridade certificadora permitida pelo seu domínio. Antes de emitir, uma CA em conformidade verifica os registros CAA do seu domínio; se existem registros e nenhum lista essa CA, ela deve recusar. O registro tem três partes: uma flag, uma tag e um valor. As tags comuns são issue (autoriza uma CA a emitir certificados padrão), issuewild (controla especificamente certificados curinga) e iodef (uma URL ou mailto onde as CAs reportam violações de política). Por exemplo, issue "letsencrypt.org" permite que apenas a Let's Encrypt emita.
Como interpretar os resultados da consulta CAA
O IPeek lista os registros CAA do domínio, cada um com sua tag e valor. Leia as tags issue para ver quais CAs estão autorizadas — um valor como "letsencrypt.org" ou "digicert.com" nomeia a autoridade permitida. Uma tag issuewild restringe quem pode emitir certificados curinga. Um valor de issue igual a ";" (ponto e vírgula) significa que nenhuma CA está autorizada. Se o domínio não tem registros CAA, qualquer CA pública pode emitir, que é o padrão permissivo. Verifique se as CAs listadas correspondem aos provedores que você de fato usa para certificados.
Por que os registros CAA melhoram a segurança dos certificados
Sem o CAA, qualquer uma das dezenas de autoridades certificadoras públicas pode emitir um certificado para o seu domínio, então uma única CA comprometida ou enganada já basta para um atacante obter um certificado válido. O CAA restringe essa superfície de ataque apenas às CAs que você nomeia. Como o CA/Browser Forum exige que as CAs verifiquem o CAA antes de emitir, a proteção é imposta em todo o setor. Adicione a tag iodef e as CAs autorizadas podem notificá-lo sobre tentativas de violação de política, dando um alerta precoce de que alguém está tentando obter um certificado que não deveria.