Что такое запись CAA?
Запись CAA (Certification Authority Authorization) позволяет домену объявить, какие удостоверяющие центры могут выпускать для него сертификаты. CA обязаны соблюдать эти записи по требованию CA/Browser Forum, так что они снижают риск ошибочного выпуска — когда CA неправомерно выпускает сертификат для вашего домена. CAA — это простой и мощный барьер для ваших TLS-сертификатов.
Как работают записи CAA
Запись CAA называет разрешённый удостоверяющий центр по его домену. Перед выпуском совместимый CA проверяет записи CAA вашего домена; если записи существуют и ни одна не перечисляет этот CA, он обязан отказать. Запись состоит из трёх частей: флага, тега и значения. Распространённые теги — issue (авторизует CA выпускать стандартные сертификаты), issuewild (контролирует именно wildcard-сертификаты) и iodef (URL или mailto, куда CA сообщают о нарушениях политики). Например, issue "letsencrypt.org" разрешает выпуск только Let's Encrypt.
Как читать результаты запроса CAA
IPeek перечисляет записи CAA на домене, каждую с её тегом и значением. Читайте теги issue, чтобы увидеть, какие CA авторизованы — значение вроде "letsencrypt.org" или "digicert.com" называет разрешённый центр. Тег issuewild ограничивает, кто может выпускать wildcard-сертификаты. Значение issue, равное ";" (точка с запятой), означает, что не авторизован ни один CA вообще. Если у домена нет записей CAA, выпускать может любой публичный CA — разрешительное поведение по умолчанию. Проверьте, что перечисленные CA соответствуют провайдерам, которых вы действительно используете для сертификатов.
Почему записи CAA повышают безопасность сертификатов
Без CAA любой из десятков публичных удостоверяющих центров может выпустить сертификат для вашего домена, так что одного скомпрометированного или обманутого CA достаточно, чтобы злоумышленник получил валидный сертификат. CAA сужает эту поверхность атаки только до тех CA, которые вы называете. Поскольку CA/Browser Forum предписывает CA проверять CAA перед выпуском, защита обеспечивается в масштабах всей отрасли. Добавьте тег iodef, и авторизованные CA смогут уведомлять вас о попытках нарушения политики, давая раннее предупреждение о том, что кто-то пытается получить сертификат, которого получать не должен.