Що таке запис CAA?
Запис CAA (Certification Authority Authorization) дозволяє домену оголосити, які центри сертифікації можуть видавати для нього сертифікати. CA зобов’язані правилами CA/Browser Forum дотримуватися цих записів, тож вони знижують ризик хибної видачі — коли CA помилково видає сертифікат для вашого домену. CAA — це простий, потужний запобіжник для ваших TLS-сертифікатів.
Як працюють записи CAA
Запис CAA називає дозволений центр сертифікації за його доменом. Перед видачею сумісний CA перевіряє записи CAA для вашого домену; якщо записи існують і жоден не перелічує цей CA, він має відмовити. Запис має три частини: прапор (flag), тег і значення. Поширені теги: issue (авторизує CA видавати стандартні сертифікати), issuewild (контролює конкретно wildcard-сертифікати) та iodef (URL чи mailto, куди CA повідомляють про порушення політики). Наприклад, issue "letsencrypt.org" дозволяє видавати лише Let's Encrypt.
Як читати результати запиту CAA
IPeek перелічує записи CAA на домені, кожен із його тегом і значенням. Читайте теги issue, щоб побачити, які CA авторизовані — значення на кшталт "letsencrypt.org" чи "digicert.com" називає дозволений центр. Тег issuewild обмежує, хто може видавати wildcard-сертифікати. Значення issue ";" (крапка з комою) означає, що жодному CA не дозволено взагалі. Якщо домен не має записів CAA, видавати може будь-який публічний CA, що є дозвільним типовим станом. Перевірте, що перелічені CA відповідають постачальникам, яких ви справді використовуєте для сертифікатів.
Чому записи CAA покращують безпеку сертифікатів
Без CAA будь-який із десятків публічних центрів сертифікації може видати сертифікат для вашого домену, тож одного скомпрометованого чи обдуреного CA достатньо, щоб зловмисник отримав чинний сертифікат. CAA звужує цю поверхню атаки лише до CA, які ви називаєте. Оскільки CA/Browser Forum вимагає, щоб CA перевіряли CAA перед видачею, захист застосовується в усій галузі. Додайте тег iodef, і авторизовані CA зможуть повідомляти вас про спроби порушення політики, даючи раннє попередження про того, хто намагається отримати сертифікат, який не повинен.