CAA-record
Wat doet een CAA-record?
Een CAA-record bepaalt welke certificaatautoriteiten een SSL- of TLS-certificaat voor jouw domein mogen uitgeven. CAA staat voor Certification Authority Authorization. Het record staat in DNS, dus je beheert het op dezelfde plek als je andere records.
Zonder CAA-record mag in principe elke certificaatautoriteit een certificaat aanvragen. Met een CAA-record zeg je welke partijen dat wel mogen. Betrouwbare certificaatautoriteiten controleren verplicht of zo'n record bestaat voordat ze een certificaat uitgeven.
Hoe ziet een CAA-record eruit?
Een CAA-record heeft een tag en een waarde. De tag issue bepaalt welke partij gewone certificaten mag uitgeven. Met issuewild regel je dat voor wildcardcertificaten. De tag iodef geeft een adres op waar meldingen naartoe kunnen gaan als iemand een ongeldige aanvraag doet.
Een waarde zoals letsencrypt.org bij issue betekent dat alleen die certificaatautoriteit mag uitgeven. Een puntkomma als waarde betekent dat geen enkele partij een certificaat mag uitgeven.
Waar let je op?
- Ken de certificaatautoriteit die je gebruikt voordat je het record instelt. Anders weigert die straks een certificaat, bijvoorbeeld bij verlengen.
- Gebruikt je hoster of een ander platform certificaten voor je, controleer dan of die partij in het record staat.
- Staat er een
issuewild-record, dan gebruiken certificaatautoriteiten die tag voor wildcardcertificaten in plaats vanissue. Let daar op bij het aanpassen.
CAA is geen beveiliging tegen alles. Het werkt alleen als certificaatautoriteiten het controleren, wat ze verplicht zijn. Om DNS-antwoorden tegen vervalsing te beschermen, kijk je naar DNSSEC. Hoe het zonerecord zelf is opgebouwd, staat bij wat een DNS-zone is.
Hoe controleer je of je CAA-record klopt?
Een DNS-opzoektool toont de CAA-records van je domein. Controleer of de waarde overeenkomt met de certificaatautoriteit die je gebruikt en of er geen verouderde partij in staat. Let ook op: een subdomein zonder eigen CAA-record erft de regels van het bovenliggende domein. Een subdomein met een eigen record gebruikt alleen dat record.
Test na een wijziging door een certificaat aan te vragen of te verlengen bij de partij die je gebruikt. Zo zie je meteen of de instellingen kloppen.
Veelgestelde vragen
Moet ik een CAA-record instellen?
Nee, het is niet verplicht. Zonder CAA-record kun je gewoon certificaten krijgen. Het is vooral nuttig als je zeker wilt weten welke partijen certificaten voor je domein uitgeven, bijvoorbeeld bij een zakelijk domein. Ken dan wel de juiste certificaatautoriteit, anders kan een verlenging mislukken.
Wat gebeurt er als mijn CAA-record de verkeerde partij noemt?
Dan weigert de certificaatautoriteit die niet in het record staat een certificaat af te geven. Je merkt dat meestal pas bij een aanvraag of verlenging. Controleer daarom de waarde na elke wijziging van je certificaatbeheer en verwijder een CAA-record alleen als je zeker weet dat je het niet meer nodig hebt.