Ir para o conteúdo principal

Pesquisa registro CAA (Certificate Authority Authorization)

Controle quais autoridades podem emitir certificados SSL/TLS

Proteja os seus certificados SSL/TLS verificando que apenas as autoridades autorizadas podem emiti-los para o seu domínio.

Tipo de registrocada tipo é uma página dedicada

O resultado é apresentado automaticamente mais abaixo

Modo de resolução
Testar a propagação DNS

Simples = uma consulta ao resolvedor · Trace = descida a partir da raiz

opçõesOpções avançadas

Principais recursos da ferramenta

Política de certificação

Descubra quais autoridades de certificação (Let's Encrypt, DigiCert, etc.) estão autorizadas a emitir certificados para o domínio.

Multi-resolvedor

Compare as respostas do Google, Cloudflare e Quad9 para detectar problemas de propagação.

Tags issue e issuewild

Analise as autorizações para certificados standard e wildcard separadamente.

Alertas iodef

Verifique se há um endereço de notificação configurado para tentativas de emissão não autorizadas.

Gratuito e ilimitado

Teste quantos domínios precisar. Sem registro necessário.

Como utilizar corretamente as diferentes opções da ferramenta de consulta DNS?

O que é o traçado iterativo?

O traçado executa a resolução passo a passo. O resolvedor consulta primeiro os servidores raiz, depois os do TLD (.com, .br, .pt) e, por fim, os servidores autoritativos da zona pretendida. Em cada etapa, a página mostra o servidor consultado, a resposta, o RCODE e a latência.

  1. 1. Raiz

    Descoberta dos servidores do TLD para o nome solicitado.

  2. 2. TLD

    Referência aos NS da zona (delegação).

  3. 3. Autoritativos

    Resposta final (ou erro) com TTL e latência.

Para que serve?

  • Comparar respostas entre resolvedores e regiões
  • Detectar um cache quente, um TTL muito longo ou uma delegação incompleta
  • Explicar diferenças de latência ou um RCODE inesperado

Dica: deixe o traçado desativado para verificações rápidas; ative-o durante investigações ou para preparar um ticket/post-mortem.

O que é o traçado clássico?

O traçado clássico consulta apenas o resolvedor selecionado (UDP ou DoH) e mostra a resposta tal como é percebida a partir desse ponto da rede. Você obtém o RCODE, as seções da resposta e a latência do percurso cliente → resolvedor.

  1. 1. Resolvedor escolhido

    Use o preset ou a configuração personalizada para executar a consulta exatamente como o seu serviço faria.

  2. 2. Protocolo preservado

    Respeita o transporte selecionado (UDP, TCP ou DoH) para reproduzir o comportamento real.

  3. 3. Resposta detalhada

    Mostra as seções question, answer e authority/additional quando existirem, com TTL e metadados úteis.

Por que utilizá-la?

  • Verificar a visão de um resolvedor específico antes de suspeitar de delegação
  • Confirmar valores em cache e o impacto de um TTL ou de um flush
  • Documentar uma resolução tal como a vê um cliente ou microsserviço

Dica: mantenha o traçado iterativo desativado quando auditar um resolvedor específico; ative-o depois para comparar com o percurso raiz → TLD → autoritativo.

Como funciona o teste de propagação?

O teste consulta em paralelo um conjunto de resolvedores públicos (Google, Cloudflare, Quad9, OpenDNS, ISP...) e agrupa as respostas por conteúdo e RCODE. Você vê imediatamente quem já aplicou a atualização.

  1. 1. Resolvedores multiponto

    A ferramenta consulta em paralelo vários resolvedores distribuídos pelo mundo.

  2. 2. Comparação automática

    Agrupa respostas idênticas e assinala divergências ou erros específicos de cada resolvedor.

  3. 3. Resumo acionável

    Apresenta um resumo claro, a lista de resolvedores, latências e estado de cada grupo.

Quando usar?

  • Acompanhar a difusão de uma alteração DNS em escala global
  • Identificar caches ainda antigos e decidir um flush direcionado
  • Compartilhar um estado de propagação num ticket ou post-mortem

Dica: o teste de propagação é uma ferramenta dedicada. Use-a para acompanhar uma alteração em escala global; para uma consulta unitária, utilize o DNS Lookup (Simples ou traçado iterativo).

O que é um registro CAA?

Um registro CAA (Certificate Authority Authorization) define quais autoridades de certificação (CA) estão autorizadas a emitir certificados SSL/TLS para um domínio. É uma medida de segurança que previne a emissão não autorizada de certificados.

Estrutura de um registro CAA:

CampoDescriçãoExemplo
Flag0 (standard) ou 128 (crítico)0
TagTipo de autorizaçãoissue, issuewild, iodef
ValorCA autorizada ou endereço de contato"letsencrypt.org"
TTLDuração da cache em segundos3600

Tags CAA disponíveis

issue - Certificados standard

Autoriza uma CA para certificados não-wildcard:

captaindns.com.  3600  IN  CAA  0 issue "letsencrypt.org"
captaindns.com.  3600  IN  CAA  0 issue "digicert.com"

issuewild - Certificados wildcard

Autoriza uma CA para certificados wildcard (*.domínio):

captaindns.com.  3600  IN  CAA  0 issuewild "letsencrypt.org"

iodef - Notificações

Endereço para receber relatórios de tentativas não autorizadas:

captaindns.com.  3600  IN  CAA  0 iodef "mailto:security@captaindns.com"

Proibir toda a emissão

Bloquear todas as CAs:

captaindns.com.  3600  IN  CAA  0 issue ";"

Regras importantes

Herança e subdomínios

SituaçãoComportamento
CAA no apexAplica-se a todos os subdomínios
CAA em subdomínioSubstitui a regra do apex para esse subdomínio
Sem CAASem restrição, qualquer CA pode emitir

Boas práticas

PráticaPor que
Limitar as CAsReduzir a superfície de ataque
Configurar iodefSer alertado de tentativas
Testar antes de produçãoEvitar bloqueios

Problemas comuns

Certificado recusado pela CA

A CA recusa emitir porque não está no CAA.

  1. Verifique os registros CAA do domínio
  2. Adicione a CA se for legítima
  3. Aguarde a propagação

Wildcard bloqueado

Certificado wildcard recusado apesar de uma tag issue.

  1. issuewild é necessário para wildcards
  2. Adicione um registro issuewild
  3. issue sozinho não cobre *.domínio

Subdomínio não coberto

Um subdomínio tem regras diferentes.

  1. Verifique o CAA específico do subdomínio
  2. A herança pode ser substituída
  3. Adicione o CAA ao nível do subdomínio se necessário

Verificação em linha de comandos

Linux/Mac

dig CAA captaindns.com

Verificar um subdomínio:

dig CAA www.captaindns.com

Windows

nslookup -type=caa captaindns.com

Configuração recomendada

Exemplo completo

; Autorizar Let's Encrypt para todos os certificados
captaindns.com.  3600  IN  CAA  0 issue "letsencrypt.org"
captaindns.com.  3600  IN  CAA  0 issuewild "letsencrypt.org"

; Notificações de segurança
captaindns.com.  3600  IN  CAA  0 iodef "mailto:security@captaindns.com"

Ferramentas complementares

FerramentaUtilidade
Pesquisa TXTVerificar outras políticas de segurança
Propagação DNSVerificar a propagação mundial

Recursos úteis