Ir al contenido principal

Búsqueda registro CAA (Certificate Authority Authorization)

Controle qué autoridades pueden emitir certificados SSL/TLS

Proteja sus certificados SSL/TLS verificando que solo las autoridades autorizadas pueden emitirlos para su dominio.

En modo de traza iterativa, se ignora el resolvedor.
Consulta varios resolvedores públicos para comparar las respuestas.

Política de certificación

Descubra qué autoridades de certificación (Let's Encrypt, DigiCert, etc.) están autorizadas a emitir certificados para el dominio.

Multi-resolutor

Compare las respuestas de Google, Cloudflare y Quad9 para detectar problemas de propagación.

Etiquetas issue e issuewild

Analice las autorizaciones para certificados estándar y wildcard por separado.

Alertas iodef

Verifique si hay una dirección de notificación configurada para intentos de emisión no autorizados.

Gratuito e ilimitado

Pruebe tantos dominios como necesite. Sin registro requerido.

¿Cómo usar correctamente las diferentes opciones del motor de búsqueda DNS?

¿Qué es la traza iterativa?

La traza ejecuta la resolución paso a paso. El resolvedor consulta primero a los servidores raíz, luego a los del TLD (.com, .fr, .eu) y finalmente a los servidores autoritativos de la zona objetivo. En cada etapa la página muestra el servidor consultado, la respuesta, el RCODE y la latencia.

  1. 1. Raíz

    Descubrimiento de los servidores del TLD para el nombre solicitado.

  2. 2. TLD

    Referencia a los NS de la zona (delegación).

  3. 3. Autoritativos

    Respuesta final (o error) con TTL y latencia.

¿Para qué sirve?

  • Comparar respuestas según los resolvedores y las regiones
  • Detectar un caché caliente, un TTL demasiado largo o una delegación incompleta
  • Explicar una diferencia de latencia o un RCODE inesperado

Truco: deja la traza desactivada para las comprobaciones rápidas; actívala cuando investigues o prepares un ticket/post-mortem.

¿Qué es la traza clásica?

La traza clásica consulta únicamente el resolvedor seleccionado (UDP o DoH) y muestra la respuesta tal como se percibe desde ese punto de la red. Obtienes el RCODE, las secciones de la respuesta y la latencia del tramo cliente → resolvedor.

  1. 1. Resolvedor elegido

    Utiliza el preset o la configuración personalizada para lanzar la consulta exactamente como lo haría tu servicio.

  2. 2. Protocolo conservado

    Respeta el transporte seleccionado (UDP, TCP o DoH) para reproducir el comportamiento real.

  3. 3. Respuesta detallada

    Muestra las secciones question, answer y authority/additional cuando existen, con TTL y metadatos útiles.

¿Por qué usarla?

  • Comprobar la visión de un resolvedor específico antes de sospechar de la delegación
  • Confirmar los valores en caché y el impacto de un TTL o de un vaciado
  • Documentar una resolución tal como la ve un cliente o un microservicio

Truco: deja desactivada la opción de traza iterativa cuando audites un resolvedor concreto; actívala después para compararla con el recorrido raíz → TLD → autoritativo.

¿Cómo funciona la prueba de propagación?

La prueba consulta en paralelo un conjunto de resolvedores públicos (Google, Cloudflare, Quad9, OpenDNS, ISP…) y agrupa las respuestas por contenido y RCODE. Ves al instante quién ya aplicó la actualización.

  1. 1. Resolvedores multipunto

    Activa los presets de propagación para consultar a varios actores repartidos por el mundo.

  2. 2. Comparación automática

    Agrupa las respuestas idénticas y señala las divergencias o los errores propios de cada resolvedor.

  3. 3. Resumen accionable

    Ofrece un resumen claro, la lista de resolvedores, sus latencias y el estado de cada grupo.

¿Cuándo usarla?

  • Seguir la difusión de un cambio DNS a escala mundial
  • Identificar cachés aún antiguos y decidir un vaciado específico
  • Compartir un estado de propagación en un ticket o post-mortem

Truco: durante la prueba de propagación la selección de resolvedor queda bloqueada. Desactiva el modo para volver al diagnóstico unitario.

¿Qué es un registro CAA?

Un registro CAA (Certificate Authority Authorization) define qué autoridades de certificación (CA) están autorizadas a emitir certificados SSL/TLS para un dominio. Es una medida de seguridad que previene la emisión no autorizada de certificados.

Estructura de un registro CAA:

CampoDescripciónEjemplo
Flag0 (estándar) o 128 (crítico)0
TagTipo de autorizaciónissue, issuewild, iodef
ValorCA autorizada o dirección de contacto"letsencrypt.org"
TTLDuración de caché en segundos3600

Tags CAA disponibles

issue - Certificados estándar

Autoriza una CA para certificados no wildcard:

captaindns.com.  3600  IN  CAA  0 issue "letsencrypt.org"
captaindns.com.  3600  IN  CAA  0 issue "digicert.com"

issuewild - Certificados wildcard

Autoriza una CA para certificados wildcard (*.dominio):

captaindns.com.  3600  IN  CAA  0 issuewild "letsencrypt.org"

iodef - Notificaciones

Dirección para recibir reportes de intentos no autorizados:

captaindns.com.  3600  IN  CAA  0 iodef "mailto:security@captaindns.com"

Prohibir toda emisión

Bloquear todas las CAs:

captaindns.com.  3600  IN  CAA  0 issue ";"

Reglas importantes

Herencia y subdominios

SituaciónComportamiento
CAA en el apexSe aplica a todos los subdominios
CAA en subdominioReemplaza la regla del apex para ese subdominio
Sin CAASin restricción, cualquier CA puede emitir

Buenas prácticas

PrácticaPor qué
Limitar las CAsReducir la superficie de ataque
Configurar iodefSer alertado de intentos
Probar antes de producciónEvitar bloqueos

Problemas comunes

Certificado rechazado por la CA

La CA rechaza emitir porque no está en el CAA.

  1. Verifique los registros CAA del dominio
  2. Agregue la CA si es legítima
  3. Espere la propagación

Wildcard bloqueado

Certificado wildcard rechazado a pesar de una etiqueta issue.

  1. issuewild es requerido para wildcards
  2. Agregue un registro issuewild
  3. issue solo no cubre *.dominio

Subdominio no cubierto

Un subdominio tiene reglas diferentes.

  1. Verifique el CAA específico del subdominio
  2. La herencia puede ser reemplazada
  3. Agregue el CAA al nivel del subdominio si es necesario

Verificación en línea de comandos

Linux/Mac

dig CAA captaindns.com

Verificar un subdominio:

dig CAA www.captaindns.com

Windows

nslookup -type=caa captaindns.com

Configuración recomendada

Ejemplo completo

; Autorizar Let's Encrypt para todos los certificados
captaindns.com.  3600  IN  CAA  0 issue "letsencrypt.org"
captaindns.com.  3600  IN  CAA  0 issuewild "letsencrypt.org"

; Notificaciones de seguridad
captaindns.com.  3600  IN  CAA  0 iodef "mailto:security@captaindns.com"

Herramientas complementarias

HerramientaUtilidad
Búsqueda TXTVerificar otras políticas de seguridad
Propagación DNSVerificar la propagación mundial

Recursos útiles