Un CAA record définit quelles autorités de certification peuvent émettre des certificats pour un domaine. Il sert de garde-fou. Une autorité non listée doit refuser l'émission. Le CAA fonctionne par héritage. Sans règle sur un sous domaine la règle de l'apex s'applique.
Un CAA record contient un nom un type un drapeau un tag une valeur et un TTL. Le TTL indique combien de temps la réponse reste en cache dans le résolveur local.
| Nom | Type | Flag | Tag | Valeur | TTL en secondes |
|---|
| @ | CAA | 0 | issue | "letsencrypt.org" | 3600 |
Dans cet exemple la zone autorise Let s Encrypt à émettre des certificats pour le domaine. Le flag à zéro convient pour les usages courants. Le TTL à 3600 correspond à une heure.
| Nom | Type | Flag | Tag | Valeur | Rôle |
|---|
| @ | CAA | 0 | issue | "digicert.com" | Autoriser une autorité |
| @ | CAA | 0 | issuewild | "letsencrypt.org" | Autoriser les certificats wildcard |
| @ | CAA | 0 | iodef | "mailto:security@exemple.com" | Recevoir des rapports d incident |
| @ | CAA | 0 | issue | ";" | Interdire toute émission |
Le tag issue autorise l émission de certificats classiques. Le tag issuewild cible les certificats wildcard. Le tag iodef indique où envoyer un rapport en cas de tentative non autorisée.
Publier le CAA à l'apex pour couvrir tout le domaine. Définir des exceptions au niveau d'un sous domaine si besoin.
La cible d'un MX ou d'un autre service ne change rien au CAA. La décision d'émission se prend sur le nom du certificat visé.
Le flag critical existe pour des usages avancés. Une valeur à cent vingt-huit demande à l'autorité de comprendre le tag sinon elle refuse.
Un TTL court rend un ajustement visible plus vite. Pratique lors d'un changement d'autorité.
Un TTL moyen ou long réduit les requêtes vers les serveurs autoritaires. Adapté à une politique stable.
Réduire le TTL quelques heures avant la bascule puis le remonter après validation.
Bon à savoir
L héritage est clef. Une règle posée sur boutique.exemple.com remplace celle de l'apex pour ce sous domaine. Sans règle locale la règle parente s'applique.
À l'apex pour définir la politique générale. Sur un sous domaine pour accorder une exception contrôlée comme un service géré par un tiers. Tester ensuite l'émission réelle chez l'autorité visée.
À éviter
Oublier l'iodef qui facilite les signalements.
Autoriser trop d'autorités ce qui complique le contrôle.
Laisser un ancien CAA actif après un changement de fournisseur.
Un DNS lookup en ligne permet d'entrer un nom de domaine. Le résultat affiche les tags CAA et le TTL visible depuis Internet. C'est un premier contrôle utile. Faire ensuite un test local depuis sa machine.
Windows fournit nslookup. On peut l'utiliser en mode interactif.
nslookup
set q=caa
exemple.com
nslookup
set q=caa
server 1.1.1.1
exemple.com
La première partie interroge selon la configuration réseau de la machine. La seconde force l'usage d'un résolveur tiers ici celui de Cloudflare.
Sur ces systèmes la commande dig est pratique et facile à utiliser.
dig CAA exemple.com
dig CAA exemple.com @1.1.1.1
La présence d'un tag issue ou issuewild indique l'autorité autorisée. Une valeur avec point virgule seule interdit l'émission.
Un TTL restant élevé peut expliquer un décalage après un changement.
Une absence totale de CAA signifie aucune restriction. Les autorités peuvent émettre selon leurs contrôles habituels.
- Lister l autorité choisie et l éventuel besoin en wildcard.
- Publier les CAA à l apex avec un TTL réduit.
- Ajouter iodef vers une adresse de contact fonctionnelle.
- Tester l émission d un certificat de test chez l autorité.
- Remonter le TTL quand tout est validé.
Astuce pratique
Garder une fiche avec la liste des CAA publiés. Noter la date le TTL et la raison du changement. Conserver la preuve des tests d'émission réussis.
Publier un unique tag issue. Vérifier que tous les services passent par cette autorité.
Ajouter issuewild pour la même autorité. Garder issue pour les certificats non wildcard.
Ajouter iodef avec un courriel dédié ou une adresse https de réception.
- Si l émission échoue vérifier que le tag issue ou issuewild mentionne bien l autorité visée.
- Si l autorité réclame une correction vérifier l héritage jusqu à l apex.
- Si le changement n est pas pris en compte attendre l expiration du TTL et purger le cache du résolveur local si possible.
En résumé, un enregistrement CAA définit qui peut émettre des certificats pour un domaine. Les tags issue issuewild et iodef couvrent la majorité des besoins. L'héritage guide la décision. Un TTL ajusté facilite la transition. La vérification passe par un outil en ligne puis par nslookup et par dig.
Avec ces repères la gestion reste claire. Les changements se déroulent sans stress. Les certificats s'émettent selon votre politique.