Un record CAA definisce quali autorità di certificazione possono emettere certificati per un dominio. Funziona come salvaguardia: un'autorità non elencata deve rifiutare l'emissione. CAA sfrutta l'ereditarietà: in assenza di regole su un sottodominio si applica la regola dell'apice.
Un record CAA contiene nome, tipo, flag, tag, valore e TTL. Il TTL indica per quanto tempo la risposta resta in cache nel resolver locale.
| Nome | Tipo | Flag | Tag | Valore | TTL in secondi |
|---|
| @ | CAA | 0 | issue | "letsencrypt.org" | 3600 |
In questo esempio la zona autorizza Let's Encrypt a emettere certificati per il dominio. Un flag a zero è adatto agli usi comuni. Un TTL di 3600 equivale a un'ora.
| Nome | Tipo | Flag | Tag | Valore | Ruolo |
|---|
| @ | CAA | 0 | issue | "digicert.com" | Autorizzare un'autorità |
| @ | CAA | 0 | issuewild | "letsencrypt.org" | Autorizzare certificati wildcard |
| @ | CAA | 0 | iodef | "mailto:security@example.com" | Ricevere report di incidente |
| @ | CAA | 0 | issue | ";" | Vietare qualsiasi emissione |
Il tag issue autorizza l'emissione di certificati standard. Il tag issuewild riguarda i certificati wildcard. Il tag iodef indica dove inviare un report in caso di tentativi non autorizzati.
Pubblica il CAA all'apice per coprire l'intero dominio. Definisci eccezioni sui sottodomini se necessario.
Il target di un record MX o di altri servizi non influenza il CAA: la decisione riguarda il nome del certificato da emettere.
Il flag critical esiste per usi avanzati. Un valore pari a 128 impone all'autorità di comprendere il tag, altrimenti deve rifiutare.
Un TTL breve rende visibile più rapidamente un aggiustamento, utile durante il cambio di autorità.
Un TTL medio o lungo riduce le query verso i server autoritativi, ideale per una policy stabile.
Riduci il TTL qualche ora prima della modifica e rialzalo dopo la convalida.
Da sapere
L'ereditarietà è centrale. Una regola su shop.example.com sostituisce quella dell'apice per quel sottodominio. In assenza di regole locali vale la regola del genitore.
All'apice per definire la policy generale. Su un sottodominio per concedere un'eccezione controllata, ad esempio per un servizio gestito da terzi. Successivamente testa l'emissione con l'autorità interessata.
Evita
Di dimenticare iodef che facilita la ricezione di alert.
Di autorizzare troppe autorità, rendendo difficile il controllo.
Di lasciare attivo un vecchio CAA dopo il cambio provider.
Un lookup DNS online permette di inserire un dominio e ottenere i tag CAA con il TTL visibile da Internet. È un primo controllo utile. Completa con un test locale.
Windows mette a disposizione nslookup.
nslookup
set q=caa
example.com
nslookup
set q=caa
server 1.1.1.1
example.com
La prima parte usa la configurazione di rete della macchina, la seconda forza un resolver terzo (Cloudflare).
Su questi sistemi il comando dig è pratico.
dig CAA example.com
dig CAA example.com @1.1.1.1
La presenza dei tag issue o issuewild indica l'autorità autorizzata. Un valore contenente solo un punto e virgola vieta l'emissione.
Un TTL residuo elevato può spiegare un ritardo dopo una modifica.
L'assenza totale di CAA significa nessuna restrizione: le autorità possono emettere in base ai loro controlli standard.
- Elenca l'autorità scelta e l'eventuale necessità di wildcard.
- Pubblica CAA all'apice con TTL ridotto.
- Aggiungi iodef verso un contatto funzionante.
- Testa l'emissione di un certificato di prova con l'autorità.
- Alza il TTL quando tutto è validato.
Suggerimento pratico
Mantieni un registro con l'elenco dei CAA pubblicati. Annota data, TTL e motivo. Conserva prove dei test di emissione riusciti.
Pubblica un solo tag issue. Verifica che tutti i servizi passino da questa autorità.
Aggiungi issuewild per la stessa autorità. Mantieni issue per i certificati non wildcard.
Aggiungi iodef con un indirizzo e-mail dedicato o un endpoint https.
- Se l'emissione fallisce, verifica che il tag issue o issuewild menzioni l'autorità corretta.
- Se l'autorità chiede adeguamenti, controlla l'ereditarietà fino all'apice.
- Se la modifica non è presa in conto, attendi la scadenza del TTL e svuota la cache del resolver locale se possibile.
In sintesi, un record CAA definisce chi può emettere certificati per un dominio. I tag issue, issuewild e iodef coprono la maggior parte delle esigenze. L'ereditarietà guida la decisione. Un TTL ben calibrato facilita le transizioni. La verifica passa da uno strumento online e dai comandi nslookup e dig.
Con questi riferimenti la gestione resta chiara. Le modifiche avvengono senza stress. I certificati vengono emessi secondo la tua policy.