Vai al contenuto principale

Ricerca record CAA (Certificate Authority Authorization)

Controlla quali autorità possono emettere certificati SSL/TLS

Proteggi i tuoi certificati SSL/TLS verificando che solo le autorità autorizzate possano emetterli per il tuo dominio.

In modalità traccia iterativa, il resolver viene ignorato.
Interroga più resolver pubblici per confrontare le risposte.

Policy di certificazione

Scopri quali autorità di certificazione (Let's Encrypt, DigiCert, ecc.) sono autorizzate a emettere certificati per il dominio.

Multi-resolver

Confronta le risposte di Google, Cloudflare e Quad9 per rilevare problemi di propagazione.

Tag issue e issuewild

Analizza le autorizzazioni per certificati standard e wildcard separatamente.

Alert iodef

Verifica se è configurato un indirizzo di notifica per tentativi di emissione non autorizzati.

Gratuito e illimitato

Testa quanti domini vuoi. Nessuna registrazione richiesta.

Come utilizzare al meglio le opzioni del motore di lookup DNS

Cos'è la traccia iterativa?

La traccia esegue la risoluzione passo dopo passo. Il resolver interroga prima i server root, poi il TLD (.com, .fr, .eu) e infine i server autoritativi della zona di destinazione. A ogni fase la pagina mostra il server interrogato, la risposta, l'RCODE e la latenza.

  1. 1. Root

    Scoperta dei server TLD per il nome richiesto.

  2. 2. TLD

    Riferimento agli NS della zona (delegazione).

  3. 3. Authoritative

    Risposta finale (o errore) con TTL e latenza.

A cosa serve?

  • Confrontare le risposte tra resolver e regioni
  • Individuare cache calde, TTL troppo lunghi o deleghe incomplete
  • Spiegare una differenza di latenza o un RCODE inatteso

Suggerimento: lascia la traccia disattivata per i controlli rapidi; attivala durante un'indagine o per preparare ticket e post-mortem.

Cos'è la traccia classica?

La traccia classica interroga solo il resolver selezionato (UDP o DoH) e mostra la risposta così come viene percepita da quel punto di rete. Ottieni l'RCODE, le sezioni di risposta e la latenza per il tratto client → resolver.

  1. 1. Resolver scelto

    Utilizza il preset o la configurazione personalizzata per eseguire la query esattamente come farebbe il tuo servizio.

  2. 2. Protocollo preservato

    Rispetta il trasporto selezionato (UDP, TCP o DoH) così da riprodurre il comportamento reale.

  3. 3. Risposta dettagliata

    Mostra domanda, risposta e sezioni authority/additional quando presenti, insieme a TTL e metadati utili.

Perché usarla?

  • Verificare la vista di un resolver specifico prima di sospettare problemi di delega
  • Confermare valori in cache e l'impatto di TTL o flush
  • Documentare una risoluzione esattamente come la vede un client o un microservizio

Suggerimento: tieni disattivata la traccia iterativa quando esegui l'audit di un resolver; riattivala dopo per confrontarla con il percorso root → TLD → authoritative.

Come funziona il test di propagazione?

Il test interroga in parallelo un insieme di resolver pubblici (Google, Cloudflare, Quad9, OpenDNS, ISP…) e raggruppa le risposte per contenuto e RCODE. Vedi subito chi ha già recepito l'aggiornamento.

  1. 1. Resolver multi-punto

    Abilita i preset di propagazione per interrogare diversi attori distribuiti nel mondo.

  2. 2. Confronto automatico

    Raggruppa le risposte identiche e mette in evidenza divergenze o errori specifici di un resolver.

  3. 3. Riepilogo operativo

    Fornisce un riepilogo chiaro, l'elenco dei resolver, le loro latenze e lo stato di ciascun gruppo.

Quando usarlo?

  • Monitorare la propagazione mondiale di una modifica DNS
  • Individuare cache obsolete e decidere un flush mirato
  • Condividere uno snapshot di propagazione in un ticket o post-mortem

Suggerimento: mentre il test di propagazione è attivo, il selettore del resolver resta bloccato. Disattiva la modalità per tornare alla diagnostica su singolo resolver.

Cos'è un record CAA?

Un record CAA (Certificate Authority Authorization) definisce quali autorità di certificazione (CA) sono autorizzate a emettere certificati SSL/TLS per un dominio. È una misura di sicurezza che previene l'emissione non autorizzata di certificati.

Struttura di un record CAA:

CampoDescrizioneEsempio
Flag0 (standard) o 128 (critico)0
TagTipo di autorizzazioneissue, issuewild, iodef
ValoreCA autorizzata o indirizzo di contatto"letsencrypt.org"
TTLDurata cache in secondi3600

Tag CAA disponibili

issue - Certificati standard

Autorizza una CA per certificati non-wildcard:

captaindns.com.  3600  IN  CAA  0 issue "letsencrypt.org"
captaindns.com.  3600  IN  CAA  0 issue "digicert.com"

issuewild - Certificati wildcard

Autorizza una CA per certificati wildcard (*.dominio):

captaindns.com.  3600  IN  CAA  0 issuewild "letsencrypt.org"

iodef - Notifiche

Indirizzo per ricevere report di tentativi non autorizzati:

captaindns.com.  3600  IN  CAA  0 iodef "mailto:security@captaindns.com"

Vietare ogni emissione

Bloccare tutte le CA:

captaindns.com.  3600  IN  CAA  0 issue ";"

Regole importanti

Ereditarietà e sottodomini

SituazioneComportamento
CAA all'apiceSi applica a tutti i sottodomini
CAA su sottodominioSovrascrive la regola dell'apice per quel sottodominio
Nessun CAANessuna restrizione, qualsiasi CA può emettere

Best practice

PraticaPerché
Limitare le CARidurre la superficie di attacco
Configurare iodefEssere avvisati dei tentativi
Testare prima della produzioneEvitare blocchi

Problemi comuni

Certificato rifiutato dalla CA

La CA rifiuta di emettere perché non è nel CAA.

  1. Verifica i record CAA del dominio
  2. Aggiungi la CA se legittima
  3. Attendi la propagazione

Wildcard bloccato

Certificato wildcard rifiutato nonostante un tag issue.

  1. issuewild è richiesto per i wildcard
  2. Aggiungi un record issuewild
  3. issue da solo non copre *.dominio

Sottodominio non coperto

Un sottodominio ha regole diverse.

  1. Verifica il CAA specifico del sottodominio
  2. L'ereditarietà può essere sovrascritta
  3. Aggiungi il CAA a livello di sottodominio se necessario

Verifica da riga di comando

Linux/Mac

dig CAA captaindns.com

Verificare un sottodominio:

dig CAA www.captaindns.com

Windows

nslookup -type=caa captaindns.com

Configurazione raccomandata

Esempio completo

; Autorizzare Let's Encrypt per tutti i certificati
captaindns.com.  3600  IN  CAA  0 issue "letsencrypt.org"
captaindns.com.  3600  IN  CAA  0 issuewild "letsencrypt.org"

; Notifiche di sicurezza
captaindns.com.  3600  IN  CAA  0 iodef "mailto:security@captaindns.com"

Strumenti complementari

StrumentoUtilità
Ricerca TXTVerificare altre policy di sicurezza
Propagazione DNSVerificare la propagazione mondiale

Risorse utili