Um registo CAA define quais autoridades de certificação (CA) estão autorizadas a emitir certificados para um domínio. Funciona como salvaguarda: uma CA não listada deve recusar a emissão. As regras herdam-se: na ausência de CAA num subdomínio, aplica-se o do ápice.
Um registo CAA contém nome, tipo, flag, tag, valor e TTL. O TTL indica quanto tempo a resposta permanece em cache no resolvedor local.
| Nome | Tipo | Flag | Tag | Valor | TTL (s) |
|---|
| @ | CAA | 0 | issue | "letsencrypt.org" | 3600 |
A zona autoriza Let's Encrypt a emitir certificados. Flag 0 serve para a maioria dos casos. TTL de 3600 corresponde a uma hora.
| Nome | Tipo | Flag | Tag | Valor | Função |
|---|
| @ | CAA | 0 | issue | "digicert.com" | Autorizar uma CA |
| @ | CAA | 0 | issuewild | "letsencrypt.org" | Autorizar wildcard |
| @ | CAA | 0 | iodef | "mailto:security@exemplo.com" | Receber relatórios |
| @ | CAA | 0 | issue | ";" | Proibir emissão |
A tag issue autoriza certificados normais; issuewild aplica-se a wildcard; iodef indica o destino dos relatórios de tentativa não autorizada.
Publique CAA no ápice para cobrir todo o domínio. Crie exceções em subdomínios apenas quando necessário.
O destino de MX ou outros serviços não altera o CAA: a decisão depende do nome para o qual o certificado é solicitado.
A flag crítica (128) é para usos avançados: obriga a CA a compreender a tag, caso contrário deve recusar.
TTL curto acelera ajustes, útil ao trocar de CA.
TTL médio ou longo reduz consultas aos autoritativos — adequado para política estável.
Reduza o TTL antes da alteração e aumente após validação.
Importante
A herança é chave. Uma regra específica em loja.exemplo.com substitui a do ápice nesse subdomínio; sem regra local aplica-se a regra pai.
No ápice, para definir a política geral. Em subdomínios, para exceções controladas (por exemplo, serviço gerido por terceiros). Teste em seguida a emissão na CA visada.
Evite
Omitir iodef, que facilita notificações.
Autorizar demasiadas CAs, dificultando o controlo.
Deixar CAA antigo ativo após trocar de fornecedor.
Um lookup DNS fornece as tags CAA e o TTL observado na Internet. Depois faça teste local.
nslookup
set q=caa
exemplo.com
nslookup
set q=caa
server 1.1.1.1
exemplo.com
dig caa exemplo.com
dig caa exemplo.com @1.1.1.1
A presença de issue/issuewild indica a CA autorizada. Valor ";" impede emissão. TTL elevado explica atraso pós-alteração. Ausência total de CAA significa ausência de restrições.
- Listar a CA pretendida e eventual necessidade de wildcard.
- Publicar CAA no ápice com TTL reduzido.
- Adicionar
iodef para receber alertas. - Testar a emissão na CA.
- Aumentar o TTL após validação.
Dica prática
Mantenha registo dos CAA publicados: data, TTL, motivo e provas de emissão bem-sucedida.
Publicar apenas uma tag issue. Certifique-se de que todos os serviços usam essa CA.
Adicionar issuewild para a mesma CA, mantendo issue para certificados comuns.
Adicionar iodef com caixa dedicada ou endpoint HTTPS.
- Se a emissão falhar, confirme que
issue/issuewild referem a CA correta. - Se a CA pedir ajuste, verifique herança até ao ápice.
- Se a mudança não surtir efeito, aguarde o TTL expirar e limpe caches.
Em resumo, um registo CAA define quem pode emitir certificados. As tags issue, issuewild e iodef cobrem necessidades comuns. A herança orienta a decisão. Um TTL ajustado facilita transições. Verifique via ferramentas online e com nslookup/dig. Assim a política permanece clara e os certificados seguem as regras definidas.