Was ist ein CAA-Record? Steuern, welche CAs Zertifikate ausstellen

Ein CAA-Record, kurz für Certification Authority Authorization, ist ein DNS-Record, mit dem ein Domaininhaber festlegt, welche Zertifizierungsstellen öffentliche TLS-Zertifikate für Namen der Domain ausstellen dürfen. Zertifizierungsstellen prüfen die CAA-Richtlinie bei der Ausstellung, wo die jeweiligen Regeln es verlangen. Der Record verschlüsselt keinen Datenverkehr, installiert kein Zertifikat und garantiert nicht, dass eine Website sicher ist. Er ist eine zusätzliche Ausstellungskontrolle: eine Möglichkeit, die vorgesehenen Zertifikatsaussteller einer Domain im DNS sichtbar zu machen und die Wahrscheinlichkeit zu verringern, dass eine unbeabsichtigte Stelle ein Zertifikat ausstellt, obwohl die Richtlinie des Domaininhabers es nicht erlaubt.

Was eine CAA-Richtlinie enthält

CAA-Records bestehen aus Flags, einem Property-Tag und einem Wert. Die gängige Property issue benennt eine Stelle, die Zertifikate ausstellen darf, während issuewild für Wildcard-Zertifikate gilt. Die Property iodef kann, wo unterstützt, ein Meldeziel für Berichte über Richtlinienverstöße angeben. Echte Record-Syntax enthält die dokumentierte Kennung der ausstellenden CA, und Kennungen sind keine austauschbaren Markennamen; verwenden Sie exakt den Wert, den der Zertifikatsanbieter veröffentlicht. Eine Domain kann mehr als einen zulässigen Aussteller veröffentlichen. Existiert eine Richtlinie, kann ein nicht aufgeführter Aussteller an der Ausstellung gehindert sein, vorbehaltlich der geltenden DNS- und CA-Verarbeitungsregeln.

Die CAA-Richtlinie folgt den Beziehungen der DNS-Namen. Ein Name ohne eigene CAA-Daten kann die nächste relevante Richtlinie weiter oben in der Domainhierarchie erben, während ein CNAME nach den DNS-Regeln beeinflussen kann, wo die geltenden Daten gefunden werden. Deshalb ist es wichtig, genau den Namen zu prüfen, für den ein Zertifikat angefordert wird, und nicht nur die Root-Domain. Auch die Wildcard-Ausstellung verdient gesonderte Aufmerksamkeit: Eine Richtlinie, die eine CA für gewöhnliche Namen zulässt, drückt womöglich nicht dieselbe Absicht für Wildcard-Zertifikate aus, wenn issuewild vorhanden ist. Prüfen Sie die aktuellen Standards und die Anweisungen der CA, bevor Sie sich auf eine bestimmte Auslegung verlassen.

Änderungen planen, bevor Sie eine Beschränkung veröffentlichen

Ein restriktiver CAA-Record kann eine legitime Zertifikatserneuerung blockieren, wenn er die Stelle auslässt, die Ihre Hosting-Plattform oder Zertifikatsautomatisierung nutzt. Erfassen Sie vor dem Anlegen jeden Dienst, der Zertifikate für die Domain bezieht, einschließlich Subdomains, Managed Hosting, CDN-Endpunkten und Staging-Systemen, die öffentlich vertrauenswürdige Zertifikate verwenden. Fragen Sie jeden Anbieter nach seiner offiziellen CAA-Kennung und allen erforderlichen Records. Veröffentlichen Sie dann die Records und fragen Sie sie öffentlich ab, um die Werte zu bestätigen. Stimmen Sie Änderungen mit den Erneuerungsterminen ab und beobachten Sie die nächste Ausstellung oder Erneuerung, statt anzunehmen, dass ein syntaktisch gültiger Record bedeutet, jede Integration sei korrekt konfiguriert.

• Verwenden Sie die exakten CAA-Werte aus der aktuellen Dokumentation der Zertifizierungsstelle.
• Prüfen Sie sowohl den Root-Namen als auch die konkrete Subdomain, die ein Zertifikat erhält.
• Berücksichtigen Sie die Wildcard-Zertifikatsrichtlinie gesondert.
• Entfernen Sie einen aktuellen Aussteller erst, wenn die gesamte Zertifikatsautomatisierung migriert wurde.
• Prüfen Sie die CAA-Daten nach einem Wechsel des DNS-Anbieters oder einer Migration der Zertifikatsplattform erneut.

Was CAA nicht löst

CAA ist eine Ebene der Governance bei der Zertifikatsausstellung, kein Ersatz dafür, DNS-Konten zu schützen, die Domainregistrierung abzusichern, Zertifikate zu erneuern oder HTTPS korrekt zu konfigurieren. Es widerruft von sich aus kein bestehendes Zertifikat und kann nicht jede mögliche Kompromittierung von Domain oder Konto verhindern. Der Record sagt einem Browser auch nicht, ob das aktuell von einer Website ausgelieferte Zertifikat gültig ist; Browser validieren das Zertifikat, das bei der Verbindung präsentiert wird. Fehlt ein Zertifikat oder ist es falsch, prüfen Sie neben der DNS-Richtlinie auch den Live-TLS-Endpunkt.

Prüfen Sie bei der Fehlersuche nach einem Ausstellungsfehler die DNS-Antwort, verifizieren Sie die Aussteller-Kennung und kontrollieren Sie, ob der angeforderte Hostname eine Richtlinie geerbt oder überschrieben hat. Vergleichen Sie die veröffentlichten Daten mit den aktuellen Anforderungen des Zertifikatsanbieters. Das allgemeine DNS-Vokabular rund um CAA finden Sie unter DNS-Record-Typen erklärt. CAA ist ein wertvoller Record, wenn sein operativer Verantwortlicher den Erneuerungsweg versteht, doch eine unbedachte Beschränkung kann genau dann einen Ausfall verursachen, wenn ein automatisiertes Zertifikat fällig ist. Behandeln Sie ihn als Konfiguration, die Pflege über ihren Lebenszyklus braucht, nicht als einmaliges Sicherheits-Häkchen.

CAA-Richtlinie mit der Zertifikatsautomatisierung abstimmen

Die Zertifikatsausstellung kann gleichzeitig von mehreren Diensten automatisiert werden: Ein Hosting-Anbieter kann das Zertifikat der Hauptwebsite bereitstellen, ein CDN ein Edge-Zertifikat erneuern und eine separate Plattform ein Kundenportal abdecken. Legen Sie vor einer CAA-Beschränkung ein einfaches Inventar der Zertifikatsnamen, Aussteller, Wildcard-Nutzung und Erneuerungsverantwortlichen an. Überprüfen Sie es immer, wenn sich Infrastruktur oder Domaininhaberschaft ändern. Schlägt eine Erneuerung nach einer Richtlinienänderung fehl, prüfen Sie den tatsächlichen Hostnamen, die geerbte Richtlinie und die Aussteller-Kennung, bevor Sie die Beschränkung ganz entfernen. Veröffentlichen Sie eine sorgfältig eingegrenzte Korrektur und bestätigen Sie, dass der Anbieter eine Erneuerung abschließen kann. So bleibt der Sicherheitswert der autorisierten Ausstellung erhalten, und Sie vermeiden einen Notfall, in dem alle Dienstverantwortlichen breite Berechtigungen hinzufügen wollen, ohne zu wissen, welcher Zertifikatsablauf blockiert ist.