Qué es un registro CAA: controla qué CA emiten certificados

Un registro CAA, siglas de Certification Authority Authorization (autorización de la autoridad de certificación), es un registro DNS que permite al titular de un dominio indicar qué autoridades de certificación están autorizadas a emitir certificados TLS públicos para los nombres del dominio. Las autoridades de certificación comprueban la política CAA como parte de la emisión cuando las normas pertinentes lo exigen. El registro no cifra el tráfico, no instala un certificado ni garantiza que un sitio sea seguro. Es un control adicional de emisión: una forma de hacer visibles en el DNS los emisores de certificados previstos para el dominio y reducir la probabilidad de que una autoridad no prevista emita un certificado sin que la política del titular del dominio lo permita.

Qué contiene una política CAA

Los registros CAA usan indicadores (flags), una etiqueta de propiedad y un valor. La propiedad habitual issue nombra a una autoridad autorizada para emitir certificados, mientras que issuewild se aplica a los certificados comodín. La propiedad iodef puede especificar un destino para los informes de infracciones de la política, cuando hay soporte. La sintaxis real del registro incluye el identificador documentado de la CA emisora, y los identificadores no son nombres comerciales intercambiables; usa el valor exacto que publica el proveedor del certificado. Un dominio puede publicar más de un emisor permitido. Cuando existe una política, puede impedirse emitir a un emisor que no figure en ella, con sujeción a las reglas de procesamiento de DNS y de la CA que apliquen.

La política CAA sigue las relaciones entre nombres DNS. Un nombre sin datos CAA propios puede heredar la política relevante más cercana situada más arriba en la jerarquía del dominio, mientras que un CNAME puede afectar a dónde se encuentran los datos aplicables según las reglas del DNS. Por eso es importante comprobar el nombre exacto para el que se solicita un certificado, y no solo el dominio raíz. La emisión de certificados comodín también merece una atención aparte: una política que permite a una CA emitir para nombres ordinarios puede no comunicar la misma intención para los certificados comodín si hay una propiedad issuewild. Verifica las normas vigentes y las instrucciones de la CA antes de basarte en una interpretación concreta.

Planifica los cambios antes de publicar una restricción

Un registro CAA restrictivo puede bloquear la renovación legítima de un certificado si omite la autoridad que usa tu plataforma de alojamiento o tu automatización de certificados. Antes de añadir uno, haz un inventario de todos los servicios que obtienen certificados para el dominio, incluidos subdominios, alojamiento gestionado, endpoints de CDN y sistemas de preproducción que usan certificados de confianza pública. Pide a cada proveedor su identificador CAA oficial y los registros que requiere. Después publica los registros y consúltalos públicamente para confirmar los valores. Coordina los cambios con los calendarios de renovación y supervisa la siguiente emisión o renovación en lugar de suponer que un registro sintácticamente válido significa que todas las integraciones están bien configuradas.

• Usa los valores CAA exactos de la documentación vigente de la autoridad de certificación.
• Comprueba tanto el nombre raíz como el subdominio concreto que recibe un certificado.
• Contempla por separado la política de los certificados comodín.
• No elimines un emisor actual hasta que toda la automatización de certificados se haya migrado.
• Vuelve a comprobar los datos CAA después de un cambio de proveedor de DNS o de una migración de la plataforma de certificados.

Lo que CAA no resuelve

CAA es una capa de la gobernanza de la emisión de certificados, no un sustituto de proteger las cuentas de DNS, asegurar el registro del dominio, renovar los certificados o configurar HTTPS correctamente. No revoca por sí mismo un certificado existente y no puede impedir todos los posibles compromisos de un dominio o de una cuenta. El registro tampoco le dice a un navegador si el certificado que sirve actualmente un sitio web es válido; los navegadores validan el certificado que se presenta durante la conexión. Si falta un certificado o es incorrecto, inspecciona el endpoint TLS en vivo además de la política DNS.

Al diagnosticar un fallo de emisión, inspecciona la respuesta DNS, verifica el identificador del emisor y comprueba si el nombre de host solicitado ha heredado o sobrescrito una política. Compara los datos publicados con los requisitos vigentes del proveedor del certificado. Para ver el vocabulario general de DNS que usa CAA, consulta los tipos de registro DNS explicados. CAA es un registro valioso cuando quien lo gestiona operativamente entiende el camino de renovación, pero una restricción descuidada puede provocar una caída justo cuando vence un certificado automatizado. Trátalo como una configuración que necesita mantenimiento durante todo su ciclo de vida, no como una casilla de seguridad que se marca una sola vez.

Mantén la política CAA alineada con la automatización de certificados

La emisión de certificados puede estar automatizada por varios servicios a la vez: un proveedor de alojamiento puede aprovisionar el certificado del sitio principal, una CDN puede renovar un certificado de borde y otra plataforma distinta puede cubrir un portal de clientes. Crea un inventario sencillo de nombres de certificados, emisores, uso de comodines y responsables de la renovación antes de restringir CAA. Revísalo siempre que cambie la infraestructura o la titularidad del dominio. Si una renovación falla tras una actualización de la política, comprueba el nombre de host real, la política heredada y el identificador del emisor antes de eliminar por completo la restricción. Publica una corrección con un alcance bien acotado y confirma que el proveedor puede completar una renovación. Este enfoque conserva el valor de seguridad de la emisión autorizada y evita una emergencia en la que todos los responsables de servicios intentan añadir permisos amplios sin saber qué flujo de certificados está bloqueado.