Cos'è un record CAA? Decidi quali CA emettono certificati

Un record CAA, abbreviazione di Certification Authority Authorization, è un record DNS che permette al titolare di un dominio di dichiarare quali autorità di certificazione sono autorizzate a emettere certificati TLS pubblici per i nomi del dominio. Le autorità di certificazione controllano la policy CAA come parte dell'emissione, dove richiesto dalle regole pertinenti. Il record non cifra il traffico, non installa un certificato e non garantisce che un sito sia sicuro. È un controllo aggiuntivo sull'emissione: un modo per rendere visibili nel DNS gli emittenti di certificati previsti dal dominio e ridurre la probabilità che un'autorità non prevista emetta un certificato senza che la policy del titolare del dominio lo consenta.

Cosa contiene una policy CAA

I record CAA usano flag, un tag di proprietà e un valore. La proprietà issue, la più comune, indica un'autorità autorizzata a emettere certificati, mentre issuewild si applica ai certificati wildcard. La proprietà iodef può specificare una destinazione per i report sulle violazioni della policy, dove supportata. La sintassi reale del record include l'identificatore documentato della CA emittente, e gli identificatori non sono nomi commerciali intercambiabili: usa il valore esatto che pubblica il provider del certificato. Un dominio può pubblicare più di un emittente consentito. Quando esiste una policy, a un emittente non elencato può essere impedito di emettere, in base alle regole di elaborazione DNS e delle CA applicabili.

La policy CAA segue le relazioni tra i nomi DNS. Un nome senza dati CAA propri può ereditare la policy rilevante più vicina più in alto nella gerarchia del dominio, mentre un CNAME può influire su dove si trovano i dati applicabili secondo le regole DNS. Per questo è importante controllare il nome esatto per cui viene richiesto un certificato, e non soltanto il dominio radice. Anche l'emissione wildcard merita un'attenzione a parte: una policy che consente una CA per i nomi ordinari può non comunicare la stessa intenzione per i certificati wildcard se è presente issuewild. Verifica gli standard attuali e le istruzioni della CA prima di fare affidamento su una specifica interpretazione.

Pianifica le modifiche prima di pubblicare una restrizione

Un record CAA restrittivo può bloccare il rinnovo legittimo di un certificato se omette l'autorità usata dalla tua piattaforma di hosting o dall'automazione dei certificati. Prima di aggiungerne uno, fai un inventario di ogni servizio che ottiene certificati per il dominio, compresi sottodomini, hosting gestito, endpoint di CDN e sistemi di staging che usano certificati pubblicamente affidabili. Chiedi a ciascun provider il suo identificatore CAA ufficiale ed eventuali record richiesti. Poi pubblica i record e interrogali pubblicamente per confermare i valori. Coordina le modifiche con le scadenze dei rinnovi e monitora la prossima emissione o il prossimo rinnovo, invece di dare per scontato che un record sintatticamente valido significhi che ogni integrazione sia configurata correttamente.

• Usa i valori CAA esatti dalla documentazione attuale dell'autorità di certificazione.
• Controlla sia il nome radice sia il sottodominio specifico che riceve un certificato.
• Considera separatamente la policy per i certificati wildcard.
• Non rimuovere un emittente attuale finché tutta l'automazione dei certificati non è stata migrata.
• Ricontrolla i dati CAA dopo un cambio di provider DNS o una migrazione della piattaforma dei certificati.

Cosa CAA non risolve

CAA è un livello della governance dell'emissione dei certificati, non un sostituto della protezione degli account DNS, della messa in sicurezza della registrazione del dominio, del rinnovo dei certificati o della corretta configurazione di HTTPS. Da solo non revoca un certificato esistente e non può impedire ogni possibile compromissione di un dominio o di un account. Il record inoltre non dice a un browser se il certificato attualmente servito da un sito web sia valido: i browser convalidano il certificato presentato durante la connessione. Se un certificato manca o è errato, ispeziona l'endpoint TLS in funzione oltre alla policy DNS.

Quando fai troubleshooting di un errore di emissione, ispeziona la risposta DNS, verifica l'identificatore dell'emittente e controlla se l'hostname richiesto abbia ereditato o sostituito la policy. Confronta i dati pubblicati con i requisiti attuali del provider del certificato. Per il vocabolario DNS generale usato da CAA, vedi i tipi di record DNS spiegati. CAA è un record prezioso quando il suo responsabile operativo conosce il percorso di rinnovo, ma una restrizione fatta con leggerezza può causare un'interruzione proprio nel momento in cui scade un certificato automatico. Trattalo come una configurazione che richiede manutenzione lungo il suo ciclo di vita, non come una casella di sicurezza da spuntare una volta sola.

Mantieni la policy CAA allineata all'automazione dei certificati

L'emissione dei certificati può essere automatizzata da più servizi contemporaneamente: un provider di hosting può emettere il certificato del sito principale, una CDN può rinnovare un certificato edge e una piattaforma separata può occuparsi di un portale clienti. Costruisci un semplice inventario di nomi dei certificati, emittenti, uso dei wildcard e responsabili dei rinnovi prima di restringere CAA. Rivedilo ogni volta che cambiano l'infrastruttura o la proprietà del dominio. Se un rinnovo fallisce dopo un aggiornamento della policy, controlla l'hostname effettivo, la policy ereditata e l'identificatore dell'emittente prima di rimuovere del tutto la restrizione. Pubblica una correzione dall'ambito ben definito e conferma che il provider riesca a completare un rinnovo. Questo approccio preserva il valore di sicurezza dell'emissione autorizzata ed evita un'emergenza in cui ogni responsabile di servizio cerca di aggiungere permessi ampi senza sapere quale flusso di certificati sia bloccato.