O que é um registro CAA? Quem pode emitir certificados

Um registro CAA, abreviação de Certification Authority Authorization (Autorização de Autoridade de Certificação), é um registro DNS que permite ao dono de um domínio declarar quais autoridades certificadoras estão autorizadas a emitir certificados TLS públicos para nomes do domínio. As autoridades certificadoras consultam a política CAA como parte da emissão, quando as regras aplicáveis exigem. O registro não criptografa o tráfego, não instala um certificado nem garante que um site é seguro. É um controle adicional de emissão: uma forma de tornar visíveis no DNS os emissores de certificado pretendidos pelo domínio e de reduzir a chance de uma autoridade não prevista emitir um certificado sem que a política do dono do domínio permita.

O que uma política CAA contém

Os registros CAA usam flags, uma tag de propriedade e um valor. A propriedade issue, a mais comum, nomeia uma autoridade autorizada a emitir certificados, enquanto issuewild se aplica a certificados wildcard. A propriedade iodef pode especificar um destino para relatórios de violação de política, quando houver suporte. A sintaxe real do registro inclui o identificador documentado da CA emissora, e os identificadores não são nomes de marca intercambiáveis; use exatamente o valor que o provedor do certificado publica. Um domínio pode publicar mais de um emissor permitido. Quando existe uma política, um emissor que não esteja listado pode ser impedido de emitir, sujeito às regras aplicáveis de DNS e de processamento da CA.

A política CAA segue as relações entre nomes do DNS. Um nome sem dados CAA próprios pode herdar a política relevante mais próxima, acima na hierarquia do domínio, enquanto um CNAME pode afetar onde os dados aplicáveis são encontrados, de acordo com as regras do DNS. Por isso, é importante verificar o nome exato para o qual um certificado está sendo solicitado, e não apenas o domínio raiz. A emissão de wildcard também merece atenção separada: uma política que permite uma CA para nomes comuns pode não comunicar a mesma intenção para certificados wildcard se issuewild estiver presente. Verifique os padrões atuais e as instruções da CA antes de confiar em uma interpretação específica.

Planeje as mudanças antes de publicar uma restrição

Um registro CAA restritivo pode bloquear a renovação legítima de um certificado se omitir a autoridade que a sua plataforma de hospedagem ou a sua automação de certificados usa. Antes de adicionar um, faça o inventário de todos os serviços que obtêm certificados para o domínio, incluindo subdomínios, hospedagem gerenciada, endpoints de CDN e sistemas de homologação que usam certificados publicamente confiáveis. Peça a cada provedor o seu identificador CAA oficial e quaisquer registros que ele exija. Depois, publique os registros e consulte-os publicamente para confirmar os valores. Coordene as mudanças com os calendários de renovação e monitore a próxima emissão ou renovação, em vez de presumir que um registro com sintaxe válida significa que todas as integrações estão configuradas corretamente.

• Use os valores CAA exatos da documentação atual da autoridade certificadora.
• Verifique tanto o nome raiz quanto o subdomínio específico que receberá um certificado.
• Considere a política de certificados wildcard separadamente.
• Não remova um emissor atual até que toda a automação de certificados tenha sido migrada.
• Verifique os dados CAA novamente após uma troca de provedor de DNS ou a migração de uma plataforma de certificados.

O que o CAA não resolve

O CAA é uma camada da governança da emissão de certificados, e não um substituto para proteger as contas de DNS, proteger o registro do domínio, renovar certificados ou configurar o HTTPS corretamente. Ele não revoga, por si só, um certificado existente e não consegue impedir todo possível comprometimento de domínio ou de conta. O registro também não informa a um navegador se o certificado servido no momento por um site é válido; os navegadores validam o certificado apresentado durante a conexão. Se um certificado estiver ausente ou incorreto, inspecione o endpoint TLS ativo além da política de DNS.

Ao diagnosticar uma falha de emissão, inspecione a resposta de DNS, verifique o identificador do emissor e confira se o nome de host solicitado herdou ou sobrescreveu uma política. Compare os dados publicados com os requisitos atuais do provedor do certificado. Para o vocabulário geral de DNS usado pelo CAA, veja tipos de registro DNS explicados. O CAA é um registro valioso quando o responsável operacional entende o caminho de renovação, mas uma restrição descuidada pode causar uma queda justamente quando um certificado automatizado está para vencer. Trate-o como uma configuração que precisa de manutenção ao longo do ciclo de vida, e não como uma caixinha de segurança marcada uma única vez.

Mantenha a política CAA alinhada com a automação de certificados

A emissão de certificados pode ser automatizada por vários serviços ao mesmo tempo: um provedor de hospedagem pode provisionar o certificado do site principal, uma CDN pode renovar um certificado de borda e uma plataforma separada pode cobrir um portal de clientes. Monte um inventário simples de nomes de certificados, emissores, uso de wildcard e responsáveis pela renovação antes de restringir o CAA. Revise-o sempre que a infraestrutura ou a titularidade do domínio mudar. Se uma renovação falhar após uma atualização de política, verifique o nome de host real, a política herdada e o identificador do emissor antes de remover a restrição por completo. Publique uma correção cuidadosamente delimitada e confirme que o provedor consegue concluir uma renovação. Essa abordagem preserva o valor de segurança da emissão autorizada e evita uma emergência em que todos os responsáveis pelos serviços tentam adicionar permissões amplas sem saber qual fluxo de certificado está bloqueado.