什么是 CAA 记录？控制哪些 CA 可以签发证书

CAA 记录是 Certification Authority Authorization（证书颁发机构授权）的缩写，是一种 DNS 记录，让域名所有者声明，哪些证书颁发机构被授权为该域名下的名称签发公开的 TLS 证书。在相关规则要求的情况下，证书颁发机构会在签发过程中检查 CAA 策略。这条记录不会加密流量，不会安装证书，也不能保证网站是安全的。它是一道额外的签发控制：让域名预期的证书签发机构在 DNS 中可见，并降低在域名所有者的策略并不允许的情况下，由非预期机构签发证书的可能。

CAA 策略包含什么

CAA 记录由标志位、属性标签和值组成。常见的 issue 属性指定被允许签发证书的机构，而 issuewild 适用于通配符证书。iodef 属性可以在受支持的情况下，指定接收策略违规报告的目的地。真实的记录语法包含签发机构文档中给出的标识符，这些标识符并不是可以互换的品牌名称，请使用证书服务商公布的确切值。一个域名可以发布不止一个被允许的签发机构。当策略存在时，未被列出的签发机构可能会被阻止签发，具体取决于适用的 DNS 和 CA 处理规则。

CAA 策略遵循 DNS 名称之间的层级关系。没有自己 CAA 数据的名称，可以继承域名层级中更上层的最近一条相关策略，而 CNAME 则可能按照 DNS 规则影响适用数据的查找位置。因此，务必检查申请证书时所用的确切名称，而不能只看根域名。通配符证书的签发也值得单独关注：如果存在 issuewild，那么允许某家 CA 签发普通名称证书的策略，未必表达了对通配符证书的同样意图。在依赖某种具体解读之前，请核实最新的标准和该 CA 的说明。

发布限制之前先规划变更

如果限制性的 CAA 记录遗漏了您的托管平台或证书自动化所使用的机构，它就可能阻止一次合法的证书续期。在添加之前，请盘点所有为该域名获取证书的服务，包括子域名、托管服务、CDN 端点，以及使用公开受信任证书的预发布系统。向每家服务商索取其官方的 CAA 标识符以及它要求添加的任何记录。然后发布这些记录，并通过公网查询确认其值。请结合证书续期的时间表来协调变更，并留意下一次签发或续期，而不要以为语法有效的记录就意味着每一项集成都已配置正确。

• 使用证书颁发机构最新文档中给出的确切 CAA 值。
• 同时检查根名称和实际接收证书的那个子域名。
• 单独考虑通配符证书的策略。
• 在所有证书自动化都迁移完毕之前，不要移除当前的签发机构。
• 在更换 DNS 服务商或迁移证书平台之后，重新检查 CAA 数据。

CAA 解决不了什么

CAA 是证书签发治理中的一层，不能替代保护 DNS 账户、保障域名注册安全、续期证书或正确配置 HTTPS。它本身不会吊销现有证书，也无法防止所有可能的域名或账户被攻破。这条记录同样不会告诉浏览器，网站当前提供的证书是否有效；浏览器验证的是连接过程中出示的证书。如果证书缺失或有误，除了 DNS 策略之外，还要检查实际运行的 TLS 端点。

排查签发失败时，请检查 DNS 应答，核实签发机构的标识符，并确认所请求的主机名是继承了策略还是覆盖了策略。把已发布的数据与证书服务商当前的要求进行比对。关于 CAA 所用的通用 DNS 术语，请参阅 DNS 记录类型详解。当其运维负责人清楚续期路径时，CAA 是一条很有价值的记录，但草率的限制可能在自动化证书到期的那一刻造成故障。请把它当作需要全生命周期维护的配置，而不是一次性的安全勾选项。

让 CAA 策略与证书自动化保持一致

证书签发可能由多个服务同时自动完成：托管服务商可能为主站配置证书，CDN 可能续期边缘证书，另一个平台则可能负责客户门户。在限制 CAA 之前，请先建立一份简单的清单，列出证书名称、签发机构、通配符的使用情况和续期负责人。每当基础设施或域名所有权发生变化时，都应回头检查这份清单。如果策略更新之后续期失败，请先检查实际的主机名、继承的策略和签发机构标识符，而不是直接把限制整个移除。发布一份范围谨慎的修正，并确认服务商能够完成续期。这种做法既保留了授权签发的安全价值，又避免出现这样的紧急情况：每个服务负责人都在设法添加宽泛的许可，却不知道究竟是哪条证书流程被阻止了。