CAA: cine are voie să emită certificate?

Modulul 5: Alte înregistrări · Timp de citire: 6 minute

Obiectiv de învățare: După această lecție veți putea citi o înregistrare CAA și veți ști cum poate o înregistrare CAA să blocheze solicitarea unui certificat SSL.

Concepte-cheie: CAA, issue, issuewild, iodef, autoritate de certificare (CA), lipsa unei înregistrări CAA înseamnă: oricine are voie

Un lacăt pus de un străin

Un certificat SSL (de fapt un certificat TLS) este responsabil pentru lacătul din browser. Acesta este emis de o autoritate de certificare, pe scurt CA: de exemplu Let's Encrypt, Sectigo, DigiCert sau Google Trust Services. Există zeci de CA-uri în care browserele au încredere, iar în principiu oricare dintre ele poate emite un certificat pentru domeniul dumneavoastră, atâta timp cât solicitantul demonstrează că administrează domeniul respectiv.

Cu o înregistrare CAA (Certification Authority Authorization, RFC 8659) puteți limita acest lucru. Specificați în DNS care CA-uri au voie să emită certificate pentru domeniul dumneavoastră. Fiecare CA este obligată să verifice această înregistrare înainte de a emite un certificat. Dacă CA-ul respectiv nu figurează acolo, trebuie să refuze.

Acest lucru protejează împotriva unui certificat emis pe numele dumneavoastră printr-o CA neglijentă sau indusă în eroare. Este un lacăt suplimentar, nu o obligație.

Cum arată o înregistrare CAA

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

O înregistrare CAA are trei părți:

Cele trei taguri pe care le puteți întâlni:

• issue: această CA are voie să emită certificate obișnuite (pentru example.com, www.example.com etc.).
• issuewild: această CA are voie să emită certificate wildcard (*.example.com). Dacă nu există un issuewild, pentru wildcard-uri se aplică regulile issue.
• iodef: unde poate trimite o CA o notificare dacă cineva solicită un certificat care, conform CAA-ului dumneavoastră, nu este permis.

Puteți avea mai multe reguli issue: în acest caz, fiecare CA menționată are voie. Dacă doriți ca nimeni să nu emită un anumit tip de certificat, folosiți o valoare goală: 0 issuewild ";" înseamnă "nimeni nu are voie să emită wildcard-uri".

Fără înregistrare CAA: oricine are voie

Dacă domeniul dumneavoastră nu are o înregistrare CAA, orice CA poate emite un certificat. Aceasta este situația normală pentru majoritatea domeniilor și nu este greșită. CAA este o opțiune.

O CA caută înregistrarea CAA la numele exact al certificatului. Dacă nu găsește nimic acolo, verifică un nivel mai sus, până la domeniu. O înregistrare CAA pe example.com este deci valabilă și pentru shop.example.com, cu excepția cazului în care shop.example.com are propria înregistrare CAA.

Cum vă poate bloca CAA certificatul

Acesta este motivul pentru care CAA își are locul într-un curs pentru începători: o înregistrare CAA poate face ca certificatul gratuit să nu mai fie reînnoit, iar mesajul de eroare nu este întotdeauna clar.

Să presupunem că site-ul dumneavoastră a funcționat ani de zile cu un certificat de la o CA plătită. Cineva a creat atunci o înregistrare CAA:

example.com.  CAA  0 issue "sectigo.com"

Acum vă mutați la un hosting care solicită automat certificate Let's Encrypt. Let's Encrypt verifică CAA, vede că doar Sectigo are voie și refuză. Site-ul dumneavoastră nu primește certificatul, iar vizitatorii văd un avertisment.

Soluția: adăugați CA-ul pe care îl folosiți acum sau eliminați vechea înregistrare CAA dacă nu mai aveți nevoie de ea.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Dacă folosiți un serviciu care gestionează singur certificatele, cum ar fi o platformă de magazin online sau un CDN, întrebați ce CA folosește acesta și adăugați-l. Altfel îi blocați și lui certificatul.

În practică: cum arată într-un panou

Ca exemplu folosim ecranul DNS din Contul meu WebOké, care are un asistent CAA cu cele mai cunoscute CA-uri. În DirectAdmin, Cloudflare și majoritatea celorlalte panouri completați aceleași trei câmpuri: flag, tag și valoare.

1. Faceți clic pe Add Record și alegeți CAA.
2. Lăsați numele pe domeniul propriu-zis (@).
3. Lăsați flag-ul pe 0.
4. Alegeți tagul issue.
5. Completați CA-ul, de exemplu letsencrypt.org.
6. Salvați și repetați pentru fiecare CA care are voie să emită.

Rezumat

• Cu o înregistrare CAA stabiliți care autorități de certificare au voie să emită certificate pentru domeniul dumneavoastră.
• issue este pentru certificate obișnuite, issuewild pentru wildcard-uri, iodef pentru notificări.
• Lipsa unei înregistrări CAA înseamnă: orice CA are voie. Este normal.
• O înregistrare CAA pe domeniu este valabilă și pentru subdomenii fără CAA propriu.
• O înregistrare CAA uitată poate bloca un certificat nou sau reînnoit. Adăugați CA-ul pe care îl folosiți acum.

Quiz

Exercițiu

Exercițiul Z5.2: Căutarea CAA. Căutați înregistrările CAA ale domeniului wikipedia.org. Ce autorități de certificare au voie, conform regulilor issue, să emită certificate? Completați-le pe toate.

Exercițiul O5.2: Configurare proprie în zona de exersare. Creați în zona dumneavoastră de exersare, la numele zonei propriu-zise (@), două înregistrări CAA:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

Prima regulă înseamnă: nimeni nu are voie să emită certificate pentru acest nume. În zona de exersare acest lucru este exact corect: nu rulează niciun site real, deci nu ar trebui să existe niciun certificat, iar astfel nimeni nu poate abuza de zona de exersare pentru a obține un certificat. La domeniul dumneavoastră real nu faceți niciodată acest lucru dacă folosiți https; acolo specificați CA-urile pe care chiar le folosiți, precum 0 issue "letsencrypt.org". Regula iodef din zona de exersare indică spre adresa de notificare a mediului de exersare; la domeniul dumneavoastră real completați propria adresă.

Faceți apoi clic pe Verificare.

Pentru aprofundare

Aceste articole descriu pașii din panourile WebOké; în alte panouri funcționează similar.

• Manual WebOké 5.5: Asistenți DNS: MX, SPF, DMARC, CAA și SRV
• Manual DirectAdmin 6.6: Let's Encrypt nu funcționează: cauze și soluții
• Activarea, reînnoirea și depanarea certificatului SSL