Der CAA Record ist der Eintrag, der festlegt, welche Stelle Zertifikate für eine Domain ausstellen darf. Zertifizierungsstellen sind verpflichtet, ihn vor jeder Ausstellung zu prüfen.
- CAA Record
Der Eintrag, der festlegt, welche Stelle Zertifikate für eine Domain ausstellen darf.
Beispiel: „Der CAA Record nannte allein Let's Encrypt, und ein Versuch bei einer anderen Stelle scheiterte.“Die Abkürzung steht für Certification Authority Authorization. Der Wert nennt eine Kennzeichnung und den Namen der Stelle; zusätzlich lässt sich eine Adresse für Meldungen über abgelehnte Anträge hinterlegen.
Abgrenzung zum SSL-Zertifikat: Dieses ist das ausgestellte Dokument. Der CAA-Eintrag entscheidet darüber, wer es ausstellen darf.
Wie ein CAA Record geschrieben wird
Drei Zeilen beantworten drei Fragen: wer ausstellen darf, ob Zertifikate mit Platzhalter erlaubt sind und wohin eine Meldung über einen abgelehnten Antrag geht.
@ IN CAA 0 issue "letsencrypt.org"
@ IN CAA 0 issuewild ";"
@ IN CAA 0 iodef "mailto:security@example.de"
; issuewild mit Semikolon verbietet Platzhalter-ZertifikateWas ein CAA Record verhindert
Die Ausstellung durch eine Stelle, die niemand beauftragt hat. Ohne Eintrag darf jede der hunderten anerkannten Stellen weltweit ein Zertifikat für eine Domain ausstellen, sofern sie den Besitz nachgewiesen bekommt.
Der Eintrag verengt diesen Kreis auf die eigenen Anbieter und macht aus einem möglichen Angriffsweg eine Hürde.
Wie ein CAA Record gesetzt wird
Als eine Zeile je erlaubter Stelle, an der Wurzel der Domain. Die Regel gilt dann für alle Namen darunter, sofern dort nichts Eigenes steht.
Wer mehrere Anbieter nutzt, etwa einen für die Website und einen für E-Mail, trägt beide ein; wer einen vergisst, merkt es beim nächsten Erneuern des Zertifikats, siehe Zertifikatsverlängerung.
Was ein CAA Record nicht leistet
Er schützt kein bereits ausgestelltes Zertifikat und hindert niemanden daran, eine Fälschung mit einer nicht anerkannten Stelle zu bauen. Er wirkt allein auf die Stellen, die sich an die Regeln halten.
Und er ersetzt keine Absicherung der Zone: Wer die Einträge einer Domain ändern kann, ändert auch diesen, siehe DNSSEC.