example.com. 3600 IN CAA 0 issue "letsencrypt.org"
רשומת CAA (Certification Authority Authorization, RFC 8659) מפרטת את רשויות התעודות שמותר להן להנפיק תעודות TLS לדומיין. כל רשות תעודות ציבורית חייבת לבדוק CAA לפני הנפקה; אם יש רשומות והרשות לא מופיעה בהן, היא חייבת לסרב.
תגיות
issue– רשויות שמותר להן להנפיק תעודות לשם.issuewild– רשויות שמותר להן להנפיק תעודות Wildcard.iodef– לאן הרשויות צריכות לדווח על בקשות שנדחו (mailto:אוhttps:).
CAA עוברת בירושה: רשומה ב-example.co.il חלה גם על www.example.co.il, אלא אם לתת-הדומיין יש רשומות CAA משלו. כשאין רשומות CAA בכלל, כל רשות רשאית להנפיק.
שאלות נפוצות
- האם אני צריך רשומת CAA?
- זה לא חובה, אבל מומלץ: זה מקטין את הסיכון שרשות שאינכם עובדים איתה תנפיק תעודה בטעות.
- למה חידוש התעודה נכשל אחרי שהוספתי CAA?
- הרשות שאתם עובדים איתה לא מופיעה ברשומה. הוסיפו תגית issue עם המזהה שלה, למשל letsencrypt.org.