Înregistrarea CAA: cum poate bloca emiterea unui certificat SSL

Site-ul răspunde, domeniul este corect, dar certificatul nou nu se emite? Verifică și politica CAA din DNS. Aceasta poate restricționa autoritățile de certificare autorizate să emită certificate pentru domeniu. O configurație rămasă de la un furnizor anterior poate deveni relevantă abia la următoarea emitere.

Ce controlează CAA

Înregistrările CAA exprimă o politică de emitere. Ele nu înlocuiesc validarea controlului domeniului și nu selectează certificatul pe care serverul îl prezintă vizitatorului. Modificarea politicii nu schimbă automat certificatul deja instalat.

Înainte să adaugi restricții, identifică toate serviciile care emit certificate pentru domeniu și subdomenii: serverul web, un proxy, servicii externe ori alte platforme. Un furnizor poate folosi o autoritate diferită de cea la care te gândești pentru găzduirea principală.

Verifică politica din DNS

dig CAA exemplu.ro +short
dig CAA www.exemplu.ro +short

Înlocuiește domeniile și verifică zona autoritativă în care faci modificări. Un răspuns gol pentru un singur hostname nu descrie neapărat întreaga politică aplicabilă: regulile de căutare CAA pot implica numele părinte și aliasurile. Folosește diagnosticul emitentului pentru numele exact solicitat.

Înțelege issue și issuewild

Proprietatea issue autorizează emiterea de către o autoritate. issuewild permite definirea separată a politicii pentru certificate wildcard. În absența unei politici issuewild distincte, issue poate controla și emiterea wildcard conform regulilor CAA.

Un exemplu simplu care autorizează Let’s Encrypt este:

exemplu.ro.  CAA  0 issue "letsencrypt.org"

Într-un panou DNS, numele, tipul, fanionul și valoarea pot fi câmpuri separate. Nu lipi întreaga linie în valoarea unei înregistrări dacă interfața cere componentele separat. Exemplul se folosește numai când Let’s Encrypt este autoritatea dorită.

Nu elimina autoritățile folosite de alte servicii

Mai multe înregistrări ale aceleiași proprietăți pot autoriza mai multe autorități. Dacă înlocuiești lista cu un singur emitent, verifică impactul asupra tuturor serviciilor. Păstrează configurația anterioară și notează motivul modificării.

O eroare CAA nu înseamnă întotdeauna o interdicție explicită. Problemele de rezoluție DNS ori de validare pot împiedica emitentul să stabilească politica. Citește mesajul complet înainte să ștergi înregistrări.

Testează din nou emiterea

După modificare, ține cont de TTL și verifică răspunsurile autoritative și cele din cache. Folosește mecanismul de test al clientului de certificate, dacă există, apoi urmărește rezultatul real. Pentru un certificat cu mai multe nume, fiecare nume poate introduce o condiție de verificat.

Documentează emitentul și responsabilul zonei DNS, astfel încât următoarea migrare să nu piardă această informație. Dacă domeniul sau găzduirea sunt administrate prin XSERVERE, clarifică unde se gestionează politica și ce serviciu solicită certificatul.

Surse

• Let’s Encrypt — Certification Authority Authorization — https://letsencrypt.org/docs/caa/
• IETF — RFC 8659 — https://www.rfc-editor.org/rfc/rfc8659