Jeśli znasz rozdziały o rodzajach rekordów DNS, wiesz, że każdy rekord w strefie DNS ma określony cel. Rekordy A wskazują serwery. Rekordy MX kierują pocztę. Rekordy TXT obsługują weryfikację i bezpieczeństwo poczty. Rekord CAA robi coś innego. Kontroluje, kto może wystawiać certyfikaty SSL dla Twojej nazwy domeny.
Bez rekordu CAA każdy urząd certyfikacji na świecie może wystawić certyfikat dla Twojej domeny, jeśli ktoś o niego poprosi. Może to brzmieć niegroźnie, ale otwiera drogę do wystawiania certyfikatów przez urzędy, których nigdy nie wybrano i nie zatwierdzono. Dodanie rekordu CAA zamyka te drzwi i oddaje Ci kontrolę.
Co oznacza CAA?
CAA to skrót od certificate authority authorization, czyli autoryzacja urzędu certyfikacji. Nazwa mówi dokładnie, co robi rekord. Upoważnia konkretne urzędy certyfikacji (CA) do wystawiania certyfikatów SSL dla Twojej domeny i każe wszystkim innym odmawiać.
Urzędy certyfikacji to organizacje odpowiedzialne za sprawdzenie, czy właściciel domeny jest tym, za kogo się podaje, a następnie za wystawienie certyfikatu SSL, który włącza HTTPS. Na świecie działają dziesiątki urzędów certyfikacji. Bez rekordu CAA domena jest otwarta dla wszystkich. Z rekordem Ty wybierasz, które mają pozwolenie.
Jak wygląda rekord CAA?
Rekord CAA ma trzy główne części, które działają razem. Oto, co oznacza każda z nich.
- Flaga (flag) to liczba, która określa, jak rekord jest traktowany. W większości konfiguracji ma wartość 0. Flaga 128 mówi urzędowi certyfikacji, że jeśli nie rozumie znacznika rekordu, musi odmówić wystawienia certyfikatu zamiast zignorować rekord
- Znacznik (tag) mówi urzędowi certyfikacji, jaki rodzaj uprawnienia lub instrukcji zawiera rekord. Są trzy typy znaczników, opisane szczegółowo poniżej
- Wartość (value) to nazwa upoważnianego urzędu certyfikacji albo adres kontaktowy do zgłaszania naruszeń. Zawsze ujmuje się ją w cudzysłów
Oto jak prosty rekord CAA wygląda w panelu DNS.
- Nazwa hosta ustawiona na @
- Typ ustawiony na CAA
- Flaga ustawiona na 0
- Znacznik ustawiony na issue
- Wartość ustawiona na „ca-przyklad.example”
Ten rekord mówi jedno. Tylko ten jeden urząd certyfikacji może wystawiać standardowe certyfikaty SSL dla tej domeny. Każdy inny urząd, który otrzyma prośbę o certyfikat dla Twojej domeny, musi najpierw sprawdzić rekordy CAA i odmówić, jeśli nie ma go na liście.
Jakie są trzy typy znaczników rekordu CAA?
Każdy rekord CAA używa jednego z trzech znaczników. Znacznik mówi urzędom certyfikacji, jaki rodzaj instrukcji zawiera rekord.
Znacznik „issue”
Znacznik issue jest najczęstszy. Wskazuje urząd certyfikacji, który może wystawiać standardowe certyfikaty SSL dla Twojej domeny. Jeśli chcesz dopuścić dwa różne urzędy, dodajesz dwa osobne rekordy CAA, każdy ze znacznikiem issue i inną nazwą urzędu.
Na przykład jeśli domena używa certyfikatów od dwóch urzędów, miałaby dwa rekordy CAA.
- 0 issue "ca-przyklad.example"
- 0 issue "drugi-ca.example"
Jeśli chcesz całkowicie zablokować wystawianie certyfikatów, możesz ustawić wartość issue na średnik bez niczego po nim. To mówi każdemu urzędowi na świecie, że nikt nie jest upoważniony do wystawiania certyfikatów dla Twojej domeny.
Znacznik „issuewild”
Znacznik issuewild działa tak samo jak issue, ale dotyczy tylko certyfikatów wildcard. Certyfikat wildcard obejmuje domenę główną i wszystkie jej subdomeny naraz (jak *.twojadomena.com).
Jeśli ustawisz rekord issuewild, kontroluje on, które urzędy mogą wystawiać certyfikaty wildcard, osobno od tego, kto może wystawiać zwykłe. To przydatne, jeśli chcesz, by jeden urząd obsługiwał standardowe certyfikaty, a inny certyfikaty wildcard, albo jeśli chcesz całkowicie zablokować certyfikaty wildcard, nadal dopuszczając standardowe.
Jeśli rekord issuewild nie istnieje, znacznik issue domyślnie dotyczy zarówno certyfikatów standardowych, jak i wildcard.
Znacznik „iodef”
Znacznik iodef nie kontroluje tego, kto może wystawiać certyfikaty. Zamiast tego mówi urzędom certyfikacji, dokąd wysłać raport, jeśli ktoś próbuje zażądać certyfikatu naruszającego Twoją politykę CAA.
Wartością jest zwykle adres e-mail lub URL. Na przykład.
- 0 iodef "mailto:security@twojadomena.com"
To oznacza, że jeśli urząd certyfikacji otrzyma prośbę o certyfikat dla Twojej domeny, a rekord CAA mówi, że ten urząd nie jest upoważniony, powinien wysłać powiadomienie na ten adres e-mail. Nie wszystkie urzędy obsługują raportowanie iodef, ale te, które to robią, dają wgląd w nieautoryzowane prośby o certyfikaty.
Jak dodać rekord CAA?
Dodawanie rekordu CAA przebiega podobnie jak dodawanie każdego innego rekordu DNS. Jeśli dodawano już rekord TXT lub A, będzie to znajome.
- Zaloguj się do panelu zarządzania DNS, w którym ustawione są serwery nazw domeny. Zwykle to rejestrator domeny lub dostawca hostingu
- Znajdź sekcję rekordów DNS lub edytor strefy DNS
- Kliknij opcję dodania nowego rekordu
- Wybierz CAA jako typ rekordu
- Ustaw flagę na 0, chyba że masz konkretny powód, by użyć 128
- Wybierz typ znacznika. Użyj „issue” dla standardowych certyfikatów, „issuewild” dla certyfikatów wildcard albo „iodef” dla raportów o naruszeniach
- Wpisz wartość. Dla issue i issuewild jest to nazwa domeny urzędu certyfikacji. Dla iodef jest to adres e-mail lub URL do raportów
- Zapisz rekord
Jeśli chcesz upoważnić więcej niż jeden urząd certyfikacji, dodaj osobny rekord CAA dla każdego. Zmiany DNS mogą się rozchodzić od kilku minut do 48 godzin. Więcej o tym przeczytasz w rozdziale o tym, jak działa DNS.
Czy potrzebny jest rekord CAA?
Rekord CAA nie jest wymagany. Domena będzie działać doskonale bez niego, a certyfikat SSL nadal będzie funkcjonować. Ale rekord dodaje przydatną warstwę bezpieczeństwa domeny, której ustawienie nic nie kosztuje.
Bez rekordu CAA każdy urząd certyfikacji może wystawić certyfikat SSL dla Twojej domeny, jeśli ktoś o niego poprosi. W większości przypadków nie jest to problem, bo urzędy mają własne kroki weryfikacji. Ale te kroki nie są niezawodne. Zdarzały się przypadki, że certyfikaty wystawiono niewłaściwym osobom, przez pomyłki lub przez urzędy ze słabszymi procesami weryfikacji.
Gdy rekord CAA jest na miejscu, certyfikaty mogą wystawiać tylko wskazane przez Ciebie urzędy. Każdy inny urząd musi odmówić, nawet jeśli osoba, która o niego prosi, przejdzie jego zwykłe kontrole. To drobny dodatek do strefy DNS, który zmniejsza całą kategorię ryzyka.
Co się stanie, jeśli rekord CAA zablokuje prawidłową prośbę?
Jeśli dodasz rekord CAA wskazujący jeden urząd, a potem spróbujesz uzyskać certyfikat od innego, prośba się nie powiedzie. Urząd sprawdzi rekordy CAA, zobaczy, że nie jest upoważniony, i odmówi wystawienia certyfikatu.
To nie błąd. To cały sens. Ale oznacza, że rekordy CAA trzeba utrzymywać zgodne z urzędem, z którego korzysta dostawca hostingu lub platforma stron. Jeśli zmienisz dostawcę hostingu, a nowy używa innego urzędu, trzeba zaktualizować rekordy CAA o nowy.
Rozwiązanie jest proste. Dodaj nowy rekord CAA dla nowego urzędu albo zaktualizuj istniejący. Ważne, by sprawdzić rekordy CAA za każdym razem, gdy zmieniasz dostawcę SSL lub konfigurację hostingu.
Jak WEMASY obsługuje rekordy CAA
Gdy budujesz stronę w WEMASY i podłączasz własną domenę, WEMASY automatycznie wystawia certyfikat SSL i nim zarządza. Jeśli chcesz dodać rekord CAA dla dodatkowego bezpieczeństwa, instrukcja konfiguracji domeny w WEMASY mówi, który urząd certyfikacji upoważnić, by odnowienie certyfikatu nigdy nie zostało zablokowane.
WEMASY zajmuje się SSL, hostingiem i konfiguracją domeny w jednym miejscu, więc nie musisz się martwić, że niezgodne rekordy CAA zepsują certyfikat. Jeśli dodasz rekord CAA, upewnij się tylko, że zawiera urząd, z którego korzysta WEMASY. Zobacz, co zawiera każdy pakiet, na stronie cennika WEMASY.
Co dalej
Skoro wiesz już, jak rekord CAA kontroluje, które urzędy certyfikacji mogą wystawiać certyfikaty SSL dla domeny, następny rozdział omawia rekordy SRV. Rekordy SRV mówią internetowi, gdzie znaleźć konkretne usługi działające w domenie, jak serwery VoIP czy czatu. Przegląd wszystkich typów rekordów i wskazówki, kiedy użyć każdego, znajdziesz w rozdziale o rodzajach rekordów DNS.
Najczęstsze pytania
Czy rekord CAA wpływa na szybkość lub dostępność strony?
Nie. Rekordy CAA są sprawdzane tylko wtedy, gdy urząd certyfikacji przetwarza nową prośbę o certyfikat. Nie biorą udziału w tym, jak wczytuje się strona ani jak odwiedzający do niej docierają. Szybkość i dostępność strony zależą od hostingu, rekordu A i wydajności serwera, a nie od ustawień CAA. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Co się stanie, jeśli nie ma żadnych rekordów CAA?
Jeśli domena nie ma rekordów CAA, każdy urząd certyfikacji na świecie może wystawiać dla niej certyfikaty. To stan domyślny większości domen. Nie powoduje natychmiastowego problemu, ale oznacza brak ograniczeń co do tego, kto może uzyskać certyfikat SSL na nazwę Twojej domeny.
Czy można ustawić rekordy CAA na subdomenach?
Tak. Możesz ustawić rekordy CAA na konkretnych subdomenach, by kontrolować wystawianie certyfikatów bardziej szczegółowo. Jeśli subdomena ma własny rekord CAA, ma on pierwszeństwo przed rekordem na domenie głównej. Jeśli na subdomenie nie ma rekordu CAA, urząd sprawdza zamiast tego rekordy CAA domeny nadrzędnej.
Jak sprawdzić, z którego urzędu certyfikacji korzysta dostawca hostingu?
Najłatwiej sprawdzić obecny certyfikat SSL. W większości przeglądarek można kliknąć ikonę kłódki w pasku adresu, wyświetlić szczegóły certyfikatu i zobaczyć, który urząd go wystawił. Można też skontaktować się bezpośrednio z dostawcą hostingu. Wśród urzędów certyfikacji są bezpłatne i płatne, a wielu dostawców hostingu wybiera jeden z nich automatycznie.
Czy rekord CAA uniemożliwi komuś stworzenie fałszywej wersji mojej strony?
Rekord CAA utrudnia uzyskanie prawidłowego certyfikatu SSL dla Twojej domeny od nieupoważnionego urzędu. Nie zapobiega wszystkim formom phishingu ani podszywania się, ale usuwa jedną drogę, z której mógłby skorzystać atakujący. W połączeniu z silnymi hasłami, ochroną prywatności WHOIS i dbaniem o bezpieczeństwo konta u rejestratora rekord CAA to jeden z elementów szerszej konfiguracji bezpieczeństwa.