example.fi. 3600 IN CAA 0 issue "letsencrypt.org"
Um registo CAA (Certification Authority Authorization, RFC 8659) lista as autoridades de certificação (AC) autorizadas a emitir certificados TLS para um domínio. Todas as AC públicas têm de verificar o CAA antes de emitir; se houver registos e a AC não constar deles, tem de recusar.
Etiquetas
issue– AC que podem emitir certificados para o nome.issuewild– AC que podem emitir certificados wildcard.iodef– para onde as AC devem comunicar pedidos recusados (mailto:ouhttps:).
O CAA é herdado: um registo em example.fi aplica-se também a www.example.fi, a menos que o subdomínio tenha os seus próprios registos CAA. Se não existir nenhum registo CAA, qualquer AC pode emitir certificados.
Perguntas frequentes
- Preciso de um registo CAA?
- É opcional, mas recomendado: reduz o risco de uma AC que não usa emitir um certificado por engano.
- Porque é que a renovação do meu certificado falhou depois de adicionar CAA?
- A AC que usa não está na lista. Adicione uma etiqueta issue com o seu identificador, por exemplo letsencrypt.org.