Dokumentacja

Dodaj rekord CAA

Dodaj rekord CAA

Urzędów certyfikacji są dziesiątki i domyślnie każdy z nich może wystawić certyfikat dla Twojej domeny. CAA to rekord DNS, który wymienia te, z których faktycznie korzystasz. Każdy publiczny urząd musi go sprawdzić przed wystawieniem, więc błąd lub podstęp w urzędzie, z którym nie masz nic wspólnego, nie kończy się już ważnym certyfikatem dla example.com w cudzych rękach.

To mały, opcjonalny krok wzmocnienia, dlatego lista kontrolna strony pokazuje brak rekordu CAA jako informację, a nie problem. Warto go zrobić, gdy domena jest dla Ciebie ważna, ale ostrożnie: rekord CAA, który pomija Twój prawdziwy urząd, blokuje odnowienie certyfikatu.

Jak wygląda rekord

Typ Nazwa Wartość TTL
CAA @ 0 issue "letsencrypt.org" 3600
CAA @ 0 issue "sectigo.com" 3600
CAA @ 0 iodef "mailto:security@example.com" 3600
Część Znaczenie
0 flagi; zawsze 0
issue ten urząd może wystawiać zwykłe certyfikaty
issuewild ten urząd może wystawiać certyfikaty wildcard (*.example.com); bez tego issue obejmuje też wildcardy
iodef opcjonalnie: dokąd urząd może zgłosić odrzucone żądanie; nie każdy wysyła zgłoszenia

Wartość to domena urzędu:

Urząd certyfikacji Wartość
Let's Encrypt letsencrypt.org
Sectigo (dawniej Comodo) sectigo.com
DigiCert (także GeoTrust, RapidSSL, Thawte) digicert.com
Google Trust Services pki.goog
GlobalSign globalsign.com
ZeroSSL sectigo.com
Amazon (AWS Certificate Manager) amazon.com

Rekord na example.com obejmuje też każdą subdomenę (www, shop, mail), chyba że subdomena ma własne rekordy CAA.

Sprawdź, z jakich urzędów korzystasz

To najważniejszy krok. Wypisz wszystko, co ma certyfikat dla domeny lub dowolnej subdomeny: hosting, CDN, platformę sklepu lub landing page'y na shop.example.com, serwer poczty, stronę statusu na Twojej domenie. Potem sprawdź, kto wystawił każdy certyfikat:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -issuer
echo | openssl s_client -connect shop.example.com:443 -servername shop.example.com 2>/dev/null | openssl x509 -noout -issuer

Wystawca z O = Let's Encrypt oznacza letsencrypt.org, O = Sectigo Limited oznacza sectigo.com, O = Google Trust Services oznacza pki.goog.

Ostrzeżenie: urząd używany dziś nie zawsze jest tym przy następnym odnowieniu. cPanel AutoSSL może używać Sectigo albo Let's Encrypt, zależnie od wyboru hostingu, a hostingi czasem to zmieniają. Cloudflare korzysta z kilku urzędów. W razie wątpliwości zezwól na oba albo zapytaj hosting.

Sprawdź sam

dig +short CAA example.com

Brak wyniku oznacza brak rekordu CAA (każdy urząd może wystawić certyfikat). Naprawione oznacza jedną linię na każdy dozwolony urząd, np. 0 issue "letsencrypt.org".

Jak to naprawić

Dodaj jeden rekord CAA na każdy urząd tam, gdzie hostowany jest DNS domeny (dig +short NS example.com powie gdzie).

cPanel

  1. Sprawdź, z jakiego urzędu korzysta AutoSSL u Twojego hostingu: zobacz wystawcę poleceniem openssl powyżej, a w razie wątpliwości zapytaj wsparcie. Większość hostingów używa Sectigo lub Let's Encrypt.
  2. Otwórz Domains → Zone Editor i kliknij Manage przy domenie.
  3. Add Record, wybierz typ CAA, nazwa example.com., flaga 0, tag issue, wartość letsencrypt.org (lub sectigo.com) i Save Record.
  4. Powtórz dla każdego potrzebnego urzędu.

Po dodaniu rekordów uruchom SSL/TLS Status → Run AutoSSL i upewnij się, że nadal się udaje.

Jeśli DNS domeny jest hostowany gdzie indziej, dodaj rekordy tam.

Plesk

Plesk wystawia certyfikaty w Let's Encrypt przez rozszerzenie SSL It!, chyba że sam zainstalowałeś inny certyfikat.

  1. Websites & Domains → example.com → Hosting & DNS → DNS (starsze wersje: DNS Settings).
  2. Add Record, typ CAA, flaga 0, tag issue, wartość letsencrypt.org.
  3. Kliknij OK i zastosuj zmiany przez Update, jeśli Plesk o to prosi.

Jeśli używasz też kupionego certyfikatu (DigiCert, Sectigo), dodaj rekord również dla tego urzędu.

DirectAdmin

Wbudowane certyfikaty w DirectAdmin pochodzą z Let's Encrypt (lub ZeroSSL, jeśli hosting to zmienił). W Account Manager → DNS Management dodaj rekord typu CAA z wartością 0 issue "letsencrypt.org" (oraz 0 issue "sectigo.com" dla ZeroSSL).

Jeśli CAA nie ma na liście typów, Twoja wersja DirectAdmin lub hosting go nie obsługuje: poproś hosting o dodanie rekordu.

Cloudflare

Gdy aktywny jest Universal SSL lub Advanced Certificate Manager Cloudflare, Cloudflare korzysta z kilku urzędów i sam dodaje potrzebne rekordy CAA, gdy tylko dodasz jakikolwiek rekord CAA. Nie widać ich w panelu, ale dig je pokazuje. Dodajesz więc rekordy tylko dla certyfikatów, które nie pochodzą z Cloudflare, na przykład dla certyfikatu na serwerze źródłowym albo na subdomenie, która nie jest proxowana.

  1. Otwórz domenę i przejdź do DNS → Records → Add record.
  2. Typ CAA, nazwa @, flagi 0, tag Only allow specific hostnames, nazwa domeny urzędu letsencrypt.org.
  3. Save i powtórz dla innych urzędów, z których korzystasz.

Następnie uruchom dig +short CAA example.com: obok Twoich powinny pojawić się wpisy Cloudflare.

Dostawca DNS

W strefie DNS dodaj jeden rekord CAA na każdy urząd:

Typ Nazwa / Host Flagi Tag Wartość TTL
CAA @ 0 issue letsencrypt.org 3600
CAA @ 0 issue sectigo.com 3600

Niektórzy dostawcy mają osobne pola na flagi, tag i wartość; inni przyjmują jedną linię, np. 0 issue "letsencrypt.org". Jeśli dostawca w ogóle nie oferuje typu CAA, nie dodasz go tam, a pozycja na liście kontrolnej zostanie informacyjna.

Pułapki

  • Subdomeny na innych platformach. Jeśli shop.example.com wskazuje rekordem CNAME na platformę sklepu lub kreator stron, certyfikat wystawia ta platforma i obowiązują ją rekordy CAA z Twojej domeny głównej. Pomiń jej urząd, a certyfikat sklepu zawiedzie przy następnym odnowieniu, często 60–90 dni później, gdy nikt już nie pamięta o zmianie.
  • Psuje się przy odnowieniu. CAA nie wpływa na istniejące certyfikaty. Pierwszym sygnałem błędu jest nieudane odnowienie tygodnie później. Sprawdzenie SSL w PulseKeeper ostrzega przed wygaśnięciem certyfikatu, co daje Ci czas na poprawienie rekordu.
  • Usuwaj urzędy, z których już nie korzystasz, ale dopiero po wymianie ich ostatniego certyfikatu.

Potwierdź poprawkę

Uruchom ponownie polecenie dig z sekcji Sprawdź sam, potem otwórz cel w PulseKeeper i kliknij Sprawdź teraz na zakładce Lista kontrolna. Pozycja w ciągu kilku minut pokaże dozwolone urzędy.