Dokumentacija

Dodajte zapis CAA

Dodajte zapis CAA

Overiteljev certifikatov je na desetine in privzeto lahko vsak od njih izda certifikat za vašo domeno. CAA je zapis DNS, ki našteje tiste, ki jih res uporabljate. Vsak javni overitelj ga mora pred izdajo preveriti, zato napaka ali zvijača pri overitelju, s katerim nimate opravka, ne konča več z veljavnim certifikatom za example.com v tujih rokah.

To je majhen, neobvezen korak utrjevanja, zato kontrolni seznam strani manjkajoč zapis CAA pokaže kot informacijo, ne kot težavo. Splača se ga narediti, ko vam je domena pomembna, a previdno: zapis CAA, ki izpusti vašega pravega overitelja, prepreči podaljšanje certifikata.

Kako izgleda zapis

Tip Ime Vrednost TTL
CAA @ 0 issue "letsencrypt.org" 3600
CAA @ 0 issue "sectigo.com" 3600
CAA @ 0 iodef "mailto:security@example.com" 3600
Del Pomen
0 zastavice; vedno 0
issue ta overitelj sme izdajati običajne certifikate
issuewild ta overitelj sme izdajati certifikate z nadomestnim znakom (*.example.com); brez njega issue pokrije tudi te
iodef neobvezno: kam lahko overitelj sporoči zavrnjeno zahtevo; poročil ne pošilja vsak

Vrednost je domena overitelja:

Overitelj Vrednost
Let's Encrypt letsencrypt.org
Sectigo (prej Comodo) sectigo.com
DigiCert (tudi GeoTrust, RapidSSL, Thawte) digicert.com
Google Trust Services pki.goog
GlobalSign globalsign.com
ZeroSSL sectigo.com
Amazon (AWS Certificate Manager) amazon.com

Zapis na example.com pokrije tudi vse poddomene (www, shop, mail), razen če ima poddomena svoje zapise CAA.

Ugotovite, katere overitelje uporabljate

To je korak, ki šteje. Naštejte vse, kar ima certifikat za domeno ali katero koli poddomeno: gostovanje, CDN, platformo za trgovino ali pristajalne strani na shop.example.com, poštni strežnik, statusno stran na vaši domeni. Nato preverite, kdo je izdal posamezen certifikat:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -issuer
echo | openssl s_client -connect shop.example.com:443 -servername shop.example.com 2>/dev/null | openssl x509 -noout -issuer

Izdajatelj z O = Let's Encrypt pomeni letsencrypt.org, O = Sectigo Limited pomeni sectigo.com, O = Google Trust Services pomeni pki.goog.

Opozorilo: overitelj, ki ga uporabljate danes, ni nujno tisti ob naslednjem podaljšanju. cPanel AutoSSL lahko uporablja Sectigo ali Let's Encrypt, odvisno od izbire ponudnika, ponudniki pa včasih zamenjajo. Cloudflare uporablja več overiteljev. Če ste v dvomih, dovolite oba ali vprašajte ponudnika.

Preverite sami

dig +short CAA example.com

Brez izpisa pomeni, da zapisa CAA ni (izda lahko vsak overitelj). Popravljeno pomeni eno vrstico za vsakega dovoljenega overitelja, na primer 0 issue "letsencrypt.org".

Kako popraviti

Za vsakega overitelja dodajte en zapis CAA tam, kjer gostuje DNS domene (dig +short NS example.com pove, kje).

cPanel

  1. Ugotovite, katerega overitelja uporablja AutoSSL pri vašem ponudniku: preverite izdajatelja z ukazom openssl zgoraj, v dvomu pa vprašajte podporo. Večina ponudnikov uporablja Sectigo ali Let's Encrypt.
  2. Odprite Domains → Zone Editor in ob domeni kliknite Manage.
  3. Add Record, izberite tip CAA, ime example.com., zastavico 0, oznako issue, vrednost letsencrypt.org (ali sectigo.com) in Save Record.
  4. Ponovite za vsakega overitelja, ki ga potrebujete.

Po dodajanju zapisov poženite SSL/TLS Status → Run AutoSSL in preverite, da še vedno uspe.

Če DNS domene gostuje drugje, zapise dodajte tam.

Plesk

Plesk izdaja certifikate pri Let's Encrypt prek razširitve SSL It!, razen če ste sami namestili drug certifikat.

  1. Websites & Domains → example.com → Hosting & DNS → DNS (starejše različice: DNS Settings).
  2. Add Record, tip CAA, zastavica 0, oznaka issue, vrednost letsencrypt.org.
  3. Kliknite OK in spremembe uveljavite z Update, če Plesk to zahteva.

Če uporabljate tudi kupljen certifikat (DigiCert, Sectigo), dodajte zapis še za tega overitelja.

DirectAdmin

Vgrajeni certifikati v DirectAdminu so od Let's Encrypt (ali ZeroSSL, če je ponudnik to spremenil). V Account Manager → DNS Management dodajte zapis tipa CAA z vrednostjo 0 issue "letsencrypt.org" (in 0 issue "sectigo.com" za ZeroSSL).

Če CAA na seznamu tipov ni, ga vaša različica DirectAdmina ali ponudnik ne podpira: ponudnika prosite, naj zapis doda.

Cloudflare

Ko je aktiven Cloudflarov Universal SSL ali Advanced Certificate Manager, Cloudflare uporablja več overiteljev in potrebne zapise CAA doda samodejno, takoj ko sami dodate kateri koli zapis CAA. Na nadzorni plošči jih ne vidite, dig pa jih pokaže. Zapise torej dodate samo za certifikate, ki niso od Cloudflara, na primer za certifikat na izvornem strežniku ali na poddomeni, ki ni posredovana prek Cloudflara.

  1. Odprite domeno in pojdite na DNS → Records → Add record.
  2. Tip CAA, ime @, zastavice 0, oznaka Only allow specific hostnames, ime domene overitelja letsencrypt.org.
  3. Save in ponovite za druge overitelje, ki jih uporabljate.

Nato poženite dig +short CAA example.com: poleg vaših se morajo pokazati tudi Cloudflarovi vnosi.

Ponudnik DNS

V cono DNS dodajte en zapis CAA za vsakega overitelja:

Tip Ime / Host Zastavice Oznaka Vrednost TTL
CAA @ 0 issue letsencrypt.org 3600
CAA @ 0 issue sectigo.com 3600

Nekateri ponudniki imajo ločena polja za zastavice, oznako in vrednost; drugi sprejmejo eno vrstico, kot je 0 issue "letsencrypt.org". Če ponudnik tipa CAA sploh ne ponuja, ga tam ne morete dodati in postavka na kontrolnem seznamu ostane informativna.

Pasti

  • Poddomene na drugih platformah. Če shop.example.com s CNAME kaže na platformo za trgovino ali izdelavo strani, certifikat izda ta platforma in zanjo veljajo zapisi CAA na vaši glavni domeni. Če njenega overitelja izpustite, certifikat trgovine odpove ob naslednjem podaljšanju, pogosto 60 do 90 dni kasneje, ko se spremembe nihče več ne spomni.
  • Zlomi se ob podaljšanju. CAA na obstoječe certifikate ne vpliva. Prvi znak napake je napaka pri podaljšanju tedne kasneje. Preverjanje SSL v PulseKeeperju opozori, preden certifikat poteče, kar vam da čas, da zapis popravite.
  • Odstranite overitelje, ki jih ne uporabljate več, a šele ko je zadnji njihov certifikat zamenjan.

Potrdite popravek

Znova poženite ukaz dig iz razdelka Preverite sami, nato v PulseKeeperju odprite tarčo in na zavihku Kontrolni seznam kliknite Preveri zdaj. Postavka v nekaj minutah pokaže dovoljene overitelje.