Rekord CAA

Rekord CAA (ang. Certification Authority Authorization) to wpis w strefie DNS, który określa, które urzędy certyfikacji (CA) mają prawo wystawiać certyfikaty SSL/TLS dla danej domeny. To mechanizm obronny: ogranicza ryzyko, że nieuprawniony lub błędnie działający urząd wystawi certyfikat dla cudzej domeny.

Na czym polega rekord CAA

Wpis CAA wiąże domenę z nazwą urzędu certyfikacji i składa się z trzech elementów:

• flaga — zwykle 0; wartość krytyczności wpisu,
• tag — issue (certyfikaty zwykłe), issuewild (certyfikaty wieloznaczne) lub iodef (adres do zgłaszania naruszeń),
• wartość — domena uprawnionego CA, np. letsencrypt.org.

Zgodnie ze standardem każdy urząd certyfikacji ma obowiązek sprawdzić rekordy CAA domeny przed wystawieniem certyfikatu. Jeśli jego nazwy nie ma na liście, żądanie zostaje odrzucone. Aby zapis był wiarygodny, warto połączyć CAA z DNSSEC, które chroni strefę przed sfałszowaniem.

Zastosowanie w praktyce

Rekord CAA dodaje się, by trzymać dyscyplinę nad tym, kto wydaje certyfikaty dla firmowych domen — na przykład ograniczając wydawanie wyłącznie do jednego zaufanego urzędu, jak Let's Encrypt czy komercyjnego dostawcy. Wpis konfiguruje się w panelu DNS; trzeba tylko pamiętać, że zbyt wąska lista zablokuje automatyczne odnawianie certyfikatu innym narzędziem. To prosty, a często pomijany element higieny bezpieczeństwa domeny.

Rekord CAA a inne warstwy ochrony

Rekord CAA nie zastępuje ważności samego certyfikatu ani szyfrowania połączenia — działa wcześniej, na etapie wydawania certyfikatu, ograniczając krąg uprawnionych wystawców. Najlepiej traktować go jako jedną z wielu warstw ochrony domeny, obok DNSSEC, poprawnie skonfigurowanego TLS i mechanizmu HSTS wymuszającego bezpieczne połączenie. Wpis warto zweryfikować po zapisaniu — na przykład poleceniem dig nodea.pl CAA — i przejrzeć przy każdej zmianie dostawcy certyfikatów, aby uprawniony urząd nie został przypadkiem wykluczony z listy, co zablokowałoby odnowienie certyfikatu.