¿Qué es un registro CAA?

También llamado: Certification Authority Authorization, CAA record

Definición

Un registro CAA indica qué autoridades de certificación pueden emitir certificados SSL/TLS para un dominio. Si una autoridad no aparece en la lista, debe negarse a emitirlo.

Las autoridades de certificación están obligadas a consultar los registros CAA antes de emitir un certificado. Así, si tú solo usas Let’s Encrypt, puedes impedir que otra autoridad emita un certificado para tu dominio por error o por un engaño.

Ejemplo

example.com.  3600  IN CAA  0 issue "letsencrypt.org"
example.com.  3600  IN CAA  0 issuewild ";"
example.com.  3600  IN CAA  0 iodef "mailto:seguridad@example.com"

issue "letsencrypt.org" — solo Let’s Encrypt puede emitir certificados normales.
issuewild ";" — nadie puede emitir certificados wildcard.
iodef — dónde avisar si alguien lo intenta.

$ dig example.com CAA +short

Cosas que conviene saber

Si no hay ningún registro CAA, cualquier autoridad puede emitir. Es la situación por defecto y no es un error.
Los registros CAA se heredan: si tienda.example.com no tiene los suyos, se aplican los de example.com.

Errores habituales

Añadir CAA con una sola autoridad y olvidar que la CDN o el proveedor de hosting usa otra para sus certificados automáticos. La renovación falla semanas después, cuando nadie se acuerda del cambio.

¿Tienes un producto o servicio relacionado con Registro CAA? Anúnciate en este término.

Términos relacionados

Categorías: DNS Seguridad