Knowledge Base

CAA-запись: ограничение центров сертификации

Зачем нужна CAA

Категория: DNS · Риск: medium

Зачем нужна CAA

CAA не заменяет контроль домена, но снижает риск ошибочного или несанкционированного выпуска сертификата у неожиданного центра сертификации. Это простая DNS-настройка, которую часто забывают даже на зрелых проектах.

Минимальный production baseline

Если сертификаты выпускаются через Let's Encrypt:

example.com. 3600 IN CAA 0 issue "letsencrypt.org"

Проверьте, что CAA совпадает с фактическим issuer:

dig example.com CAA +short
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -issuer

Если домен использует несколько CA, добавьте отдельную `issue` запись для каждого разрешённого CA. Не добавляйте случайные CA "на всякий случай": CAA теряет смысл, если список слишком широкий.