CAA Record (Certification Authority Authorization)
Что такое CAA Record (Certification Authority Authorization)?
CAA Record (Certification Authority Authorization)A DNS record type (RFC 8659) that lets a domain owner restrict which Certificate Authorities are allowed to issue certificates for the domain, blocking accidental or malicious mis-issuance by other CAs.
A CAA record (Certification Authority Authorization, originally RFC 6844 and updated by RFC 8659) is a DNS resource record that lets a domain owner enumerate exactly which CAs may issue certificates for the domain. The record carries three fields: a flag byte, a property tag (`issue`, `issuewild`, `iodef`), and a value (typically a CA's issuer name such as `letsencrypt.org` or `digicert.com`). Since September 2017, all CAB Forum-trusted public CAs are required by the Baseline Requirements to check CAA records before issuing certificates and to refuse issuance if the record forbids them. A typical hardened deployment looks like `example.com. CAA 0 issue "letsencrypt.org"; example.com. CAA 0 issuewild ";"; example.com. CAA 0 iodef "mailto:security@example.com"`. The third record asks misbehaving CAs to report any rejected issuance attempt. CAA significantly reduces the risk of cert mis-issuance — by typosquatted domains, by hijacked CA accounts, by lookalike-CAs in obscure trust stores — and is one of the simplest single-record web-hygiene wins available. It pairs naturally with Certificate Transparency monitoring.
● Примеры
- 01
An organization publishes `CAA 0 issue "letsencrypt.org"` so that no other public CA can issue end-entity certificates for the domain.
- 02
A CT-monitoring alert fires on a certificate issued for the domain by a CA not listed in its CAA records, indicating either a misconfiguration or a CA non-compliance event.
● Частые вопросы
Что такое CAA Record (Certification Authority Authorization)?
A DNS record type (RFC 8659) that lets a domain owner restrict which Certificate Authorities are allowed to issue certificates for the domain, blocking accidental or malicious mis-issuance by other CAs. Относится к категории Сетевая безопасность в кибербезопасности.
Что означает CAA Record (Certification Authority Authorization)?
A DNS record type (RFC 8659) that lets a domain owner restrict which Certificate Authorities are allowed to issue certificates for the domain, blocking accidental or malicious mis-issuance by other CAs.
Как работает CAA Record (Certification Authority Authorization)?
A CAA record (Certification Authority Authorization, originally RFC 6844 and updated by RFC 8659) is a DNS resource record that lets a domain owner enumerate exactly which CAs may issue certificates for the domain. The record carries three fields: a flag byte, a property tag (`issue`, `issuewild`, `iodef`), and a value (typically a CA's issuer name such as `letsencrypt.org` or `digicert.com`). Since September 2017, all CAB Forum-trusted public CAs are required by the Baseline Requirements to check CAA records before issuing certificates and to refuse issuance if the record forbids them. A typical hardened deployment looks like `example.com. CAA 0 issue "letsencrypt.org"; example.com. CAA 0 issuewild ";"; example.com. CAA 0 iodef "mailto:security@example.com"`. The third record asks misbehaving CAs to report any rejected issuance attempt. CAA significantly reduces the risk of cert mis-issuance — by typosquatted domains, by hijacked CA accounts, by lookalike-CAs in obscure trust stores — and is one of the simplest single-record web-hygiene wins available. It pairs naturally with Certificate Transparency monitoring.
Как защититься от CAA Record (Certification Authority Authorization)?
Защита от CAA Record (Certification Authority Authorization) обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия CAA Record (Certification Authority Authorization)?
Распространённые альтернативные названия: Certification Authority Authorization, CAA DNS record.
● Связанные термины
- network-security№ 174
Удостоверяющий центр (УЦ)
Доверенная организация, выпускающая и подписывающая цифровые сертификаты, связывая открытые ключи с подтверждёнными идентичностями — например, доменами или организациями.
- defense-ops№ 177
Прозрачность сертификатов
Экосистема публичных append-only журналов TLS-сертификатов, определённая RFC 6962 и 9162, позволяющая всем проверять, какие сертификаты выпущены для любого домена.
- network-security№ 981
Инфраструктура открытых ключей (PKI)
Совокупность политик, ПО, оборудования и доверенных центров, выпускающая, распространяющая, проверяющая и отзывающая цифровые сертификаты, связывающие идентичности с открытыми ключами.
- network-security№ 380
DNSSEC
Набор расширений DNS, который использует цифровые подписи, чтобы резолверы могли проверить подлинность и целостность DNS-записей.
- network-security№ 1385
Сертификат X.509
Стандартная структура цифрового сертификата, связывающего открытый ключ с идентичностью посредством подписи доверенного удостоверяющего центра.
- network-security№ 444
Сертификат расширенной проверки (EV)
TLS-сертификат, выпускаемый только после строгой стандартизированной проверки УЦ юридической личности, физического существования и полномочий запрашивающей организации.