Web & Zertifikate

Was ist CAA? Certification Authority Authorization erklärt

Ein CAA-Record legt fest, welche Zertifizierungsstellen Zertifikate für eine Domain ausstellen dürfen. Alle öffentlichen Zertifizierungsstellen müssen ihn vor der Ausstellung prüfen.

So funktioniert CAA

Der CAA-Record nennt mit issue die erlaubten Zertifizierungsstellen für normale Zertifikate und mit issuewild die für Wildcard-Zertifikate. Fehlt ein CAA-Record, darf jede Zertifizierungsstelle ausstellen.

Mit iodef gibst du eine Adresse an, an die Zertifizierungsstellen verweigerte Anträge melden können. Seit September 2017 ist die CAA-Prüfung für öffentliche Zertifizierungsstellen verpflichtend.

CAA gilt für die Domain und ihre Subdomains: Hat eine Subdomain keinen eigenen CAA-Record, gilt der nächsthöhere. Der Domain Trust Check prüft außerdem, ob die Zertifizierungsstelle des aktuellen Zertifikats erlaubt ist.

Beispiel

example.com.  CAA  0 issue "letsencrypt.org"
example.com.  CAA  0 issuewild ";"
example.com.  CAA  0 iodef "mailto:security@example.com"

Nur Let's Encrypt darf ausstellen, Wildcard-Zertifikate sind ganz verboten.

Typische Fehler

Die Zertifizierungsstelle des Hosters fehlt im CAA-Record – die nächste automatische Erneuerung schlägt fehl.
Tippfehler im Namen der Zertifizierungsstelle (z. B. „letsencrypt.com“).
Ein vergessener CAA-Record auf einer Subdomain überschreibt die Regel der Hauptdomain.

So bewertet der Domain Trust Check CAA

Kriterium „CAA“ (Gewicht 4 von 5): CAA-Record mit issue- und issuewild-Einträgen, iodef-Meldeadresse und ob die Zertifizierungsstelle des aktuellen Zertifikats erlaubt ist.

Standard: RFC 8659