DNS und Domains
CAA-Record
Ein DNS-Record, der festlegt, welche Zertifizierungsstellen Zertifikate für eine Domain ausstellen dürfen. Eine CA muss ihn vor der Ausstellung prüfen.
Mit CAA-Records kann ein Domaininhaber einschränken, wer TLS-Zertifikate dafür ausstellen darf. Vor der Ausstellung sucht eine Zertifizierungsstelle nach CAA-Records auf dem Namen und dann auf jedem übergeordneten Namen und verwendet den ersten Satz, den sie findet. Ist die CA nicht aufgeführt, muss sie ablehnen.
Der Record besteht aus einem Flag, einem Tag und einem Wert. issue nennt eine CA, die gewöhnliche Zertifikate ausstellen darf (0 issue "letsencrypt.org"), issuewild die CAs, die Wildcards ausstellen dürfen, und iodef eine Adresse oder URL, an die abgelehnte Anfragen gemeldet werden. Der Wert ; bedeutet: gar keine CA.
Ohne CAA-Record darf jede öffentlich vertrauenswürdige CA für den Namen ausstellen. Das ist der Standard und funktioniert; ein Record begrenzt den Schaden, falls es jemandem gelingt, eine CA zu täuschen, und iodef sagt Ihnen Bescheid, wenn das passiert. Records werden nur bei der Ausstellung geprüft; eine Änderung hat keine Auswirkung auf bereits vorhandene Zertifikate.