DNS et domaines
Enregistrement CAA
Un enregistrement DNS qui indique quelles autorités de certification peuvent émettre des certificats pour un domaine. Une AC doit le vérifier avant d'émettre.
Les enregistrements CAA permettent au titulaire d'un domaine de restreindre qui peut émettre des certificats TLS pour celui-ci. Avant d'émettre, une autorité de certification cherche des enregistrements CAA sur le nom, puis sur chacun de ses parents, et utilise le premier jeu qu'elle trouve. Si l'AC n'y figure pas, elle doit refuser.
L'enregistrement comporte un drapeau, une étiquette et une valeur. issue désigne une AC autorisée à émettre des certificats ordinaires (0 issue "letsencrypt.org"), issuewild celles autorisées à émettre des wildcards, et iodef une adresse ou une URL où les demandes refusées sont signalées. Une valeur ; signifie aucune AC du tout.
Sans enregistrement CAA, n'importe quelle AC publiquement reconnue peut émettre pour le nom. C'est le comportement par défaut et il fonctionne très bien ; un enregistrement limite les dégâts si quelqu'un parvient à tromper une AC, et iodef vous prévient quand cela arrive. Les enregistrements ne sont vérifiés qu'à l'émission ; les modifier n'a aucun effet sur les certificats déjà existants.