Wie mag certificaten uitgeven voor deze naam?

Voor uitgifte zoekt een CA CAA-records op de exacte naam, dan op elke parent tot het geregistreerde domein, en stopt bij de eerste set; een record op de parent dekt elke naam eronder die er zelf geen heeft. De issue-tag noemt CA’s die gewone certificaten mogen uitgeven, issuewild die voor wildcards, iodef waar een geweigerde aanvraag gemeld wordt. De waarde “;” betekent geen enkele CA. Records worden alleen bij uitgifte gecontroleerd; een bestaand certificaat blijft geldig als u ze wijzigt.