DNS en domeinen
CAA-record
Een DNS-record dat zegt welke certificaatautoriteiten certificaten voor een domein mogen uitgeven. Een CA moet het controleren voordat hij uitgeeft.
Met CAA-records kan een domeineigenaar beperken wie TLS-certificaten voor het domein mag uitgeven. Voordat een certificaatautoriteit uitgeeft, zoekt hij CAA-records op de naam en daarna op elke bovenliggende naam, en gebruikt hij de eerste set die hij vindt. Staat de CA er niet in, dan moet hij weigeren.
Het record heeft een flag, een tag en een waarde. issue noemt een CA die gewone certificaten mag uitgeven (0 issue "letsencrypt.org"), issuewild de CA's die wildcards mogen uitgeven, en iodef een adres of URL waar geweigerde aanvragen worden gemeld. De waarde ; betekent: geen enkele CA.
Zonder CAA-record mag elke publiek vertrouwde CA voor de naam uitgeven. Dat is de standaard en werkt prima; een record beperkt de schade als iemand erin slaagt een CA te misleiden, en iodef laat u weten wanneer dat gebeurt. Records worden alleen bij uitgifte gecontroleerd; ze wijzigen heeft geen effect op certificaten die al bestaan.