example.com. 3600 IN CAA 0 issue "letsencrypt.org"
Un record CAA (Certification Authority Authorization, RFC 8659) elenca le autorità di certificazione (CA) autorizzate a emettere certificati TLS per un dominio. Tutte le CA pubbliche devono controllare il CAA prima di emettere; se esistono record e la CA non è elencata, deve rifiutare.
Tag
issue: le CA che possono emettere certificati per il nome.issuewild: le CA che possono emettere certificati wildcard.iodef: dove le CA segnalano le richieste rifiutate (mailto:ohttps:).
Il CAA si eredita: un record su example.com vale anche per www.example.com, se il sottodominio non ha record CAA propri. Se non esiste alcun record CAA, qualsiasi CA può emettere certificati.
Domande frequenti
- Mi serve un record CAA?
- È facoltativo ma consigliato: riduce il rischio che una CA che non usi emetta per errore un certificato.
- Perché il rinnovo del certificato è fallito dopo aver aggiunto il CAA?
- La CA che usi non è nell'elenco. Aggiungi un tag issue con il suo identificativo, per esempio letsencrypt.org.