CAA záznam je méně známá, ale praktická část DNS bezpečnosti. Říká certifikačním autoritám, které z nich smějí vystavit certifikát pro vaši doménu. Když je nastavený správně, snižuje riziko, že někdo omylem nebo neoprávněně získá certifikát od jiné autority, než kterou skutečně používáte.
Co je CAA záznam
CAA znamená Certification Authority Authorization. Jde o DNS záznam, kterým vlastník domény stanoví pravidla pro vydávání certifikátů. Certifikační autorita si před vystavením certifikátu může ověřit, jestli je v DNS povolená. Pokud povolená není, měla by vydání odmítnout.
Na rozdíl od DNSSEC CAA nechrání integritu DNS odpovědí. Jeho úkol je užší: dát autoritám jasný seznam, kdo smí vydávat certifikáty pro web nebo wildcard subdomény.
Kdy má CAA smysl
- Používáte jeden konkrétní způsob vydávání SSL, například Let's Encrypt nebo certifikáty přes CDN.
- Spravujete více subdomén a chcete omezit chaos kolem certifikátů.
- Na doméně pracuje více dodavatelů a potřebujete jasná pravidla, kdo smí vydání řešit.
- Máte citlivější projekt a chcete přidat další vrstvu kontroly vedle běžné správy DNS.
U malého webu není CAA povinnost. Je to ale jednoduché opatření s malou režijní náročností, takže u dlouhodobě spravovaných domén dává smysl poměrně často.
Jak CAA vypadá v praxi
Nejběžnější forma říká, která autorita smí vydat standardní certifikát. Typický zápis může vypadat takto:
example.cz CAA 0 issue "letsencrypt.org"
Pro wildcard certifikáty existuje varianta issuewild. Můžete také přidat kontakt pro incidenty pomocí iodef, kam autorita pošle upozornění na problém nebo konflikt v pravidlech.
Co přesně povolit
To záleží na tom, odkud certifikáty skutečně berete. Pokud vše řeší jeden hosting nebo CDN, je rozumné povolit jen autoritu, kterou používá tato služba. Pokud kombinujete více systémů, třeba hlavní web na hostingu a zvlášť službu pro edge proxy, musíte povolit každou autoritu, která má legitimně certifikáty vydávat.
Právě tady vzniká nejčastější chyba: doména už má CAA jen pro jednu autoritu, ale nový poskytovatel SSL používá jinou. Výsledek pak není bezpečnostní incident, ale selhané vydání nebo obnova certifikátu.
Nejčastější chyby při nastavení
- CAA chybí po migraci a pravidla pro vydávání jsou nejasná.
- V DNS zůstane stará autorita, ale nový hosting potřebuje jinou.
- Zapomene se na wildcard certifikát a chybí
issuewild. - Subdomény mají vlastní DNS delegaci, ale nikdo nekontroluje jejich CAA politiku.
- Záznam se otestuje jen na hlavní doméně, ne na konkrétním hostname, kde se certifikát vydává.
Jak CAA souvisí s hostingem a CDN
Na běžném sdíleném hostingu může SSL vystavení probíhat automaticky a CAA nemusíte řešit každý den. Jakmile ale zapojíte reverzní proxy, CDN, externí WAF nebo více prostředí pro staging a produkci, začne být důležité vědět, kdo certifikát opravdu vystavuje. Podobně jako u DNS propagace se chyba často projeví až ve chvíli, kdy potřebujete změnu rychle dokončit.
Prakticky: před přesunem webu, změnou nameserverů nebo aktivací nové edge služby si ověřte, zda její certifikační autorita odpovídá vašemu CAA nastavení.
Krátký checklist před nasazením
- Sepište si, kdo dnes vydává certifikáty pro hlavní doménu a subdomény.
- Povolte v CAA jen skutečně používané autority.
- Pokud máte wildcard, zvažte i pravidlo
issuewild. - Po změně DNS ověřte vydání nebo obnovu certifikátu na produkčním hostname.
- Při migraci hostingu nebo CDN zkontrolujte CAA dřív, než vypne starý certifikační workflow.
CAA není náhrada za zbytek DNS hygieny
CAA neřeší vše. Pořád potřebujete přehled o správě DNS, bezpečný přístup k registrátorovi, rozumné procesy při migraci a u e-mailů správné záznamy typu SPF, DKIM nebo DMARC. CAA jen doplňuje oblast certifikátů.
Praktické shrnutí
CAA záznam se hodí tam, kde chcete mít jasně určené, kdo smí vydávat SSL certifikáty pro vaši doménu. Je to jednoduchý DNS prvek s bezpečnostním dopadem hlavně při migracích, práci s více dodavateli a automatickém vydávání certifikátů. Pokud už máte uklizené DNS a víte, odkud certifikáty berete, CAA je rozumný další krok.