Come aggiungere un record CAA per i certificati SSL
Un record CAA (Certificate Authority Authorization) è un record DNS che consente ai proprietari di domini di specificare quali Autorità Certificanti (CA) sono autorizzate a rilasciare certificati SSL/TLS per il proprio dominio.
L’aggiunta di un record CAA non è obbligatoria, ma fornisce un ulteriore livello di sicurezza aiutando a prevenire la emissione non autorizzata o accidentale di certificati. Con i record CAA è possibile controllare quali CA possono rilasciare certificati SSL standard, Certificati wildcard, o entrambe per il tuo dominio.
Il record DNS CAA è specificato da RFC 6844 e RFC 8659.
In questo articolo vi spiegheremo come funzionano i record CAA, la loro struttura e come configurarli correttamente.
Cos'è un record CAA?
CAA sta per Autorizzazione dell'Autorità di Certificazione.
Un CAA record è un tipo di Record di Risorsa DNS che indica alle Autorità Certificanti se sono autorizzate a rilasciare un certificato SSL/TLS per un particolare dominio.
Ad esempio, se si desidera che solo la società Sectigo possa rilasciare certificati per example.com, È possibile pubblicare un record CAA come quello qui sotto:
example.com. IN CAA 0 problema "sectigo.com"
Quando un'autorità di certificazione riceve una richiesta di certificato, verifica i record CAA applicabili prima di rilasciare il certificato. Se i record CAA sono presenti, l'autorità di certificazione deve rispettare le regole di autorizzazione contenute in essi.
Il CAA è attualmente definito da RFC 8659, che ha sostituito la specifica originale RFC 6844.
Perché dovresti aggiungere un record CAA?
In assenza di un record CAA, un'autorità certificate di fiducia pubblica può potenzialmente rilasciare un certificato per il tuo dominio purché i requisiti di validazione siano soddisfatti.
Pubblicando i record CAA, è possibile limitare l’emissione dei certificati a una o più Autorità Certificanti di vostra scelta.
Ci sono diversi vantaggi:
- Maggior controllo sull'emissione dei certificati SSL – Decidi tu quali CA sono autorizzati a rilasciare certificati per il tuo dominio.
- Protezione aggiuntiva contro la falsa emissione di certificati – una CA non autorizzata dovrebbe rifiutare di rilasciare il certificato.
- Controllo separato dei certificati wildcard – è possibile definire diverse politiche di autorizzazione per i certificati SSL standard e wildcard.
- Politica centralizzata tramite il DNS – Le regole relative all’emissione dei certificati possono essere gestite nell’ambito della configurazione DNS del vostro dominio.
I record CAA dovrebbero pertanto essere considerati un meccanismo di sicurezza aggiuntivo e non una sostituzione dei normali procedimenti di validazione del dominio svolti dalle Autorità Certificanti.
Struttura di un record CAA
Ogni record CAA ha una flag e una proprietà e viene implementato nel DNS come Resource Record (RR) di tipo 257, consentendo l'utilizzo di più record CAA per dominio. La flag influenza l'interpretazione del record. La proprietà consente di selezionare diversi tipi di record CAA.
A inizio 2019, è definito solo un bit: il flag critico dell'emittente inglese. Se questo flag è impostato, il bit ha un significato di 128; ciò significa che i CA che non possono valutare le voci nel record CAA non sono autorizzati a rilasciare un certificato per il dominio.
Oltre alla bandiera, vengono impostate le seguenti tre proprietà:
- problema
Questa proprietà consente a un CA, definito nel campo del valore, di rilasciare un certificato per il dominio interessato. - issuewild
Questa proprietà funziona come la proprietà “issue”, ma solo per i certificati wildcard. In questo caso, l’entrata ha precedenza rispetto a quella sotto “issue”. - iodef
Questa proprietà consente al proprietario del dominio di fornire opzionalmente un'opzione di contatto per l'autorità di certificazione. Non tutte le autorità di certificazione supportano questa proprietà.
Esempli di record CAA
Ecco alcuni esempi pratici di configurazioni CAA per le Autorità Certificanti più comunemente utilizzate.
Record CAA per Sectigo
Autorizzare Sectigo a rilasciare certificati SSL per example.com:
example.com. IN CAA 0 problema "sectigo.com"
Per autorizzare Sectigo a rilasciare certificati SSL con estensione wildcard:
example.com. IN CAA 0 issuewild "sectigo.com"
Record CAA per DigiCert
Per autorizzare DigiCert a rilasciare certificati SSL:
example.com. Nel CAA 0 il problema è "digicert.com"
Per i certificati wildcard:
example.com. IN CAA 0 issuewild "digicert.com"
Record CAA per Certum
Per autorizzare Certum a rilasciare certificati SSL:
example.com. Nel CAA 0 il problema è "certum.pl"
Per i certificati wildcard:
example.com. IN CAA 0 issuewild "certum.pl"
È possibile autorizzare più autorità di certificazione?
Sì.
Un dominio può avere più record CAA, consentendo a più Autorità Certificatrice di rilasciare certificati.
Per esempio:
example.com. IN CAA 0 problema "sectigo.com"example.com. Nel CAA 0 il problema è "digicert.com"
In questa configurazione, sia Sectigo che DigiCert sono autorizzati a rilasciare certificati per il dominio.
È inoltre possibile creare diverse policy per i certificati standard e i certificati wildcard:
example.com. Nel CAA 0 il problema è "digicert.com"example.com. IN CAA 0 issuewild "sectigo.com"
Qui DigiCert è autorizzato alla emissione di certificati standard, mentre Sectigo è autorizzato alle emissioni di certificati wildcard.
I registri CAA dello stesso tipo sono quindi additivo: pubblicazione di un secondo problema Il record non sostituisce quello precedente.
Come aggiungere un record CAA al DNS
La procedura esatta dipende dal provider di DNS o dal pannello di controllo utilizzato, ma il processo è generalmente simile.
Apri Gestione del DNS o Editore della zona DNS per il vostro dominio e creare un nuovo record DNS.
Selezionare CAA come nel caso del tipo di record e inserite i valori richiesti.
Una configurazione tipica per autorizzare il servizio Sectigo sarebbe la seguente:
Tipo: CAA
Nome/Host: @ o il nome del tuo dominio
Bandiera: 0
Tag: problema
Valore/Obiettivo: sectigo.com
Il @ Questo simbolo è comunemente utilizzato dai pannelli di controllo DNS per rappresentare il dominio principale, anche se alcuni provider richiedono il nome del dominio stesso o un campo Host vuoto.
Per un certificato wildcard, potrebbe essere necessario invece:
Tipo: CAA
Nome/Host: @
Bandiera: 0
Tag: issuewild
Valore/Obiettivo: sectigo.com
Salva il record e concedi il tempo affinché il cambiamento del DNS si diffonda.
La terminologia e i campi visualizzati dai pannelli di controllo DNS possono variare leggermente tra i diversi provider. Alcuni interfacce potrebbero richiedere di inserire l’intero record CAA, mentre altri forniscono campi separati per la flag, il tag e il valore della CA.
Dove aggiungere il record CAA?
Nella maggior parte dei casi, i record CAA dovrebbero essere configurati sul dominio principale registrato, ad esempio:
example.com
L'autorizzazione della CAA può quindi essere applicata ai suoi sottodomini.
Le Autorità Certificanti determinano la politica CAA applicabile analizzando i record CAA associati al nome per il quale viene richiesto un certificato. Se non si trova alcun record applicabile a questo livello, la ricerca può proseguire verso il dominio superiore.
Questo significa che una policy CAA configurata per il dominio principale può generalmente proteggere anche i suoi sottodomini, mentre un record CAA più specifico può essere utilizzato per stabilire una politica diversa per un particolare sottodominio.
Per esempio, potresti avere una politica generale per:
example.com
e una politica CAA diversa specificamente per:
shop.example.com
Questo può essere utile quando diversi servizi o sottodomini utilizzano certificati provenienti da diverse Autorità di Certificazione.
Come verificare i propri record CAA
Dopo aver aggiunto o modificato un record CAA, è consigliabile verificare che sia correttamente pubblicato nel DNS prima di richiedere o rinnovare un certificato SSL.
Su sistemi che forniscono la digare Per effettuare una query sui record CAA, è possibile utilizzare il comando:
dig CAA example.com
In alternativa, è possibile utilizzare un servizio di ricerca DNS online che supporta le query CAA.
Il risultato dovrebbe mostrare i record CAA attualmente pubblicati per il dominio.
Ricordate che i cambiamenti del DNS sono soggetti a cache e valori TTL, quindi un record appena creato o modificato potrebbe non essere immediatamente visibile per tutti i risolutori DNS.
Cosa succede se il record del CAA è errato?
Una configurazione CAA non corretta può impedire all'autorità di certificazione di rilasciare o rinnovare il tuo certificato SSL.
Ad esempio, se il tuo dominio contiene:
example.com. Nel CAA 0 il problema è "digicert.com"
ma se si richiede un certificato da un CA che non è autorizzato dalla politica del CAA applicabile, la richiesta del certificato potrebbe fallire.
Questo è particolarmente importante in caso di certificati SSL rinnovati automaticamente. Una configurazione CAA corretta oggi deve rimanere compatibile con l'autorità di certificazione utilizzata dal vostro servizio di certificazione automatizzato.
Se l’emissione del certificato dovesse fallire in modo imprevisto con un errore relativo al CAA, verificare:
- i record CAA configurati per il dominio;
- I record CAA configurati nei domini o nei sottodomini parenti pertinenti;
- se la CA che rilascia il certificato è autorizzata;
- se separato
issuewildI record influenzano un certificato wildcard; - se i recenti cambiamenti nel DNS si siano pienamente propagati.
Genera automaticamente i tuoi record CAA
Se preferite non creare manualmente i vostri record CAA, potete utilizzare il nostro servizio gratuito Generatore di record CAA. Inserisci semplicemente il nome del tuo dominio, seleziona le Autorità Certificanti che desideri autorizzare per i certificati SSL standard e wildcard e lo strumento genererà automaticamente per te i record DNS corretti.
Il generatore supporta le Autorità Certificanti più comuni, tra cui DigiCert, Sectigo, Certum, GlobalSign, Let’s Encrypt, Google Trust Services e altri, e consente inoltre di specificare una CA personalizzata.
Genera i tuoi record CAA con il nostro gratuito CAA Record Generator
Domande frequenti sui registri CAA
È necessario un record CAA per ottenere un certificato SSL?
No. I proprietari di domini normalmente non sono tenuti a pubblicare un record CAA.
Se non esiste alcun record CAA applicabile, l’assenza di restrizioni CAA non impedisce in sé stessa all’Autorità di Certificazione di rilasciare un certificato dopo aver completato le normali procedure di validazione.
Un record CAA rende il mio certificato SSL più sicuro?
CAA non modifica la forza di crittografia di un certificato SSL/TLS.
Invece, migliora il controllo su emissione di certificati limitando quali Autorità Certificanti sono autorizzate a rilasciare i certificati per il vostro dominio.
Pertanto, dovrebbe essere considerato un ulteriore livello di sicurezza e governance dei certificati.
Posso autorizzare più Autorità di Certificazione?
Sì. È possibile creare più record CAA per lo stesso dominio.
Per esempio:
example.com. IN CAA 0 problema "sectigo.com"example.com. Nel CAA 0 il problema è "digicert.com"
Questo autorizza entrambe le Autorità Certificanti.
Ho bisogno di un issuewild record per un certificato wildcard?
Non necessariamente.
Se no issuewild Se esiste un record, quello applicabile problema I record controllano anche l'emissione di wildcard.
Si dovrebbe usare issuewild quando si desidera definire esplicitamente quali Autorità Certificanti possono rilasciare certificati wild card o quando si desidera che i certificati wild card seguano una politica diversa rispetto ai certificati standard.
I record CAA possono essere applicati ai sottodomini?
Sì. Una politica CAA configurata su un dominio principale può essere applicata ai suoi sottodomini quando non viene superata da una politica CAA più specifica.
Questo consente di definire una politica generale per l’emissione dei certificati per il proprio dominio, nonché di creare eccezioni per specifici sottodomini quando necessario.
Un errore nel record CAA può impedire il rinnovo del certificato SSL?
Sì.
Le Autorità Certificanti verificano l’autorizzazione CAA durante l’emissione del certificato. Pertanto, una configurazione CAA non compatibile può causare il fallimento sia della nuova richiesta di certificato che del rinnovo del certificato.
Questo è particolarmente importante per il rinnovo automatico dei certificati SSL: assicuratevi sempre che la CA utilizzata dal vostro servizio SSL rimanga autorizzata dalla vostra configurazione CAA.