Pokud sledujete kapitoly o typech DNS záznamů, víte, že každý záznam ve vaší zóně DNS slouží ke konkrétnímu účelu. Záznamy A ukazují na servery. Záznamy MX směrují e-mail. Záznamy TXT řeší ověření a zabezpečení e-mailu. Záznam CAA dělá něco jiného. Řídí, kdo smí vydávat certifikáty SSL pro název vaší domény.
Bez záznamu CAA může certifikát pro vaši doménu vydat jakákoli certifikační autorita na světě, pokud o něj někdo požádá. To může znít neškodně, ale otevírá to dveře tomu, aby certifikáty vydávaly autority, které jste si nevybrali a neschválili. Přidání záznamu CAA tyto dveře zavře a dá vám kontrolu.
Co znamená CAA?
CAA je zkratka pro certificate authority authorization (autorizace certifikační autority). Název přesně říká, co záznam dělá. Opravňuje konkrétní certifikační autority (CA) k vydávání certifikátů SSL pro vaši doménu a všem ostatním říká, aby odmítly.
Certifikační autority jsou organizace odpovědné za ověření, že majitel domény je tím, za koho se vydává, a následné vydání certifikátu SSL, který umožňuje HTTPS. Po celém světě působí desítky certifikačních autorit. Bez záznamu CAA je vaše doména otevřená všem. S ním si vyberete, které z nich mají oprávnění.
Jak vypadá záznam CAA?
Záznam CAA má tři hlavní části, které spolupracují. Tady je, co každá znamená.
- Příznak (flag) je číslo, které řídí, jak se se záznamem zachází. Ve většině nastavení je 0. Příznak 128 říká certifikační autoritě, že pokud nerozumí značce záznamu, musí odmítnout vydat certifikát, místo aby záznam ignorovala
- Značka (tag) říká certifikační autoritě, jaký druh oprávnění nebo pokynu záznam obsahuje. Existují tři typy značek, vysvětlené podrobně níže
- Hodnota (value) je název certifikační autority, která je oprávněna, nebo kontaktní adresa pro hlášení. Vždy se uvádí v uvozovkách
Takto vypadá jednoduchý záznam CAA v panelu DNS.
- Název hostitele nastaven na @
- Typ nastaven na CAA
- Příznak nastaven na 0
- Značka nastavena na issue
- Hodnota nastavena na „letsencrypt.org“
Tento záznam říká jedinou věc. Standardní certifikáty SSL pro tuto doménu smí vydávat jen Let's Encrypt. Každá jiná certifikační autorita, která dostane žádost o certifikát pro vaši doménu, musí nejdřív zkontrolovat vaše záznamy CAA a odmítnout, pokud na seznamu není.
Jaké jsou tři typy značek záznamu CAA?
Každý záznam CAA používá jednu ze tří značek. Značka říká certifikačním autoritám, jaký druh pokynu záznam obsahuje.
Značka „issue“
Značka issue je nejběžnější. Uvádí certifikační autoritu, která smí vydávat standardní certifikáty SSL pro vaši doménu. Pokud chcete povolit dvě různé autority, přidáte dva samostatné záznamy CAA, každý se značkou issue a jiným názvem autority.
Pokud například vaše doména používá certifikáty od Let's Encrypt a od další autority, měli byste dva záznamy CAA.
- 0 issue „letsencrypt.org“
- 0 issue „ca.example.com“
Pokud chcete vydávání certifikátů zablokovat úplně, můžete hodnotu issue nastavit na středník bez čehokoli za ním. To všem certifikačním autoritám na světě říká, že nikdo není oprávněn vydávat certifikáty pro vaši doménu.
Značka „issuewild“
Značka issuewild funguje stejně jako issue, ale týká se jen certifikátů typu wildcard. Wildcard certifikát pokrývá hlavní doménu a všechny její subdomény najednou (například *.yourdomain.com).
Pokud nastavíte záznam issuewild, řídí, které autority smějí vydávat wildcard certifikáty, odděleně od toho, kdo smí vydávat běžné. To se hodí, pokud chcete, aby běžné certifikáty obsluhovala jedna autorita a wildcard certifikáty jiná, nebo pokud chcete wildcard certifikáty úplně zablokovat a běžné nadále povolit.
Pokud záznam issuewild neexistuje, značka issue se ve výchozím stavu vztahuje na běžné i wildcard certifikáty.
Značka „iodef“
Značka iodef neurčuje, kdo smí certifikáty vydávat. Místo toho říká certifikačním autoritám, kam poslat hlášení, pokud se někdo pokusí požádat o certifikát v rozporu s vaší politikou CAA.
Hodnotou je obvykle e-mailová adresa nebo adresa URL. Například.
- 0 iodef „mailto:security@yourdomain.com“
To znamená, že pokud certifikační autorita dostane žádost o certifikát pro vaši doménu a váš záznam CAA říká, že tato autorita není oprávněná, měla by poslat oznámení na tuto e-mailovou adresu. Ne všechny autority hlášení iodef podporují, ale ty, které ano, vám dají přehled o neoprávněných žádostech o certifikáty.
Jak přidat záznam CAA?
Přidání záznamu CAA probíhá podobně jako přidání jakéhokoli jiného DNS záznamu. Pokud jste už přidávali záznam TXT nebo A, bude vám to povědomé.
- Přihlaste se do panelu správy DNS, kde jsou nastavené nameservery vaší domény. Obvykle je to váš registrátor domény nebo poskytovatel hostingu
- Najděte sekci DNS záznamů nebo editor zóny DNS
- Klikněte na volbu přidat nový záznam
- Jako typ záznamu vyberte CAA
- Příznak nastavte na 0, pokud nemáte konkrétní důvod použít 128
- Vyberte typ značky. Použijte „issue“ pro standardní certifikáty, „issuewild“ pro wildcard certifikáty nebo „iodef“ pro hlášení porušení
- Zadejte hodnotu. Pro issue a issuewild je to název domény certifikační autority (například „letsencrypt.org“). Pro iodef je to e-mailová adresa nebo adresa URL pro hlášení
- Záznam uložte
Pokud chcete oprávnit více než jednu certifikační autoritu, přidejte pro každou samostatný záznam CAA. Změny DNS se mohou šířit od několika minut do 48 hodin. Více o tom, jak to funguje, najdete v kapitole o tom, jak funguje DNS.
Potřebujete záznam CAA?
Záznam CAA není povinný. Vaše doména bude bez něj fungovat naprosto v pořádku a váš certifikát SSL bude dál platit. Ale přidává užitečnou vrstvu zabezpečení domény, jejíž nastavení nic nestojí.
Bez záznamu CAA může certifikát SSL pro vaši doménu vydat jakákoli certifikační autorita, pokud o něj někdo požádá. Ve většině případů to není problém, protože autority mají vlastní kroky ověření. Ty ale nejsou neprůstřelné. Byly případy, kdy byly certifikáty vydány nesprávným lidem, ať už chybou, nebo autoritami se slabším ověřováním.
Se záznamem CAA mohou certifikáty vydávat jen autority, které jste výslovně uvedli. Každá další autorita je povinna odmítnout, i když osoba žádající o certifikát projde jejími běžnými kontrolami. Je to malý doplněk vaší zóny DNS, který snižuje celou kategorii rizika.
Co se stane, když váš záznam CAA zablokuje oprávněnou žádost?
Pokud přidáte záznam CAA uvádějící jednu certifikační autoritu a poté se pokusíte získat certifikát od jiné, žádost selže. Autorita zkontroluje vaše záznamy CAA, uvidí, že není oprávněná, a certifikát odmítne vydat.
Není to chyba. Je to celý smysl. Znamená to ale, že musíte své záznamy CAA udržovat v souladu s autoritou, kterou používá váš poskytovatel hostingu nebo platforma webu. Pokud změníte poskytovatele hostingu a nový používá jinou autoritu, budete muset záznamy CAA aktualizovat, aby zahrnovaly tu novou.
Oprava je jednoduchá. Buď přidejte nový záznam CAA pro novou autoritu, nebo aktualizujte stávající. Důležité je zkontrolovat záznamy CAA pokaždé, když změníte poskytovatele SSL nebo nastavení hostingu.
Jak se o záznamy CAA stará WEMASY
Když vytvoříte web ve WEMASY a připojíte vlastní doménu, WEMASY certifikát SSL vystavuje a spravuje automaticky. Pokud chcete z důvodu větší bezpečnosti přidat záznam CAA, návod k nastavení domény ve WEMASY vám řekne, kterou certifikační autoritu oprávnit, aby se obnovení certifikátu nikdy nezablokovalo.
WEMASY řeší SSL, hosting a konfiguraci domény pod jednou střechou, takže se nemusíte bát, že neshodné záznamy CAA rozbijí váš certifikát. Pokud záznam CAA přidáte, jen se ujistěte, že zahrnuje autoritu, kterou WEMASY používá. Co je součástí jednotlivých tarifů, uvidíte na stránce ceníku WEMASY.
Co bude dál
Teď, když víte, jak záznam CAA řídí, které certifikační autority smějí vydávat certifikáty SSL pro vaši doménu, další kapitola se věnuje záznamům SRV. Záznamy SRV říkají internetu, kde najít konkrétní služby běžící na vaší doméně, například servery VoIP nebo chatu. Přehled všech typů záznamů a toho, kdy který použít, najdete v kapitole o typech DNS záznamů.
Často kladené otázky
Ovlivňuje záznam CAA rychlost nebo dostupnost vašeho webu?
Ne. Záznamy CAA se kontrolují jen tehdy, když certifikační autorita zpracovává novou žádost o certifikát. Nepodílejí se na tom, jak se váš web načítá ani jak se k vašim stránkám dostávají návštěvníci. Rychlost a dostupnost webu závisí na hostingu, záznamu A a výkonu serveru, ne na nastavení CAA. S Tvůrcem webů od WEMASY to můžete nastavit přímo na svém webu.
Co se stane, když nemáte žádné záznamy CAA?
Pokud vaše doména nemá žádné záznamy CAA, smí pro ni vydávat certifikáty každá certifikační autorita na světě. Je to výchozí stav většiny domén. Neznamená to žádný okamžitý problém, ale neexistuje žádné omezení, kdo může získat certifikát SSL na jméno vaší domény.
Můžete mít záznamy CAA na subdoménách?
Ano. Záznamy CAA můžete nastavit na konkrétních subdoménách a řídit tak vydávání certifikátů podrobněji. Pokud má subdoména vlastní záznam CAA, má přednost před záznamem na kořenové doméně. Pokud na subdoméně záznam CAA neexistuje, autorita místo toho zkontroluje záznamy CAA nadřazené domény.
Jak zjistíte, kterou certifikační autoritu váš poskytovatel hostingu používá?
Nejsnazší je zkontrolovat váš současný certifikát SSL. Ve většině prohlížečů můžete kliknout na ikonu zámku v adresním řádku, zobrazit podrobnosti certifikátu a uvidíte, která autorita ho vydala. Můžete také přímo kontaktovat svého poskytovatele hostingu. Mezi běžné certifikační autority patří bezplatné i komerční.
Zabrání záznam CAA tomu, aby někdo vytvořil falešnou verzi vašeho webu?
Záznam CAA ztěžuje, aby někdo získal legitimní certifikát SSL pro vaši doménu od neoprávněné autority. Nebrání všem formám phishingu ani podvržení identity, ale odstraňuje jednu cestu, kterou by útočník mohl jít. V kombinaci se silnými hesly, ochranou soukromí WHOIS a zabezpečeným účtem u registrátora je záznam CAA jedním dílkem širšího zabezpečení.