¿Qué es CAA?
Certification Authority Authorization (CAA) es para garantizar que los certificados de HTTPS son emitidos por las autoridades de certificación autorizadas (CA). CAA cumple con todos los requisitos IETF RFC 6844. A partir del 8 de septiembre de 2017, todas las CA deben comprobar los conjuntos de registros de CAA antes de poder emitir certificados.
Especificaciones de CAA
Los propietarios de nombres de dominio pueden crear conjuntos de registros de CAA para especificar CA autorizadas que pueden emitir certificados SSL.
Solo las CA autorizadas pueden emitir certificados de SSL para los nombres de dominio utilizados por su sitio web. Establecer conjuntos de registros de CAA mejora la seguridad de su sitio web.
Las CA realizarán una búsqueda de DNS para los conjuntos de registros de CAA cuando emitan certificados.
- Si una CA no encuentra un conjunto de registros de CAA, la CA puede emitir un certificado para el nombre de dominio.
Otras CA también pueden emitir certificados para este nombre de dominio, pero estos certificados pueden ser inseguros y habrá mensajes que indican que su sitio web es inseguro cuando los usuarios finales accedan a su sitio web.
- Si una CA encuentra un conjunto de registros de CAA que le autoriza a emitir certificados, la CA emitirá un certificado para el nombre de dominio.
- Si una CA encuentra un conjunto de registros de CAA que no le autoriza a emitir certificados, la CA no podrá emitir certificados SSL para el nombre de dominio.
Conjunto de registros de CAA
Un conjunto de registros CAA consta de un byte de indicador [flag], una etiqueta de propiedad y un valor de propiedad [tag]-[value]. Puede crear varios conjuntos de registros de CAA para un nombre de dominio.
|
Función |
Ejemplo de conjunto de registros CAA |
Descripción |
|---|---|---|
|
Configurar un conjunto de registros CAA para un nombre de dominio. |
0 issue "ca.example.com" |
Solo la CA especificada (ca.example.com) puede emitir certificados para un nombre de dominio determinado (domain.com). Las solicitudes de emisión de certificados para el nombre de dominio por parte de otras CA serán rechazadas. |
|
0 issue ";" |
No se permite a ninguna CA emitir certificados para el nombre de dominio (domain.com). |
|
|
Permita que una CA informe de infracciones al titular del nombre de dominio. |
0 iodef "mailto:admin@domain.com" |
Si una solicitud de certificado infringe el conjunto de registros de CAA, la CA notificará la violación al titular del nombre de dominio. |
|
0 iodef "http:// domain.com/log/" 0 iodef "https:// domain.com/log/" |
Se registrarán las solicitudes de emisión de certificados por parte de CA no autorizadas. |
|
|
Autorizar a una CA para emitir certificados comodín. |
0 issuewild "ca.example.com" |
La CA autorizada (ca.example.com) puede emitir certificados comodín para el nombre de dominio. |
|
Ejemplo de configuración |
0 issue "ca.abc.com" 0 issuewild "ca.def.com" 0 iodef "mailto:admin@domain.com" |
Se configura un conjunto de registros CAA para domain.com.
|
Comprobación de si un conjunto de registros de CAA ha surtido efecto
Utilice Domain Information Groper (dig) para comprobar si el conjunto de registros CAA ha tenido efecto. dig es una herramienta de línea de comandos de gestión de red para consultar el sistema de nombres de dominio. Si su sistema operativo no admite comandos dig, instale la herramienta dig.
Formato de comando: dig [Record set type] [Domain name] +trace.
Ejemplo de comando:
dig caa www.example.com +trace
