---
title: "CAA-Record"
url: "https://help.internetx.com/de/tls-ssl-smime/caa-record/"
lang: "de"
section: "TLS/SSL & S/MIME"
---

# CAA-Record

Ein Certification Authority Authorization-Record (CAA-Record) legt die Zertifizierungsstelle (CA=Certificate Authority) fest, die berechtigt ist ein Zertifikat für eine Domain auszustellen. Dadurch kann keine andere Zertifizierungsstelle Zertifikate für diese Domain ausstellen.

## Aufbau eines CAA-Records

Die CAA-Records werden in den DNS-Einstellungen der Domain angelegt.

| Domain | RR-Typ | Wert |
| --- | --- | --- |
| example.com | CAA | **0** issue "digicert.com" |
| example.com | CAA | **0** issuewild "digicert.com" |
| example.com | CAA | **0** iodef "mailto:customer@digicert.com" |

Der Eintrag in der Spalte **Wert** besteht aus folgenden Teileinträgen:

**Flag**: Ein Wert zwischen **0-255.** Dient der Repräsentation des "critical flag" nach RFC.  
**Tag**: Ein ASCII-String, der die Eigenschaft darstellt, bei den Beispielen sind dies:

-   “issue”: Autorisiert die bei "Wert" angegebene CA zur Ausstellung der Zertifikate
-   “issuewild”: Erlaubt Wildcard-Zertifikate
-   “iodef”: E-Mail-Adresse, an die die CA Benachrichtigungen zur Ausstellung des Zertifikates schickt. Wird aktuell nicht von allen CAs unterstützt.

**Wert**: Wert, der dem 'Tag' zugeordnet ist.

### Beispiel nach BIND-Syntax:

example.com. 300 IN CAA 0 issue "digicert.com"  
example.com. 300 IN CAA 0 issuewild "digicert.com"  
example.com. 300 IN CAA 0 iodef “mailto:customer@example.com”

## Übersicht der gültigen Werte für die Zertifizierungsstelle

Um die Berechtigung an DigiCert und ihre Produktlinien zu vergeben, kann jeder der beiden DigiCert Einträge verwendet werden, denn jedes enthält alle Produkte/Brands von DigiCert. Die restlichen Einträge gelten nur für die jeweilige CA.

-   digicert.com und www.digicert.com
-   thawte.com
-   geotrust.com
-   rapidssl.com
-   globalsign.com
-   sectigo.com

## Mehreren CAs die Ausstellung von Zertifikaten erlauben

Wenn mehrere CAs die Berechtigung erhalten sollen Zertifikate auszustellen, können mehrere CAA-Records pro Domain eingetragen werden.

Es können nur die CAs Zertifikate ausstellen, die in den CAA-Records genannt wurden. Sollen Zertifikate für andere CAs ausgestellt werden, muss der CAA-Record gelöscht oder für die neue CA ein neuer Record angelegt werden.