1. Start
2. /
3. TLS/SSL & S/MIME
4. /
5. CAA-Record

CAA-Record

1 Min. Lesezeit

Ein Certification Authority Authorization-Record (CAA-Record) legt die Zertifizierungsstelle (CA=Certificate Authority) fest, die berechtigt ist ein Zertifikat für eine Domain auszustellen. Dadurch kann keine andere Zertifizierungsstelle Zertifikate für diese Domain ausstellen.

Aufbau eines CAA-Records

Die CAA-Records werden in den DNS-Einstellungen der Domain angelegt.

Der Eintrag in der Spalte Wert besteht aus folgenden Teileinträgen:

Flag: Ein Wert zwischen 0-255. Dient der Repräsentation des “critical flag” nach RFC.
Tag: Ein ASCII-String, der die Eigenschaft darstellt, bei den Beispielen sind dies:

• “issue”: Autorisiert die bei “Wert” angegebene CA zur Ausstellung der Zertifikate
• “issuewild”: Erlaubt Wildcard-Zertifikate
• “iodef”: E-Mail-Adresse, an die die CA Benachrichtigungen zur Ausstellung des Zertifikates schickt. Wird aktuell nicht von allen CAs unterstützt.

Wert: Wert, der dem ‘Tag’ zugeordnet ist.

Beispiel nach BIND-Syntax:

example.com. 300 IN CAA 0 issue “digicert.com”
example.com. 300 IN CAA 0 issuewild “digicert.com”
example.com. 300 IN CAA 0 iodef “mailto:customer@example.com”

Übersicht der gültigen Werte für die Zertifizierungsstelle

Um die Berechtigung an DigiCert und ihre Produktlinien zu vergeben, kann jeder der beiden DigiCert Einträge verwendet werden, denn jedes enthält alle Produkte/Brands von DigiCert. Die restlichen Einträge gelten nur für die jeweilige CA.

• digicert.com und www.digicert.com
• thawte.com
• geotrust.com
• rapidssl.com
• globalsign.com
• sectigo.com

Mehreren CAs die Ausstellung von Zertifikaten erlauben

Wenn mehrere CAs die Berechtigung erhalten sollen Zertifikate auszustellen, können mehrere CAA-Records pro Domain eingetragen werden.

Es können nur die CAs Zertifikate ausstellen, die in den CAA-Records genannt wurden. Sollen Zertifikate für andere CAs ausgestellt werden, muss der CAA-Record gelöscht oder für die neue CA ein neuer Record angelegt werden.