بررسی رکورد CAA

کدام مرجع اجازه صدور گواهی دارد

بررسی رکورد CAA نشان میدهد مدیر دامنه به کدام مراجع صدور گواهی (CA) اجازه داده برای این دامنه گواهی SSL صادر کنند. مراجع صدور گواهی پیش از صدور موظفند CAA را بخوانند و اگر نامشان در آن نباشد، صادر نکنند. پرسش مستقیم به resolver عمومی 1.1.1.1 میرود و هر رکورد با برچسب (tag) و مقدار نشان داده میشود و پرچم (flags) فقط وقتی صفر نباشد کنار آن میآید.

مرجع صدور، CAA را از خودِ نام شروع میکند و اگر نبود، به سمت بالا میرود تا رأس دامنه. پس رکورد روی example.com برای همه زیردامنه ها هم اعمال میشود، مگر اینکه زیردامنه خودش CAA داشته باشد. نبودن رکورد CAA یعنی هیچ محدودیتی اعمال نشده و هر مرجعی میتواند صادر کند؛ این حالت پیشفرض اینترنت است و ایراد نیست، فقط حفاظت اضافه ای هم نیست.

نتیجه را چطور بخوانیم

سه برچسب متداول دارد. issue میگوید کدام مرجع اجازه صدور گواهی معمولی دارد، مثل issue "letsencrypt.org". issuewild همین را برای گواهی wildcard میگوید. iodef نشانی ای (mailto: یا https://) است که مرجع در صورت درخواست غیرمجاز به آن خبر میدهد. مقدار «;» تنها یعنی هیچ مرجعی اجازه ندارد. TTL این جدول زمان باقی مانده از پاسخ در حافظه 1.1.1.1 است و ممکن است از TTL تنظیم شده در زون کمتر باشد؛ گزارش کامل TTL رکورد CAA را درجه بندی نمیکند.

پرچم 128 یعنی critical: مرجعی که این برچسب را نمیفهمد باید از صدور خودداری کند. خطای متداول این است که بعد از تغییر CA (مثلاً از یک مرجع تجاری به Let's Encrypt) رکورد CAA قدیمی بماند؛ آن وقت تمدید خودکار بدون توضیح واضح شکست میخورد. اگر پاسخ «پرسوجو ناموفق بود» بود، مرجع صدور هم همین را میبیند و بیشتر مراجع در این حالت صدور را رد میکنند؛ ریشه آن اغلب DNSSEC شکسته است که بررسی DNSSEC نشان میدهد.

چه وقت به کار میآید

تمدید گواهی Let's Encrypt یا هر مرجع دیگری با خطای CAA شکست میخورد: اینجا ببینید نام آن مرجع در issue هست یا نه، و اگر برای wildcard میگیرید، در issuewild. حواستان باشد مقدار باید دقیقاً نام شناخته مرجع باشد، مثل letsencrypt.org یا digicert.com.

سختگیری امنیتی برای دامنه سازمانی: با CAA، هر مرجع دیگری که کسی بخواهد از آن برای دامنه شما گواهی بگیرد، رد میشود. بعد از ثبت، با بررسی گواهی SSL مطمئن شوید گواهی فعلی از همان مرجعی است که اجازه داده اید، و با انتشار DNS ببینید رکورد همه جا رسیده است.

پرسشهای رایج

رکورد CAA چیست؟

رکوردی که میگوید کدام مراجع صدور گواهی مجازند برای دامنه شما گواهی SSL صادر کنند. مراجع پیش از صدور آن را میخوانند و اگر نامشان نباشد، درخواست را رد میکنند. هدفش این است که کسی نتواند از یک مرجع دیگر برای دامنه شما گواهی بگیرد.

دامنه من CAA ندارد، مشکلی هست؟

نه. نبودن CAA حالت پیشفرض است و یعنی هر مرجعی میتواند صادر کند؛ بیشتر دامنه ها همینطورند. CAA یک لایه حفاظت اختیاری است و اگر آن را اضافه میکنید، حواستان باشد مرجعی که واقعاً استفاده میکنید در آن باشد، وگرنه تمدید بعدی شکست میخورد.

چطور به Let's Encrypt اجازه صدور بدهم؟

یک رکورد CAA با برچسب issue و مقدار letsencrypt.org روی دامنه ثبت کنید؛ برای گواهی wildcard، issuewild هم با همان مقدار. اگر از چند مرجع استفاده میکنید، برای هر یک یک رکورد issue جدا بگذارید. بعد از ثبت، همینجا تأیید کنید و با انتشار DNS ببینید رسیده است.

چرا تمدید گواهی با خطای CAA شکست میخورد؟

چون رکورد CAA دامنه یا یکی از زیردامنه های مسیر، نام آن مرجع را ندارد؛ معمولاً رکوردی که از CA قبلی مانده است. یا پرسش CAA برای مرجع با خطا برمیگردد، که اغلب از DNSSEC شکسته است و مرجع در آن حالت صدور را رد میکند. CAA را اینجا و DNSSEC را در بررسی DNSSEC ببینید.