Eingaben
Beispiel
example.com -> issue letsencrypt.org; issuewild ; iodef mailto:hostmaster@example.com; validationmethods dns-01.
CAA-Record-Prüfer/Generator
Prüft und erzeugt CAA-Tags wie issue, issuewild, iodef, ACME-Konto-Bindungen, Validierungsmethoden und issuemail.
Nutze es vor Änderungen an der CA-Autorisierung einer Domain.
Festlegen, wer Zertifikate für deinen Namen ausstellen darf
Grundsätzlich kann jede öffentlich vertrauenswürdige Zertifizierungsstelle ein Zertifikat für deine Domain ausstellen — außer, du sagst etwas anderes. CAA ist der Ort, an dem du etwas anderes sagst: ein DNS-Record, den die CA zum Ausstellungszeitpunkt prüfen muss und der die autorisierten Aussteller benennt. Es ist die Kontrolle, die aus einer Fehlausstellung eine Policy-Verletzung mit Audit-Spur macht — und die den gutmeinenden Kollegen abfängt, der ein Zertifikat bei einem Anbieter bestellt, den eure PKI-Strategie vor zwei Jahren ausgemustert hat.
Die Grammatik des Records ist klein, aber exakt. Das issue-Tag autorisiert eine CA für Host-Zertifikate, issuewild regelt Wildcards separat, und iodef benennt eine Meldeadresse für Policy-Verstöße. RFC 8657 ergänzt schärfere Pins für ACME: accounturi beschränkt die Ausstellung auf ein bestimmtes ACME-Konto, validationmethods auf zugelassene Challenge-Typen. Dieses Tool validiert bestehende Records — eingefügt oder live geholt — und entwirft eine konservative Policy, wo noch keine existiert.
CAA-Policy prüfen und entwerfen
Für ein Audit: Starte den Live-Lookup und lies zuerst issue und issuewild — dort steht die eigentliche Autorisierung. Behalte die Lookup-Semantik im Kopf: Eine CA klettert vom exakten Namen Richtung Root und verwendet das erste CAA-Set, auf das sie trifft. Ein Record auf einer Subdomain übersteuert die Apex-Policy für alles darunter — lautlos. Auch die Leere-Aussteller-Syntax verdient einen Blick: issue mit bloßem Semikolon heißt, niemand darf ausstellen — gelegentlich beabsichtigt, öfter ein Überbleibsel.
Beim Entwerfen: Autorisiere exakt die CAs, die ihr nutzt, und prüfe den Betriebspfad, bevor du veröffentlichst — eure Zertifikatsautomatisierung muss nach dem Livegang des Records weiterhin durchlaufen, und das Nachtragen einer CA muss dokumentierter Bestandteil jedes künftigen Anbieterwechsels werden. CAA-bedingte Renewal-Fehler tauchen Wochen später auf, im dümmsten Moment, als abgelaufene Zertifikate. Wer ACME im größeren Stil betreibt: accounturi ist das stärkste günstige Upgrade, weil eine gestohlene Domain-Validierung ohne euren Account-Schlüssel dann nicht mehr reicht.
Ausstellungszeitpunkt-Policy, kein Zertifikatsinventar
Eingefügte Records bleiben im Browser. Live-Lookups nutzen zuerst DNS-over-HTTPS mit Same-Origin-Fallback; generische RFC-3597-Wire-Format-Antworten werden vor der Validierung dekodiert. Das Tool beurteilt Record-Syntax und Policy-Kohärenz zum Abfragezeitpunkt. Was eine CA bei der Ausstellung tatsächlich protokolliert hat, sieht es nicht; Certificate Transparency nach policy-widrigen Zertifikaten durchsucht es nicht; und ob eine CA iodef-Meldungen ehrt, kann es nicht garantieren. Das volle Bild entsteht erst zusammen mit CT-Monitoring.
Häufige Fragen
Entwertet ein veröffentlichter CAA-Record bestehende Zertifikate?
Nein. CAA wird ausschließlich bei der Ausstellung ausgewertet. Bestehende Zertifikate laufen unabhängig von Policy-Änderungen bis zu ihrem regulären Ablauf — CAA ist damit auch kein Widerrufswerkzeug, es formt nur die Zukunft.
Welches CAA-Set gilt für einen Namen mehrere Ebenen tief?
Das nächstgelegene. CAs prüfen den exakten Namen und klettern Ebene für Ebene nach oben, bis sie auf die ersten CAA-Records stoßen. Ein vergessener Record auf einer Subdomain übersteuert deshalb die sorgfältig entworfene Apex-Policy für diesen ganzen Zweig.
Was passiert, wenn issuewild fehlt?
Dann folgt die Wildcard-Ausstellung den issue-Tags. Veröffentliche issuewild nur, wenn die Wildcard-Policy abweichen soll — etwa Host-Zertifikate breit erlauben, Wildcards aber komplett verbieten.
Wovor schützt accounturi konkret?
Vor der richtigen CA in den falschen Händen. Mit accounturi verlangt die CA zusätzlich, dass der Antrag von eurem benannten ACME-Konto kommt — wer die Domain-Validierung besteht, aber euren Account-Schlüssel nicht hat, scheitert trotzdem.
Lohnt sich iodef?
Setzen — eine Adresse, die Verstoß-Meldungen empfängt, kostet nichts und fängt gelegentlich eine Fehlkonfiguration früh ab. Aber behandle es als Best-Effort: Das Meldeverhalten variiert zwischen CAs, iodef ergänzt CT-Monitoring und ersetzt es nicht.
Kann CAA meine eigenen Renewals brechen?
Ja — das ist der häufigste selbstverschuldete CAA-Vorfall: CA-Wechsel ohne Record-Update. Die alten Zertifikate laufen weiter, das erste Renewal über die neue CA scheitert, und sichtbar wird das Wochen später als Ablauf-Alarm.