Was ist ein CAA-Eintrag?

Einfach erklärt

Das Schloss im Browser beruht auf einem Zertifikat, das eine Zertifizierungsstelle für Ihre Domain ausstellt. Davon gibt es weltweit viele. Mit einem CAA-Eintrag legen Sie fest, welche davon für Sie Zertifikate ausstellen dürfen. Alle anderen müssen eine Anfrage für Ihre Domain ablehnen, auch wenn sie von einem Betrüger kommt.

Wie dringend ist das?

Es ist eine Empfehlung für später, kein dringender Punkt. Der Eintrag schließt eine seltene, aber unangenehme Lücke, und er ist schnell gesetzt.

Was Sie tun können

Ihr IT-Dienstleister oder der Anbieter Ihrer Domain trägt die Stellen ein, die Sie tatsächlich nutzen. Wichtig ist, keine zu vergessen: Website, Shop, Mailserver und manche Cloud-Dienste holen sich ihre Zertifikate unter Umständen bei verschiedenen Stellen. Fehlt eine, kann ihr Zertifikat nicht mehr verlängert werden und läuft irgendwann ab.

Aufbau

Ein CAA-Eintrag nach RFC 8659 besteht aus Flags, Tag und Wert:

ihre-firma.de.  IN  CAA  0 issue "letsencrypt.org"
ihre-firma.de.  IN  CAA  0 issue "sectigo.com"
ihre-firma.de.  IN  CAA  0 issuewild ";"
ihre-firma.de.  IN  CAA  0 iodef "mailto:sicherheit@ihre-firma.de"

• issue: Stellen, die Zertifikate für den Namen ausstellen dürfen.
• issuewild: Stellen für Wildcard-Zertifikate. ";" verbietet Wildcards ganz. Fehlt issuewild, gilt issue auch dafür.
• iodef: Meldeadresse für abgelehnte Anfragen. Schränkt selbst nichts ein.

Die Werte sind die Domains der Zertifizierungsstellen, wie diese sie in ihrer Dokumentation nennen.

Wer prüft und wo

Seit dem 8. September 2017 müssen öffentlich vertraute Zertifizierungsstellen CAA vor jeder Ausstellung prüfen (CA/Browser Forum, Ballot 187). Gesucht wird am angefragten Namen und dann aufwärts: Für shop.ihre-firma.de ohne eigenen CAA-Eintrag gilt der von ihre-firma.de. Ohne CAA-Eintrag auf dem ganzen Weg darf jede Stelle ausstellen.

Typische Fehler

• Nur iodef gesetzt. Sieht nach CAA aus, erlaubt aber weiterhin jeder Stelle die Ausstellung.
• Stelle vergessen. Ein Dienst wechselt seinen Zertifikatsanbieter oder nutzt mehrere, die automatische Verlängerung scheitert still.
• CNAME übersehen. Bei Namen mit CNAME wird auch das Ziel einbezogen. Ein CAA-Eintrag beim Anbieter kann Ihre Ausstellung blockieren oder erlauben.
• Kritisch-Flag ohne Grund. Flag 128 verlangt, dass die Stelle den Tag kennt, sonst lehnt sie ab. Für die Standard-Tags ist 0 richtig.

Prüfen

dig +short CAA ihre-firma.de

Der IT-Sicherheitscheck zeigt auch, ob ein CAA-Eintrag von der übergeordneten Domain geerbt ist.