CAA-record: wie mag certificaten uitgeven?

Elke certificaatleverancier (certificaatautoriteit, CA) kan in principe een certificaat voor jouw domein uitgeven. Met een CAA-record in DNS leg je vast welke leveranciers dat mogen. Andere leveranciers moeten de aanvraag dan weigeren.

Controleer je website direct

Waarom een CAA-record?

Sinds 2017 moeten certificaatleveranciers het CAA-record controleren voordat ze een certificaat uitgeven. Staat hun naam er niet in, dan mogen ze geen certificaat voor je domein uitgeven.

Dat beperkt de schade als iemand probeert om bij een andere leverancier een certificaat voor jouw domein te krijgen, of als een leverancier een fout maakt. Het is een extra slot, geen vervanging van de andere beveiliging van je domein.

Hoe een CAA-record is opgebouwd

Een CAA-record bestaat uit een vlag (meestal 0), een tag en een waarde.

issue: de leverancier die certificaten mag uitgeven, aangeduid met zijn domeinnaam, zoals letsencrypt.org.
issuewild: de leverancier die wildcard-certificaten (*.example.nl) mag uitgeven. Zonder issuewild geldt issue ook voor wildcards.
iodef: een adres waar leveranciers een melding naartoe kunnen sturen als iemand een certificaat aanvraagt dat het record niet toestaat. Optioneel.

Voorbeeld

Gebruik je alleen Let's Encrypt en wil je meldingen ontvangen, dan ziet het er zo uit. Gebruik je meerdere leveranciers, dan zet je voor elk een eigen issue-record.

Voorbeeld van CAA-records

example.nl.  3600  IN  CAA  0 issue "letsencrypt.org"
example.nl.  3600  IN  CAA  0 iodef "mailto:security@example.nl"

Subdomeinen en vergeten leveranciers

Een CAA-record op je domein geldt ook voor alle subdomeinen, tenzij een subdomein een eigen CAA-record heeft. Daarom telt een record op het domein ook voor bijvoorbeeld www.example.nl en shop.example.nl.

Zet elke leverancier in het record die certificaten voor je domein of subdomeinen uitgeeft: die van je hostingpartij, van een CDN zoals Cloudflare, en Let's Encrypt als je die zelf gebruikt. Vergeet je er een, dan mislukt de volgende verlenging bij die leverancier en verloopt het certificaat. Vraag bij twijfel aan je hostingpartij of CDN welke leveranciers ze gebruiken.

Zelf het CAA-record opvragen

Met dig vraag je de CAA-records van je domein op. Krijg je geen antwoord, controleer dan ook het bovenliggende domein.

Terminal

dig +short example.nl CAA

Hoe SteadyHost het CAA-record beoordeelt

In orde: er is een CAA-record, op het domein zelf of op een bovenliggend domein.
Aandachtspunt: er is geen CAA-record, zodat elke certificaatleverancier certificaten voor je domein mag uitgeven.
Deze controle telt niet mee in de score.

Controleer je eigen website

Een gratis controle laat in enkele seconden zien hoe je website ervoor staat: bereikbaarheid, HTTPS en TLS, het SSL-certificaat, security headers, DNS en DNSSEC, de domeinregistratie en e-mailbeveiliging.