CAA (Certification Authority Authorization): o que é e como configurar

O registo CAA controla quais as entidades certificadoras autorizadas a emitir certificados SSL/TLS para o seu domínio. Neste artigo explicamos o que é, porque importa e como configurá-lo.

O que é o registo CAA

O CAA (Certification Authority Authorization) é um registo DNS que especifica quais as entidades certificadoras (Certificate Authorities) autorizadas a emitir certificados SSL/TLS para o seu domínio.

Porque é importante

Sem um registo CAA, qualquer entidade certificadora reconhecida publicamente pode, em teoria, emitir um certificado para o seu domínio – o que aumenta o risco de emissão fraudulenta ou indevida de certificados, por exemplo em caso de erro humano ou falha de segurança numa entidade certificadora.

Boas práticas

Identificar claramente qual (ou quais) entidade certificadora utiliza.
Restringir a emissão de certificados apenas a essas entidades através do registo CAA.
Rever o registo CAA sempre que mudar de entidade certificadora.
Considerar adicionar um endereço de email de contacto para notificações (parâmetro iodef) em caso de tentativas de emissão não autorizadas.

Como corrigir

Identifique a(s) entidade(s) certificadora(s) que utiliza atualmente (ex: Let’s Encrypt, Sectigo, DigiCert).
Crie um registo CAA na raiz do domínio, por exemplo:

0 issue "letsencrypt.org"
Se utiliza mais do que uma entidade certificadora, adicione um registo CAA para cada uma.

Poucos fornecedores de alojamento configuram o registo CAA por defeito – deixando o seu domínio aberto a que qualquer entidade certificadora emita certificados em seu nome. Na WebDig Host, configuramos o CAA do seu domínio de acordo com a entidade certificadora que utiliza, sem que tenha de se preocupar com isso.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o registo CAA

O que acontece se eu não tiver nenhum registo CAA?

Na ausência de registo CAA, qualquer entidade certificadora publicamente reconhecida pode emitir certificados para o seu domínio, sem restrições.

Posso ter mais do que uma entidade certificadora autorizada?

Sim. Basta adicionar um registo CAA separado para cada entidade certificadora que pretenda autorizar.

O registo CAA substitui a necessidade de um certificado SSL válido?

Não. O registo CAA apenas controla quem pode emitir certificados para o seu domínio, não substitui a instalação e renovação de um certificado SSL/TLS válido.

Verifique agora o registo CAA do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o registo CAA do seu domínio está corretamente configurado, em poucos segundos.