Festlegen, wer Zertifikate für deine Domain ausstellen darf (CAA)

Dieser Artikel richtet sich an alle, die kontrollieren möchten, welche Zertifizierungsstellen Zertifikate für ihre Domain ausstellen dürfen, ohne dabei versehentlich die tatsächlich genutzte Stelle auszusperren.

Übersicht

• Ein CAA-Eintrag listet die Zertifizierungsstellen auf, die Zertifikate für deine Domain ausstellen dürfen — jede andere Stelle muss die Anfrage ablehnen.
• So verhinderst du, dass jemand ein Zertifikat für deinen Namen bei einer Stelle bekommt, die du nie nutzt.
• Das Risiko besteht darin, eine Stelle wegzulassen, die du tatsächlich nutzt — deine nächste Verlängerung würde dann abgelehnt und das Zertifikat würde ablaufen.
• InfraNest baut deine CAA-Einrichtung aus dem auf, was es bereits über deine Zertifikate weiß, damit das nicht passiert.

Für eine Domain einrichten

1. Öffne die Domain über Domains oder ihre Zone über DNS.
2. Wähle unter Protection die Option Add neben CAA.
3. Prüfe die Vorschau. Sie listet die Einträge auf, die InfraNest hinzufügen wird, und darunter jedes Zertifikat der Domain mit dem Hinweis, ob es erneuerbar bleibt.
4. Wähle Write. InfraNest schreibt die Einträge über deinen DNS-Host und prüft anschließend das öffentliche DNS.

Welche Zertifizierungsstellen InfraNest erlaubt

• Die Stellen hinter deinen Zertifikaten — jede, die in den letzten 13 Monaten ein Zertifikat für die Domain ausgestellt hat, da dort auch die nächste Verlängerung erfolgen wird.
• Die von dir erwarteten — die Aussteller, die du auf der Domain-Seite unter Expected issuers eingetragen hast.
• Das Netzwerk vor deiner Website — Cloudflare, Fastly oder Amazon CloudFront stellen eigene Zertifikate aus, daher sind deren Stellen ebenfalls erlaubt. Liegt das DNS deiner Domain bei Cloudflare, veröffentlicht Cloudflare seine eigenen CAA-Einträge, sodass InfraNest diese unverändert lässt.

NoteInfraNest fügt ausschließlich Einträge hinzu. Alles, was du bereits hast, bleibt genau so bestehen — einschließlich eines Werts, der an dein Konto gebunden ist; diesen weitet InfraNest nie auf einen einfachen Wert auf.

Wann InfraNest es nicht anbietet

• Die Stelle eines Zertifikats lässt sich nicht benennen. Das erstmalige Veröffentlichen eines CAA-Satzes würde die Verlängerung dieses Zertifikats verhindern, daher lehnt InfraNest ab und nennt dir das betroffene Zertifikat.
• Es gibt noch nichts zu erlauben. Ein aus dem Nichts aufgebauter CAA-Satz würde jede Stelle verbieten.
• Ein Eintrag ist mit einem Tag als kritisch markiert, das InfraNest nicht kennt. Zertifizierungsstellen lehnen deswegen bereits ab, das muss zuerst behoben werden.

Wenn CAA bereits etwas blockiert

Lassen deine CAA-Einträge eine genutzte Stelle aus, zeigen die Seite DNS und die Domain-Seite das an — noch bevor die Verlängerung fehlschlägt.

1. Wähle Add, um genau die fehlenden Stellen zu erlauben.
2. Die Seite eines einzelnen Zertifikats bietet dieselbe Lösung für genau dieses Zertifikat an.
3. Bei einem Wildcard-Zertifikat wird dabei auch der issuewild-Eintrag hinzugefügt, den ein Wildcard-Zertifikat benötigt.

Mehrere Domains auf einmal

1. Gehe zur Übersicht Domains.
2. Sieh dir die Zeile CAA records an — sie zählt die Domains, die bereits einen CAA-Eintrag haben.
3. Wähle Add, um pro Domain zu sehen, was InfraNest schreiben wird und welche Domains übersprungen werden und warum.

Rückgängig machen

Jede Änderung wird im History der Zone als eine einzelne Änderung erfasst, sodass du sie in einem einzigen Schritt rückgängig machen kannst.

TipBist du dir unsicher, ob eine Änderung sicher ist, prüfe zuerst die Liste der betroffenen Zertifikate in der Vorschau — sie zeigt genau, was erneuerbar bleibt, bevor du dich für Write entscheidest.