Choisir qui peut émettre des certificats pour votre domaine (CAA)

Cet article s’adresse à toute personne souhaitant contrôler quelles autorités de certification sont autorisées à émettre des certificats pour son domaine, sans exclure par accident l’autorité qu’elle utilise réellement.

Vue d’ensemble

• Un enregistrement CAA liste les autorités de certification autorisées à émettre des certificats pour votre domaine — toute autre autorité doit refuser la demande.
• Cela empêche quiconque d’obtenir un certificat pour votre nom auprès d’une autorité que vous n’utilisez jamais.
• Le risque est d’oublier une autorité que vous utilisez réellement — votre prochain renouvellement serait refusé et le certificat expirerait.
• InfraNest construit votre configuration CAA à partir de ce qu’il sait déjà de vos certificats, afin que cela n’arrive pas.

Le configurer pour un domaine

1. Ouvrez le domaine depuis Domaines, ou sa zone depuis DNS.
2. Dans Protection, choisissez Ajouter à côté de CAA.
3. Vérifiez l’aperçu. Il liste les enregistrements qu’InfraNest va ajouter et, en dessous, chaque certificat du domaine avec l’indication s’il reste renouvelable.
4. Choisissez Enregistrer. InfraNest écrit les enregistrements via votre hébergeur DNS, puis vérifie le DNS public.

Quelles autorités InfraNest autorise

• Les autorités à l’origine de vos certificats — toute autorité ayant émis un certificat pour le domaine au cours des 13 derniers mois, puisque c’est là que le prochain renouvellement ira.
• Celles que vous attendez — les émetteurs que vous avez listés sur la page du domaine sous Émetteurs attendus.
• Le réseau devant votre site — Cloudflare, Fastly ou Amazon CloudFront émettent leurs propres certificats, leurs autorités sont donc également autorisées. Si le DNS de votre domaine est chez Cloudflare, Cloudflare publie ses propres enregistrements CAA, qu’InfraNest laisse alors intacts.

NoteInfraNest ne fait qu’ajouter des enregistrements. Tout ce que vous avez déjà reste exactement tel quel — y compris une valeur liée à votre compte, qu’InfraNest n’élargit jamais avec une valeur générique.

Quand InfraNest ne le propose pas

• L’autorité d’un certificat ne peut pas être identifiée. Publier un premier jeu CAA empêcherait ce certificat de se renouveler, donc InfraNest refuse et vous indique quel certificat est concerné.
• Il n’y a encore rien à autoriser. Un jeu CAA construit à partir de rien interdirait toutes les autorités.
• Un enregistrement est marqué critique avec un tag qu’InfraNest ne connaît pas. Les autorités refusent déjà à cause de cela, il faut donc d’abord corriger ce point.

Quand CAA bloque déjà quelque chose

Si vos enregistrements CAA oublient une autorité en cours d’utilisation, la page DNS et la page du domaine vous le signaleront — avant que le renouvellement n’échoue.

1. Choisissez Ajouter pour autoriser exactement les autorités manquantes.
2. La page propre à un certificat propose le même correctif pour ce certificat précis.
3. Pour un certificat wildcard, cela ajoute aussi l’enregistrement issuewild dont un wildcard a besoin.

Plusieurs domaines à la fois

1. Allez à la vue d’ensemble Domaines.
2. Vérifiez la ligne Enregistrements CAA — elle compte les domaines ayant déjà CAA configuré.
3. Choisissez Ajouter pour voir, domaine par domaine, ce qu’InfraNest va écrire et quels domaines sont ignorés, et pourquoi.

Annuler

Chaque modification est enregistrée dans l’Historique de la zone comme une seule modification, afin que vous puissiez l’annuler en une seule étape.

TipSi vous n’êtes pas sûr qu’une modification soit sans risque, vérifiez d’abord la liste des certificats concernés dans l’aperçu — elle montre exactement ce qui reste renouvelable avant que vous ne validiez avec Enregistrer.