Kiezen wie certificaten voor je domein mag uitgeven (CAA)

Dit artikel is voor iedereen die wil bepalen welke certificaatautoriteiten certificaten voor hun domein mogen uitgeven, zonder per ongeluk de autoriteit te blokkeren die ze daadwerkelijk gebruiken.

Overzicht

• Een CAA-record geeft aan welke certificaatautoriteiten certificaten voor je domein mogen uitgeven — elke andere autoriteit moet het verzoek weigeren.
• Zo voorkom je dat iemand anders een certificaat voor jouw naam krijgt van een autoriteit die je nooit gebruikt.
• Het risico is dat je een autoriteit weglaat die je wél gebruikt — je volgende vernieuwing zou dan worden geweigerd en het certificaat zou verlopen.
• InfraNest stelt je CAA-configuratie samen op basis van wat het al weet over je certificaten, zodat dit niet gebeurt.

Instellen voor één domein

1. Open het domein vanuit Domeinen, of de bijbehorende zone vanuit DNS.
2. Kies bij Bescherming de optie Toevoegen naast CAA.
3. Controleer het voorbeeld. Het toont de records die InfraNest zal toevoegen en, daaronder, elk certificaat op het domein met de vraag of het vernieuwbaar blijft.
4. Kies Write. InfraNest schrijft de records via je DNS-host en controleert vervolgens de publieke DNS.

Welke autoriteiten InfraNest toestaat

• De autoriteiten achter je certificaten — elke autoriteit die in de afgelopen 13 maanden een certificaat voor het domein heeft uitgegeven, omdat daar ook de volgende vernieuwing naartoe gaat.
• De autoriteiten die je verwacht — de uitgevers die je op de domeinpagina onder Verwachte uitgevers hebt opgegeven.
• Het netwerk vóór je site — Cloudflare, Fastly of Amazon CloudFront geven hun eigen certificaten uit, dus hun autoriteiten worden ook toegestaan. Als de DNS van je domein bij Cloudflare staat, publiceert Cloudflare zijn eigen CAA-records, dus InfraNest laat die met rust.

NoteInfraNest voegt alleen records toe. Alles wat je al hebt, blijft precies zoals het is — inclusief een waarde die aan je account is gekoppeld, die InfraNest nooit verruimt met een gewone waarde.

Wanneer InfraNest dit niet aanbiedt

• De autoriteit van een certificaat kan niet worden benoemd. Het publiceren van een eerste CAA-set zou verhinderen dat dat certificaat wordt vernieuwd, dus weigert InfraNest dit en laat het zien welk certificaat het betreft.
• Er is nog niets om toe te staan. Een CAA-set die vanaf niets wordt opgebouwd, zou elke autoriteit verbieden.
• Een record is gemarkeerd als kritiek met een tag die InfraNest niet kent. Autoriteiten weigeren daardoor al, dus dat moet eerst worden opgelost.

Wanneer CAA al iets blokkeert

Als je CAA-records een autoriteit missen die in gebruik is, laten de pagina DNS en de domeinpagina dit zien — nog vóór de vernieuwing mislukt.

1. Kies Toevoegen om precies de ontbrekende autoriteiten toe te staan.
2. De eigen pagina van een certificaat biedt dezelfde oplossing voor dat specifieke certificaat.
3. Voor een wildcardcertificaat wordt hierbij ook het issuewild-record toegevoegd dat een wildcard nodig heeft.

Meerdere domeinen tegelijk

1. Ga naar het overzicht Domeinen.
2. Bekijk de regel CAA-records — deze telt de domeinen die al een CAA-configuratie hebben.
3. Kies Toevoegen om per domein te zien wat InfraNest zal schrijven en welke domeinen worden overgeslagen en waarom.

Ongedaan maken

Elke wijziging wordt in de Geschiedenis van de zone als één wijziging vastgelegd, zodat je deze in één stap ongedaan kunt maken.

TipTwijfel je of een wijziging veilig is, controleer dan eerst de lijst met betrokken certificaten in het voorbeeld — die laat precies zien wat vernieuwbaar blijft voordat je op Write klikt.