Har du fulgt kapitlerne om DNS-posttyper, ved du, at hver post i din DNS-zone har sit eget formål. A-poster peger på servere. MX-poster leder e-mail. TXT-poster klarer bekræftelse og e-mailsikkerhed. En CAA-post gør noget andet. Den styrer, hvem der må udstede SSL-certifikater til dit domænenavn.
Uden en CAA-post kan enhver certifikatudsteder i verden udstede et certifikat til dit domæne, hvis nogen beder om et. Det lyder måske harmløst, men det åbner døren for, at der udstedes certifikater af udstedere, du aldrig har valgt og aldrig har godkendt. En CAA-post lukker den dør og giver dig kontrollen.
Hvad står CAA for?
CAA står for certificate authority authorization. Navnet siger præcis, hvad posten gør. Den giver bestemte certifikatudstedere (CA'er) lov til at udstede SSL-certifikater til dit domæne og fortæller alle andre CA'er, at de skal afvise.
Certifikatudstedere er de organisationer, der har ansvaret for at bekræfte, at en domæneejer er den, vedkommende udgiver sig for at være, og derefter udstede det SSL-certifikat, der giver HTTPS. Der er snesevis af CA'er rundt om i verden. Uden en CAA-post er dit domæne åbent for dem alle. Med en vælger du, hvilke der har tilladelse.
Hvordan ser en CAA-post ud?
En CAA-post har tre hoveddele, der virker sammen. Her er, hvad hver betyder.
- Flag er et tal, der styrer, hvordan posten behandles. I de fleste opsætninger er det 0. Et flag på 128 fortæller en CA, at hvis den ikke forstår postens tag, skal den nægte at udstede certifikatet i stedet for at ignorere posten
- Tag fortæller CA'en, hvilken slags tilladelse eller instruktion posten indeholder. Der er tre tagtyper, som forklares nedenfor
- Værdi er navnet på den certifikatudsteder, der gives tilladelse, eller kontaktadressen til rapportering. Den står altid i anførselstegn
Sådan ser en enkel CAA-post ud i et DNS-panel.
- Værtsnavn sat til @
- Type sat til CAA
- Flag sat til 0
- Tag sat til issue
- Værdi sat til "ca.example.com"
Den post siger én ting. Kun CA'en "ca.example.com" må udstede almindelige SSL-certifikater til dette domæne. Enhver anden CA, der får en anmodning om et certifikat til dit domæne, skal først tjekke dine CAA-poster og afvise, hvis den ikke står på listen.
Hvad er de tre tagtyper i CAA-poster?
Hver CAA-post bruger et af tre tags. Tagget fortæller certifikatudstederne, hvilken slags instruktion posten indeholder.
Tagget "issue"
Tagget issue er det mest almindelige. Det navngiver en certifikatudsteder, der må udstede almindelige SSL-certifikater til dit domæne. Vil du give to forskellige CA'er lov, tilføjer du to separate CAA-poster, hver med issue-tagget og et forskelligt CA-navn.
Bruger dit domæne for eksempel certifikater fra to forskellige CA'er, har du to CAA-poster.
- 0 issue "ca.example.com"
- 0 issue "other-ca.example.com"
Vil du blokere al udstedelse af certifikater helt, kan du sætte issue-værdien til et semikolon uden noget efter. Det fortæller alle CA'er i verden, at ingen har tilladelse til at udstede certifikater til dit domæne.
Tagget "issuewild"
Tagget issuewild virker på samme måde som issue, men det gælder kun wildcard-certifikater. Et wildcard-certifikat dækker dit hoveddomæne og alle dets subdomæner på én gang (som *.dindomaene.dk).
Sætter du en issuewild-post, styrer den, hvilke CA'er der må udstede wildcard-certifikater, adskilt fra hvem der må udstede almindelige. Det er nyttigt, hvis du vil have én CA til dine almindelige certifikater og en anden til wildcard-certifikater, eller hvis du vil blokere wildcard-certifikater helt, men stadig tillade almindelige.
Findes der ingen issuewild-post, gælder issue-tagget som standard for både almindelige og wildcard-certifikater.
Tagget "iodef"
Tagget iodef styrer ikke, hvem der må udstede certifikater. I stedet fortæller det CA'er, hvor de skal sende en rapport, hvis nogen prøver at bede om et certifikat, der strider mod din CAA-politik.
Værdien er som regel en e-mailadresse eller en URL. For eksempel.
- 0 iodef "mailto:security@dindomaene.dk"
Det betyder, at hvis en CA får en anmodning om et certifikat til dit domæne, og din CAA-post siger, at den CA ikke har tilladelse, skal CA'en sende en besked til den e-mailadresse. Ikke alle CA'er understøtter iodef-rapportering, men dem, der gør, giver dig indblik i uautoriserede certifikatanmodninger.
Hvordan tilføjer du en CAA-post?
At tilføje en CAA-post følger en proces, der minder om at tilføje enhver anden DNS-post. Har du tilføjet en TXT-post eller en A-post før, vil det føles bekendt.
- Log ind i det DNS-panel, hvor dit domænes nameservere er sat. Det er som regel din domæneregistrar eller din hostingudbyder
- Find afsnittet med DNS-poster eller DNS-zoneeditoren
- Klik på muligheden for at tilføje en ny post
- Vælg CAA som posttype
- Sæt flaget til 0, medmindre du har en særlig grund til at bruge 128
- Vælg tagtype. Brug "issue" til almindelige certifikater, "issuewild" til wildcard-certifikater eller "iodef" til rapporter om overtrædelser
- Indtast værdien. For issue og issuewild er det CA'ens domænenavn. For iodef er det en e-mailadresse eller en URL til rapportering
- Gem posten
Vil du give mere end én CA lov, så tilføj en separat CAA-post for hver. DNS-ændringer kan tage fra nogle få minutter op til 48 timer at propagere. Vil du vide mere om, hvordan det virker, så læs kapitlet om hvordan DNS virker.
Har du brug for en CAA-post?
En CAA-post er ikke et krav. Dit domæne fungerer fint uden en, og dit SSL-certifikat virker stadig. Men en CAA-post giver et nyttigt lag domænesikkerhed, som ikke koster noget at sætte op.
Uden en CAA-post kan enhver certifikatudsteder udstede et SSL-certifikat til dit domæne, hvis nogen beder om det. I de fleste tilfælde er det ikke et problem, fordi CA'er har deres egne kontroltrin. Men de trin er ikke skudsikre. Der har været tilfælde, hvor certifikater blev udstedt til de forkerte, enten ved fejl eller hos CA'er med svagere kontrol.
Med en CAA-post på plads kan kun de CA'er, du udtrykkeligt har navngivet, udstede certifikater. Alle andre CA'er skal afvise, selv om den, der beder om certifikatet, består deres normale kontroller. Det er en lille tilføjelse til din DNS-zone, der mindsker en hel kategori af risiko.
Hvad sker der, hvis din CAA-post blokerer en lovlig anmodning?
Hvis du tilføjer en CAA-post med én CA og så prøver at få et certifikat fra en anden CA, fejler anmodningen. CA'en tjekker dine CAA-poster, ser at den ikke har tilladelse, og nægter at udstede certifikatet.
Det er ikke en fejl. Det er hele pointen. Men det betyder, at du skal holde dine CAA-poster i takt med den CA, som din hostingudbyder eller hjemmesideplatform bruger. Skifter du hostingudbyder, og den nye bruger en anden CA, skal du opdatere dine CAA-poster, så den nye er med.
Løsningen er enkel. Tilføj enten en ny CAA-post for den nye CA eller opdater den eksisterende. Det vigtige er, at du tjekker dine CAA-poster, hver gang du ændrer din SSL-udbyder eller hostingopsætning.
Sådan håndterer WEMASY CAA-poster
Når du bygger en hjemmeside med WEMASY og forbinder et eget domæne, sørger WEMASY automatisk for og styrer dit SSL-certifikat. Vil du tilføje en CAA-post for ekstra sikkerhed, fortæller WEMASYs guide til domæneopsætning dig, hvilken CA du skal give lov, så din fornyelse af certifikatet aldrig bliver blokeret.
WEMASY klarer SSL, hosting og domæneopsætning samlet, så du ikke skal bekymre dig om, at CAA-poster, der ikke passer sammen, ødelægger dit certifikat. Tilføjer du en CAA-post, så sørg bare for, at den indeholder den CA, WEMASY bruger. Se, hvad der er med i hver plan, på siden WEMASY-priser.
Hvad kommer så
Nu hvor du forstår, hvordan en CAA-post styrer, hvilke certifikatudstedere der må udstede SSL-certifikater til dit domæne, handler næste kapitel om SRV-poster. SRV-poster fortæller internettet, hvor det finder bestemte tjenester på dit domæne, som VoIP- eller chatservere. For et overblik over alle posttyper og hvornår du bruger hver af dem, se kapitlet om DNS-posttyper.
Ofte stillede spørgsmål
Påvirker en CAA-post din hjemmesides hastighed eller oppetid?
Nej. CAA-poster tjekkes kun, når en certifikatudsteder behandler en ny anmodning om et certifikat. De har ingen rolle i, hvordan din hjemmeside indlæses, eller hvordan besøgende når dine sider. Din hjemmesides hastighed og oppetid afhænger af din hosting, din A-post og din servers ydelse, ikke af dine CAA-indstillinger. Med WEMASYs hjemmesidebygger kan du sætte det op direkte på din hjemmeside.
Hvad sker der, hvis du slet ikke har CAA-poster?
Har dit domæne ingen CAA-poster, må alle certifikatudstedere i verden udstede certifikater til det. Det er standardtilstanden for de fleste domæner. Det giver ikke noget umiddelbart problem, men det betyder, at der ikke er nogen begrænsning på, hvem der kan få et SSL-certifikat i dit domænes navn.
Kan du have CAA-poster på subdomæner?
Ja. Du kan sætte CAA-poster på bestemte subdomæner for at styre udstedelse af certifikater mere detaljeret. Har et subdomæne sin egen CAA-post, går den forud for den på rodomænet. Findes der ingen CAA-post på subdomænet, tjekker CA'en i stedet det overordnede domænes CAA-poster.
Hvordan finder du ud af, hvilken CA din hostingudbyder bruger?
Det nemmeste er at tjekke dit nuværende SSL-certifikat. I de fleste browsere kan du klikke på hængelåsen i adresselinjen, se certifikatets detaljer og se, hvilken CA der har udstedt det. Du kan også kontakte din hostingudbyder direkte.
Forhindrer en CAA-post, at nogen laver en falsk udgave af din side?
En CAA-post gør det sværere for nogen at få et ægte SSL-certifikat til dit domæne fra en uautoriseret CA. Den forhindrer ikke alle former for phishing eller efterligning, men den fjerner en vej, en angriber kunne tage. Sammen med stærke adgangskoder, WHOIS-beskyttelse og en sikker registrar-konto er en CAA-post en del af en bredere sikkerhedsopsætning.