Ha követted a DNS-rekordtípusokról szóló fejezeteket, tudod, hogy a DNS-zónád minden rekordjának meghatározott célja van. Az A rekordok szerverekre mutatnak. Az MX rekordok irányítják az e-mailt. A TXT rekordok az igazolást és az e-mail-biztonságot kezelik. A CAA rekord mást csinál. Szabályozza, ki adhat ki SSL-tanúsítványt a domainnevedhez.
CAA rekord nélkül a világ bármelyik tanúsítványkibocsátó hatósága kiadhat tanúsítványt a domainedhez, ha valaki kér egyet. Ez ártalmatlannak hangozhat, de megnyitja az ajtót olyan hatóságok által kiadott tanúsítványok előtt, amelyeket sosem választottál és sosem hagytál jóvá. A CAA rekord hozzáadása bezárja ezt az ajtót, és téged tesz irányítóvá.
Mit jelent a CAA?
A CAA a certificate authority authorization, vagyis tanúsítványkibocsátó hatóság engedélyezése rövidítése. A név pontosan megmondja, mit csinál a rekord. Meghatározott tanúsítványkibocsátó hatóságokat (CA) jogosít fel arra, hogy SSL-tanúsítványt adjanak ki a domainedhez, és az összes többi CA-nak megmondja, hogy utasítsa el.
A tanúsítványkibocsátó hatóságok azok a szervezetek, amelyek ellenőrzik, hogy a domain tulajdonosa az, akinek mondja magát, majd kiadják a HTTPS-t lehetővé tevő SSL-tanúsítványt. A világon több tucat CA működik. CAA rekord nélkül a domained mindegyik előtt nyitva áll. Ha van, te választod ki, melyeknek van engedélyük.
Hogyan néz ki egy CAA rekord?
A CAA rekordnak három fő része van, amelyek együtt működnek. Íme, mit jelent mindegyik.
- Jelző (flag) egy szám, amely szabályozza, hogyan kezelik a rekordot. A legtöbb beállításnál ez 0. A 128-as jelző azt mondja egy CA-nak, hogy ha nem érti a rekord címkéjét, a rekord figyelmen kívül hagyása helyett tagadja meg a tanúsítvány kiadását
- Címke (tag) megmondja a CA-nak, milyen engedélyt vagy utasítást tartalmaz a rekord. Három címketípus van, alább részletesen magyarázzuk
- Érték (value) az engedélyezett tanúsítványkibocsátó hatóság neve vagy a jelentési kapcsolattartó cím. Ez mindig idézőjelben áll
Így néz ki egy egyszerű CAA rekord a DNS-panelen.
- Gazdanév értéke @
- Típus értéke CAA
- Jelző értéke 0
- Címke értéke issue
- Érték értéke "example-ca.com"
Ez a rekord egy dolgot mond. Csak az example-ca.com adhat ki hagyományos SSL-tanúsítványt ehhez a domainhez. Bármely más CA, amely tanúsítványkérést kap a domainedre, először ellenőrzi a CAA rekordjaidat, és elutasítja, ha nincs a listán.
Mi a három CAA rekord címketípus?
Minden CAA rekord a három címke egyikét használja. A címke megmondja a tanúsítványkibocsátó hatóságoknak, milyen utasítást tartalmaz a rekord.
Az "issue" címke
Az issue címke a leggyakoribb. Megnevez egy tanúsítványkibocsátó hatóságot, amely hagyományos SSL-tanúsítványt adhat ki a domainedhez. Ha két különböző CA-t akarsz engedélyezni, két külön CAA rekordot adsz hozzá, mindegyiket az issue címkével és más CA-névvel.
Például ha a domained két különböző CA tanúsítványait használja, két CAA rekordod lenne.
- 0 issue "example-ca.com"
- 0 issue "other-ca.com"
Ha teljesen le akarod tiltani a tanúsítványkiadást, az issue értéket állíthatod pontosvesszőre, utána semmivel. Ez a világ minden CA-jának azt mondja, hogy senki sem jogosult tanúsítványt kiadni a domainedhez.
Az "issuewild" címke
Az issuewild címke ugyanúgy működik, mint az issue, de csak a wildcard tanúsítványokra vonatkozik. A wildcard tanúsítvány egyszerre lefedi a fődomainedet és az összes aldomainjét (például *.yourdomain.com).
Ha beállítasz issuewild rekordot, az a rendes tanúsítványok kiadóitól külön szabályozza, mely CA-k adhatnak ki wildcard tanúsítványt. Ez hasznos, ha azt szeretnéd, hogy az egyik CA kezelje a hagyományos tanúsítványaidat, egy másik pedig a wildcard tanúsítványokat, vagy ha a wildcard tanúsítványokat teljesen le akarod tiltani, miközben a hagyományosakat engeded.
Ha nincs issuewild rekord, az issue címke alapértelmezés szerint a hagyományos és a wildcard tanúsítványokra is vonatkozik.
Az "iodef" címke
Az iodef címke nem azt szabályozza, ki adhat ki tanúsítványt. Ehelyett megmondja a CA-knak, hová küldjenek jelentést, ha valaki olyan tanúsítványt próbál kérni, amely sérti a CAA szabályzatodat.
Az érték általában egy e-mail-cím vagy egy URL. Például.
- 0 iodef "mailto:security@yourdomain.com"
Ez azt jelenti, hogy ha egy CA tanúsítványkérést kap a domainedre, és a CAA rekordod szerint az a CA nem jogosult, értesítést kell küldenie arra az e-mail-címre. Nem minden CA támogatja az iodef-jelentést, de azok, amelyek igen, rálátást adnak a jogosulatlan tanúsítványkérésekre.
Hogyan adj hozzá CAA rekordot?
A CAA rekord hozzáadása hasonló folyamatot követ, mint bármely más DNS-rekordé. Ha már adtál hozzá TXT rekordot vagy A rekordot, ez ismerős lesz.
- Lépj be abba a DNS-kezelő panelbe, ahol a domained névszerverei be vannak állítva. Ez általában a domainregisztrátorod vagy a tárhelyszolgáltatód
- Keresd meg a DNS-rekordok részt vagy a DNS-zónaszerkesztőt
- Kattints az új rekord hozzáadására
- Válaszd a CAA-t rekordtípusnak
- Állítsd a jelzőt 0-ra, hacsak nincs konkrét okod a 128 használatára
- Válaszd ki a címketípust. Használd az "issue"-t hagyományos tanúsítványokhoz, az "issuewild"-ot wildcard tanúsítványokhoz, vagy az "iodef"-et a szabálysértési jelentésekhez
- Add meg az értéket. Az issue és issuewild esetén ez a CA domainneve (például "example-ca.com"). Az iodef esetén e-mail-cím vagy jelentési URL
- Mentsd a rekordot
Ha egynél több CA-t szeretnél engedélyezni, minden egyikhez adj hozzá külön CAA rekordot. A DNS-változások néhány perctől 48 óráig is terjedhetnek. A működésről többet a DNS működéséről szóló fejezetben olvashatsz.
Kell CAA rekord?
A CAA rekord nem kötelező. A domained tökéletesen működik nélküle, és az SSL-tanúsítványod is működik. De a rekord hasznos réteget ad a domainbiztonsághoz, és semmibe sem kerül a beállítása.
CAA rekord nélkül bármelyik tanúsítványkibocsátó hatóság kiadhat SSL-tanúsítványt a domainedhez, ha valaki kér egyet. A legtöbb esetben ez nem gond, mert a CA-knak saját ellenőrzési lépéseik vannak. De ezek a lépések nem tévedhetetlenek. Előfordult már, hogy tanúsítványt adtak ki rossz embereknek, akár tévedésből, akár gyengébb ellenőrzési folyamatú CA-knál.
Ha van CAA rekord, csak az általad külön megnevezett CA-k adhatnak ki tanúsítványt. Minden más CA-nak el kell utasítania, még akkor is, ha a tanúsítványt kérő átmegy a normál ellenőrzésein. Ez egy kis kiegészítés a DNS-zónádhoz, amely a kockázatok egy egész kategóriáját csökkenti.
Mi történik, ha a CAA rekordod blokkol egy jogos kérést?
Ha hozzáadsz egy CAA rekordot, amely egy CA-t nevez meg, majd megpróbálsz tanúsítványt szerezni egy másik CA-tól, a kérés meghiúsul. A CA ellenőrzi a CAA rekordjaidat, látja, hogy nem jogosult, és megtagadja a tanúsítvány kiadását.
Ez nem hiba. Ez az egész lényege. De azt jelenti, hogy a CAA rekordjaidat szinkronban kell tartanod azzal a CA-val, amelyet a tárhelyszolgáltatód vagy a weboldal-platformod használ. Ha tárhelyszolgáltatót váltasz, és az új szolgáltató más CA-t használ, frissítened kell a CAA rekordjaidat, hogy az újat is tartalmazzák.
A megoldás egyszerű. Vagy adj hozzá új CAA rekordot az új CA-hoz, vagy frissítsd a meglévőt. Az a fontos, hogy ellenőrizd a CAA rekordjaidat, valahányszor SSL-szolgáltatót vagy tárhelybeállítást váltasz.
Hogyan kezeli a WEMASY a CAA rekordokat
A WEMASY weboldalépítőjében felépítheted a weboldalad oldalait. Ha CAA rekordot adsz a domainedhez, ügyelj rá, hogy az tartalmazza azt a CA-t, amelyet a tanúsítványod kiadásához használnak.
Nézd meg, mit tartalmaz az egyes csomag a WEMASY árazás oldalon.
Mi jön ezután
Most, hogy érted, hogyan szabályozza a CAA rekord, mely tanúsítványkibocsátó hatóságok adhatnak ki SSL-tanúsítványt a domainedhez, a következő fejezet az SRV rekordokról szól. Az SRV rekordok megmondják az internetnek, hol találja a domaineden futó konkrét szolgáltatásokat, például VoIP- vagy csevegőszervereket. Az összes rekordtípus áttekintéséhez és ahhoz, mikor melyiket használd, nézd meg a DNS-rekordtípusokról szóló fejezetet.
Gyakran ismételt kérdések
Befolyásolja a CAA rekord a weboldalad sebességét vagy elérhetőségét?
Nem. A CAA rekordokat csak akkor ellenőrzik, amikor egy tanúsítványkibocsátó hatóság új tanúsítványkérést dolgoz fel. Nincsenek benne abban, hogyan töltődik be a weboldalad, vagy hogyan érik el a látogatók az oldalaidat. Az oldalad sebessége és elérhetősége a tárhelyedtől, az A rekordodtól és a szervered teljesítményétől függ, nem a CAA beállításaidtól. A WEMASY weboldalépítőjében ezt közvetlenül a weboldaladon is beállíthatod.
Mi történik, ha egyáltalán nincsenek CAA rekordjaid?
Ha a domainednek nincsenek CAA rekordjai, a világ minden tanúsítványkibocsátó hatósága kiadhat hozzá tanúsítványt. Ez a legtöbb domain alapállapota. Nem okoz azonnali problémát, de azt jelenti, hogy nincs korlátozás arra, ki szerezhet SSL-tanúsítványt a domainneved nevében.
Lehetnek CAA rekordok aldomaineken?
Igen. CAA rekordokat állíthatsz be konkrét aldomaineken, hogy finomabb szinten szabályozd a tanúsítványkiadást. Ha egy aldomainnek saját CAA rekordja van, az elsőbbséget élvez a gyökérdomain rekordjával szemben. Ha az aldomainen nincs CAA rekord, a CA a szülődomain CAA rekordjait ellenőrzi helyette.
Hogyan derítheted ki, melyik CA-t használja a tárhelyszolgáltatód?
A legkönnyebb módja, ha megnézed a jelenlegi SSL-tanúsítványodat. A legtöbb böngészőben rákattinthatsz a címsorban lévő lakat ikonra, megnézheted a tanúsítvány adatait, és láthatod, melyik CA adta ki. Közvetlenül a tárhelyszolgáltatódat is megkérdezheted.
Megakadályozza a CAA rekord, hogy valaki létrehozza az oldalad hamis változatát?
A CAA rekord megnehezíti, hogy valaki jogosulatlan CA-tól szerezzen jogos SSL-tanúsítványt a domainedhez. Nem akadályoz meg minden adathalász vagy megszemélyesítő módszert, de eltávolít egy utat, amelyet egy támadó választhatna. Erős jelszavakkal, WHOIS-adatvédelemmel és a regisztrátori fiókod biztonságos tartásával együtt a CAA rekord egy szélesebb biztonsági beállítás egyik eleme.