Se hai seguito i capitoli sui tipi di record DNS, sai che ogni record della zona DNS ha uno scopo preciso. I record A puntano ai server. I record MX instradano l'email. I record TXT gestiscono verifica e sicurezza dell'email. Un record CAA fa qualcosa di diverso. Controlla chi può emettere certificati SSL per il tuo nome di dominio.
Senza un record CAA, qualsiasi autorità di certificazione al mondo può emettere un certificato per il tuo dominio se qualcuno lo richiede. Può sembrare innocuo, ma apre la porta all'emissione di certificati da parte di autorità che non hai mai scelto né approvato. Aggiungere un record CAA chiude quella porta e ti rimette al comando.
Cosa significa CAA?
CAA sta per certificate authority authorization, autorizzazione dell'autorità di certificazione. Il nome dice esattamente cosa fa il record. Autorizza specifiche autorità di certificazione (CA) a emettere certificati SSL per il tuo dominio e dice a tutte le altre di rifiutare.
Le autorità di certificazione sono le organizzazioni che verificano che il titolare di un dominio sia chi dice di essere e poi emettono il certificato SSL che abilita HTTPS. Nel mondo operano decine di CA. Senza un record CAA, il tuo dominio è aperto a tutte. Con uno, scegli tu quali hanno il permesso.
Che aspetto ha un record CAA?
Un record CAA ha tre parti principali che lavorano insieme. Ecco cosa significa ciascuna.
- Flag è un numero che controlla come viene gestito il record. Nella maggior parte dei casi è impostato su 0. Un flag di 128 dice a una CA che, se non capisce il tag del record, deve rifiutare di emettere il certificato invece di ignorare il record
- Tag dice alla CA che tipo di permesso o istruzione contiene questo record. Ci sono tre tipi di tag, spiegati nel dettaglio più sotto
- Valore è il nome dell'autorità di certificazione che viene autorizzata oppure l'indirizzo di contatto per le segnalazioni. È sempre racchiuso tra virgolette
Ecco come appare un semplice record CAA in un pannello DNS.
- Hostname impostato su @
- Tipo impostato su CAA
- Flag impostato su 0
- Tag impostato su issue
- Valore impostato su "letsencrypt.org"
Quel record dice una cosa sola. Solo l'autorità indicata nel valore può emettere certificati SSL standard per questo dominio. Ogni altra CA che riceve una richiesta di certificato per il tuo dominio deve prima controllare i tuoi record CAA e rifiutare se non è nell'elenco.
Quali sono i tre tipi di tag del record CAA?
Ogni record CAA usa uno di tre tag. Il tag dice alle autorità di certificazione che tipo di istruzione contiene il record.
Il tag "issue"
Il tag issue è il più comune. Indica un'autorità di certificazione che può emettere certificati SSL standard per il tuo dominio. Se vuoi permettere due CA diverse, aggiungi due record CAA separati, ciascuno con il tag issue e un nome di CA diverso.
Per esempio, se il tuo dominio usa certificati di due autorità diverse, avresti due record CAA.
- 0 issue "letsencrypt.org"
- 0 issue "digicert.com"
Se vuoi bloccare del tutto l'emissione di certificati, puoi impostare il valore issue su un punto e virgola senza niente dopo. Questo dice a ogni CA del mondo che nessuno è autorizzato a emettere certificati per il tuo dominio.
Il tag "issuewild"
Il tag issuewild funziona come issue, ma si applica solo ai certificati wildcard. Un certificato wildcard copre il dominio principale e tutti i suoi sottodomini in una volta (come *.yourdomain.com).
Se imposti un record issuewild, controlla quali CA possono emettere certificati wildcard, separatamente da chi può emettere quelli normali. È utile se vuoi che una CA gestisca i certificati standard e un'altra quelli wildcard, o se vuoi bloccare del tutto i certificati wildcard continuando a permettere quelli standard.
Se non esiste un record issuewild, il tag issue si applica per impostazione predefinita sia ai certificati standard sia a quelli wildcard.
Il tag "iodef"
Il tag iodef non controlla chi può emettere certificati. Dice invece alle CA dove inviare una segnalazione se qualcuno prova a richiedere un certificato che viola la tua policy CAA.
Il valore di solito è un indirizzo email o un URL. Per esempio.
- 0 iodef "mailto:security@yourdomain.com"
Significa che, se una CA riceve una richiesta di certificato per il tuo dominio e il tuo record CAA dice che quella CA non è autorizzata, la CA dovrebbe inviare una notifica a quell'indirizzo email. Non tutte le CA supportano le segnalazioni iodef, ma quelle che lo fanno ti danno visibilità sulle richieste di certificato non autorizzate.
Come si aggiunge un record CAA?
Aggiungere un record CAA segue un processo simile a quello di qualsiasi altro record DNS. Se hai già aggiunto un record TXT o un record A, ti sembrerà familiare.
- Accedi al pannello di gestione DNS dove sono impostati i nameserver del tuo dominio. Di solito è il registrar o il fornitore di hosting
- Trova la sezione dei record DNS o l'editor della zona DNS
- Clicca l'opzione per aggiungere un nuovo record
- Seleziona CAA come tipo di record
- Imposta il flag su 0, a meno che tu abbia un motivo specifico per usare 128
- Scegli il tipo di tag. Usa "issue" per i certificati standard, "issuewild" per i certificati wildcard o "iodef" per le segnalazioni di violazioni
- Inserisci il valore. Per issue e issuewild è il nome di dominio della CA (come "letsencrypt.org"). Per iodef è un indirizzo email o un URL di segnalazione
- Salva il record
Se vuoi autorizzare più di una CA, aggiungi un record CAA separato per ciascuna. Le modifiche DNS possono richiedere da pochi minuti a 48 ore per propagarsi. Per saperne di più, leggi il capitolo su come funziona il DNS.
Ti serve un record CAA?
Un record CAA non è obbligatorio. Il tuo dominio funzionerà benissimo anche senza e il certificato SSL continuerà a funzionare. Ma averne uno aggiunge un utile livello di sicurezza del dominio che non costa nulla da configurare.
Senza un record CAA, qualsiasi autorità di certificazione può emettere un certificato SSL per il tuo dominio se qualcuno lo richiede. Nella maggior parte dei casi non è un problema, perché le CA hanno i propri passaggi di verifica. Ma quei passaggi non sono infallibili. Ci sono stati casi in cui certificati sono stati emessi alle persone sbagliate, per errori o per CA con processi di convalida più deboli.
Con un record CAA attivo, solo le CA che hai indicato espressamente possono emettere certificati. Ogni altra CA è tenuta a rifiutare, anche se chi richiede il certificato supera i loro normali controlli. È una piccola aggiunta alla zona DNS che riduce un'intera categoria di rischio.
Cosa succede se il record CAA blocca una richiesta legittima?
Se aggiungi un record CAA che indica una sola CA e poi provi a ottenere un certificato da un'altra CA, la richiesta fallirà. La CA controllerà i tuoi record CAA, vedrà di non essere autorizzata e rifiuterà di emettere il certificato.
Non è un difetto. È proprio lo scopo. Ma significa che devi tenere i record CAA allineati con la CA usata dal tuo fornitore di hosting o dalla piattaforma del sito. Se cambi fornitore di hosting e il nuovo usa una CA diversa, dovrai aggiornare i record CAA per includere quella nuova.
La soluzione è semplice. Aggiungi un nuovo record CAA per la nuova CA oppure aggiorna quello esistente. L'importante è controllare i record CAA ogni volta che cambi fornitore SSL o configurazione di hosting.
Come WEMASY gestisce i record CAA
Quando crei un sito con WEMASY e colleghi un dominio personalizzato, WEMASY fornisce e gestisce in automatico il tuo certificato SSL. Se vuoi aggiungere un record CAA per maggiore sicurezza, la guida alla configurazione del dominio di WEMASY ti dice quale CA autorizzare, così il rinnovo del certificato non viene mai bloccato.
WEMASY gestisce SSL, hosting e configurazione del dominio sotto lo stesso tetto, quindi non devi preoccuparti che record CAA non corrispondenti rompano il certificato. Se aggiungi un record CAA, assicurati solo che includa la CA usata da WEMASY. Scopri cosa include ogni piano nella pagina dei prezzi di WEMASY.
Cosa viene dopo
Ora che hai capito come un record CAA controlla quali autorità di certificazione possono emettere certificati SSL per il tuo dominio, il prossimo capitolo tratta i record SRV. I record SRV dicono a internet dove trovare servizi specifici attivi sul tuo dominio, come server VoIP o di chat. Per una panoramica di tutti i tipi di record e di quando usare ciascuno, vedi il capitolo sui tipi di record DNS.
Domande frequenti
Un record CAA influisce sulla velocità o sulla disponibilità del sito?
No. I record CAA vengono controllati solo quando un'autorità di certificazione elabora una nuova richiesta di certificato. Non c'entrano nulla con il caricamento del sito o con il modo in cui i visitatori raggiungono le tue pagine. Velocità e disponibilità del sito dipendono da hosting, record A e prestazioni del server, non dalle impostazioni CAA. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Cosa succede se non ho nessun record CAA?
Se il tuo dominio non ha record CAA, ogni autorità di certificazione al mondo può emettere certificati per esso. È lo stato predefinito della maggior parte dei domini. Non causa problemi immediati, ma significa che non c'è alcuna restrizione su chi può ottenere un certificato SSL a nome del tuo dominio.
Si possono avere record CAA sui sottodomini?
Sì. Puoi impostare record CAA su sottodomini specifici per controllare l'emissione dei certificati in modo più preciso. Se un sottodominio ha un proprio record CAA, quel record ha la precedenza su quello del dominio principale. Se sul sottodominio non esiste un record CAA, la CA controlla invece i record CAA del dominio padre.
Come scopro quale CA usa il mio fornitore di hosting?
Il modo più semplice è controllare il tuo certificato SSL attuale. Nella maggior parte dei browser puoi cliccare l'icona del lucchetto nella barra degli indirizzi, aprire i dettagli del certificato e vedere quale CA lo ha emesso. Puoi anche contattare direttamente il fornitore di hosting. Esistono molte CA, sia gratuite sia a pagamento.
Un record CAA impedisce a qualcuno di creare una versione falsa del mio sito?
Un record CAA rende più difficile per qualcuno ottenere un certificato SSL legittimo per il tuo dominio da una CA non autorizzata. Non impedisce ogni forma di phishing o di imitazione, ma toglie una strada a chi attacca. Insieme a password forti, alla privacy WHOIS e alla sicurezza dell'account del registrar, un record CAA è un tassello di una configurazione di sicurezza più ampia.