Fragen und Antworten

Was sind CAA-Einträge und wie funktionieren sie?

DNS-Einträge vom Typ "CAA" legen fest, welche Zertifizierungsstellen (z.B. Comodo/Sectigo oder Let's Encrypt) SSL-Zertifikate für eine Domain ausstellen dürfen.

Seit September 2017 müssen alle Zertifizierungsstellen vor der Neuausstellung und Verlängerung von Zertifikaten die CAA-Einträge der Domain prüfen. Existieren für eine Domain keine CAA-Einträge, kann jede Zertifizierungsstelle ein Zertifikat für diese Domain ausstellen. Wenn CAA-Einträge existieren, dürfen nur die dort angegebenen Zertifizierungsstellen Zertifikate für diese Domain ausstellen.

CAA-Einträge werden von der Sub-Domain-Ebene aufsteigend ausgewertet: Wenn eine Sub-Domain keinen CAA-Eintrag hat, so wird die nächsthöhere Domain-Ebene geprüft, bis die Haupt-Domain erreicht ist. Die CAA-Einträge einer Sub-Domain überschreiben dabei eventuell vorhandene CAA-Einträge der übergeordneten Domain-Ebenen. Im Regelfall werden CAA-Einträge jedoch nur für die Haupt-Domain angelegt.

Aufbau eines CAA-Eintrags

Am Anfang des CAA-Eintrags steht das "Issuer Critical Flag", das immer auf 0 gesetzt werden sollte. Es folgt issue für Nicht-Wildcard- oder issuewild für Wildcard-Zertifikate und abschließend die Registrierungstelle (in Anführungszeichen) oder ";" für keine Registrierungstelle. Wenn issuewild  nicht gesetzt ist, schließt issue  auch Wildcard-Zertifikate ein.

Welche Zertifizierungstellen werden von Variomedia genutzt?

Variomedia stellt ausschließlich Zertifikate von Sectigo (sectigo.com) und Let's Encrypt (letsencrypt.org) aus.

Beispiele

Wildcard und nicht-Wildcard für Let's Encrypt:

0 issue "letsencrypt.org"

Wildcard und nicht-Wildcard für Sectigo (ehemals Comodo):

0 issue "sectigo.com"

Hinweis: Die Zertifizierungstelle Comodo hat sich Im Jahr 2018 in Sectigo umbenannt, Sie können jedoch die alten CAA-Einträge comodoca.com zunächst weiter nutzen. Wir empfehlen jedoch, sie auf sectigo.com umzustellen.

Zur Autorisierung mehrerer Zertifizierungsstellen müssen für jede Zertifizierungsstelle jeweils eigene CAA-Records angelegt werden, z.B. für Wildcard und nicht-Wildcard für Sectigo und Let's Encrypt:

0 issue "sectigo.com"
0 issue "letsencrypt.org"

CAA-Records für Sectigo ohne Wildcard:

0 issue "sectigo.com"
0 issuewild ";"

Ausschließlich Wildcard-Zertifikate von Sectigo:

0 issue ";"
0 issuewild "sectigo.com"