Heb je de hoofdstukken over DNS-recordtypen gevolgd, dan weet je dat elk record in je DNS-zone een specifiek doel heeft. A-records verwijzen naar servers. MX-records routeren e-mail. TXT-records regelen verificatie en e-mailbeveiliging. Een CAA-record doet iets anders. Het bepaalt wie SSL-certificaten voor je domeinnaam mag uitgeven.
Zonder CAA-record kan elke certificeringsinstantie ter wereld een certificaat voor je domein uitgeven als iemand erom vraagt. Dat klinkt onschuldig, maar het opent de deur voor certificaten die zijn uitgegeven door instanties die je nooit hebt gekozen en nooit hebt goedgekeurd. Een CAA-record toevoegen sluit die deur en geeft jou de controle.
Waar staat CAA voor?
CAA staat voor certificate authority authorization. De naam zegt precies wat het record doet. Het machtigt specifieke certificeringsinstanties (CA's) om SSL-certificaten voor je domein uit te geven en zegt tegen alle andere CA's dat ze moeten weigeren.
Certificeringsinstanties zijn de organisaties die verifiëren dat een domeineigenaar is wie hij zegt te zijn en daarna het SSL-certificaat uitgeven dat HTTPS mogelijk maakt. Er zijn tientallen CA's actief over de hele wereld. Zonder CAA-record staat je domein open voor allemaal. Met een CAA-record kies jij welke toestemming hebben.
Hoe ziet een CAA-record eruit?
Een CAA-record heeft drie hoofddelen die samenwerken. Dit betekent elk deel.
- Flag is een getal dat bepaalt hoe het record wordt behandeld. Bij de meeste opzetten staat dit op 0. Een flag van 128 vertelt een CA dat hij, als hij de tag van het record niet begrijpt, het certificaat moet weigeren in plaats van het record te negeren
- Tag vertelt de CA wat voor soort toestemming of instructie dit record bevat. Er zijn drie tagtypen, hieronder uitgebreid uitgelegd
- Waarde is de naam van de certificeringsinstantie die wordt gemachtigd of het contactadres voor meldingen. Dit staat altijd tussen aanhalingstekens
Zo ziet een simpel CAA-record eruit in een DNS-paneel.
- Hostnaam ingesteld op @
- Type ingesteld op CAA
- Flag ingesteld op 0
- Tag ingesteld op issue
- Waarde ingesteld op "letsencrypt.org"
Dat record zegt één ding. Alleen Let's Encrypt mag standaard SSL-certificaten voor dit domein uitgeven. Elke andere CA die een certificaataanvraag voor je domein ontvangt, moet eerst je CAA-records controleren en weigeren als hij niet op de lijst staat.
Wat zijn de drie CAA-tagtypen?
Elk CAA-record gebruikt een van drie tags. De tag vertelt certificeringsinstanties wat voor soort instructie het record bevat.
De tag "issue"
De tag issue komt het vaakst voor. Hij noemt een certificeringsinstantie die standaard SSL-certificaten voor je domein mag uitgeven. Wil je twee verschillende CA's toestaan, dan voeg je twee aparte CAA-records toe, elk met de tag issue en een andere CA-naam.
Gebruikt je domein bijvoorbeeld certificaten van zowel Let's Encrypt als DigiCert, dan heb je twee CAA-records.
- 0 issue "letsencrypt.org"
- 0 issue "digicert.com"
Wil je het uitgeven van certificaten helemaal blokkeren, dan kun je de waarde van issue instellen op een puntkomma met niets erachter. Dat vertelt elke CA ter wereld dat niemand certificaten voor je domein mag uitgeven.
De tag "issuewild"
De tag issuewild werkt hetzelfde als issue, maar geldt alleen voor wildcardcertificaten. Een wildcardcertificaat dekt je hoofddomein en al zijn subdomeinen tegelijk (zoals *.jouwdomein.com).
Stel je een issuewild-record in, dan bepaalt dat welke CA's wildcardcertificaten mogen uitgeven, los van wie gewone certificaten mag uitgeven. Dat is handig als je wilt dat de ene CA je standaardcertificaten verzorgt en een andere CA je wildcardcertificaten, of als je wildcardcertificaten helemaal wilt blokkeren terwijl standaardcertificaten wel mogen.
Bestaat er geen issuewild-record, dan geldt de tag issue standaard voor zowel standaard- als wildcardcertificaten.
De tag "iodef"
De tag iodef bepaalt niet wie certificaten mag uitgeven. In plaats daarvan vertelt hij CA's waar ze een melding naartoe moeten sturen als iemand een certificaat probeert aan te vragen dat je CAA-beleid schendt.
De waarde is meestal een e-mailadres of een URL. Bijvoorbeeld.
- 0 iodef "mailto:security@jouwdomein.com"
Dit betekent dat als een CA een certificaataanvraag voor je domein ontvangt en je CAA-record zegt dat die CA niet is gemachtigd, de CA een melding naar dat e-mailadres moet sturen. Niet alle CA's ondersteunen iodef-meldingen, maar degene die dat doen geven je inzicht in ongeautoriseerde certificaataanvragen.
Hoe voeg je een CAA-record toe?
Een CAA-record toevoegen volgt een vergelijkbaar proces als elk ander DNS-record. Heb je al eens een TXT-record of A-record toegevoegd, dan komt dit je bekend voor.
- Log in op het DNS-beheerpaneel waar de nameservers van je domein zijn ingesteld. Dat is meestal je domeinregistrar of je hostingaanbieder
- Zoek de sectie met DNS-records of de DNS-zone-editor
- Klik op de optie om een nieuw record toe te voegen
- Kies CAA als recordtype
- Stel de flag in op 0, tenzij je een specifieke reden hebt om 128 te gebruiken
- Kies het tagtype. Gebruik "issue" voor standaardcertificaten, "issuewild" voor wildcardcertificaten of "iodef" voor meldingen van overtredingen
- Voer de waarde in. Voor issue en issuewild is dit de domeinnaam van de CA (zoals "letsencrypt.org"). Voor iodef is het een e-mailadres of een meldings-URL
- Sla het record op
Wil je meer dan één CA machtigen, voeg dan voor elke een apart CAA-record toe. DNS-wijzigingen kunnen van een paar minuten tot 48 uur duren om te propageren. Meer over hoe dat werkt lees je in het hoofdstuk over hoe DNS werkt.
Heb je een CAA-record nodig?
Een CAA-record is niet verplicht. Je domein werkt prima zonder, en je SSL-certificaat blijft gewoon functioneren. Maar het voegt een nuttige laag domeinbeveiliging toe die niets kost om in te stellen.
Zonder CAA-record kan elke certificeringsinstantie een SSL-certificaat voor je domein uitgeven als iemand erom vraagt. In de meeste gevallen is dat geen probleem, omdat CA's eigen verificatiestappen hebben. Maar die stappen zijn niet waterdicht. Er zijn gevallen geweest waarin certificaten aan de verkeerde mensen werden uitgegeven, door fouten of door CA's met zwakkere validatieprocessen.
Met een CAA-record mogen alleen de CA's die je specifiek hebt genoemd certificaten uitgeven. Elke andere CA moet weigeren, ook als de aanvrager hun normale controles doorstaat. Het is een kleine toevoeging aan je DNS-zone die een hele categorie risico verkleint.
Wat gebeurt er als je CAA-record een legitiem verzoek blokkeert?
Voeg je een CAA-record toe dat één CA noemt en probeer je daarna een certificaat te krijgen van een andere CA, dan mislukt het verzoek. De CA controleert je CAA-records, ziet dat hij niet is gemachtigd en weigert het certificaat uit te geven.
Dit is geen bug. Het is precies de bedoeling. Maar het betekent dat je je CAA-records in lijn moet houden met de CA die je hostingaanbieder of websiteplatform gebruikt. Stap je over naar een andere hostingaanbieder die een andere CA gebruikt, dan moet je je CAA-records bijwerken met de nieuwe.
De oplossing is simpel. Voeg een nieuw CAA-record toe voor de nieuwe CA of werk het bestaande bij. Het belangrijkste is dat je je CAA-records controleert zodra je van SSL-aanbieder of hostingopzet verandert.
Zo regelt WEMASY CAA-records
Als je een website bouwt met WEMASY en een eigen domein koppelt, regelt en beheert WEMASY je SSL-certificaat automatisch. Wil je voor extra beveiliging een CAA-record toevoegen, dan vertelt de domeininstallatiegids van WEMASY welke CA je moet machtigen, zodat je certificaatverlenging nooit wordt geblokkeerd.
WEMASY regelt SSL, hosting en domeinconfiguratie onder één dak, dus je hoeft je geen zorgen te maken dat niet-overeenkomende CAA-records je certificaat breken. Voeg je wel een CAA-record toe, zorg dan dat het de CA bevat die WEMASY gebruikt. Bekijk wat er in elk abonnement zit op de prijzenpagina van WEMASY.
Hoe nu verder
Nu je begrijpt hoe een CAA-record bepaalt welke certificeringsinstanties SSL-certificaten voor je domein mogen uitgeven, behandelt het volgende hoofdstuk SRV-records. SRV-records vertellen internet waar specifieke diensten op je domein te vinden zijn, zoals VoIP- of chatservers. Voor een overzicht van alle recordtypen en wanneer je welk gebruikt, lees je het hoofdstuk over DNS-recordtypen.
Veelgestelde vragen
Beïnvloedt een CAA-record de snelheid of uptime van je website?
Nee. CAA-records worden alleen gecontroleerd als een certificeringsinstantie een nieuwe certificaataanvraag verwerkt. Ze spelen geen rol in hoe je website laadt of hoe bezoekers je pagina's bereiken. De snelheid en uptime van je site hangen af van je hosting, je A-record en de prestaties van je server, niet van je CAA-instellingen. Met de websitebouwer van WEMASY stel je dit direct op je website in.
Wat gebeurt er als je helemaal geen CAA-records hebt?
Heeft je domein geen CAA-records, dan mag elke certificeringsinstantie ter wereld er certificaten voor uitgeven. Dit is de standaardsituatie voor de meeste domeinen. Het veroorzaakt geen direct probleem, maar het betekent dat er geen beperking is op wie een SSL-certificaat op naam van je domein kan krijgen.
Kun je CAA-records op subdomeinen hebben?
Ja. Je kunt CAA-records op specifieke subdomeinen instellen om het uitgeven van certificaten gedetailleerder te sturen. Heeft een subdomein een eigen CAA-record, dan gaat dat record voor op het record van het hoofddomein. Bestaat er geen CAA-record op het subdomein, dan controleert de CA in plaats daarvan de CAA-records van het bovenliggende domein.
Hoe ontdek je welke CA je hostingaanbieder gebruikt?
De makkelijkste manier is je huidige SSL-certificaat bekijken. In de meeste browsers kun je op het hangslotje in de adresbalk klikken, de certificaatdetails bekijken en zien welke CA het heeft uitgegeven. Je kunt ook rechtstreeks contact opnemen met je hostingaanbieder. Veelvoorkomende CA's zijn Let's Encrypt, DigiCert, Sectigo en GlobalSign.
Voorkomt een CAA-record dat iemand een nepversie van je site maakt?
Een CAA-record maakt het moeilijker voor iemand om een legitiem SSL-certificaat voor je domein te krijgen van een ongeautoriseerde CA. Het voorkomt niet alle vormen van phishing of imitatie, maar het haalt wel één route weg die een aanvaller kan nemen. Samen met sterke wachtwoorden, WHOIS-privacy en een veilig registrar-account is een CAA-record één onderdeel van een bredere beveiligingsopzet.