CAA

Was geprüft

Abgefragt werden die CAA-Einträge des Hostnamens und, falls dort keine stehen, der übergeordneten Namen. Lässt sich der Aussteller des aktuellen Zertifikats zuordnen und fehlt er in den issue-Angaben, ist der Punkt auffällig. Zugeordnet werden derzeit nur primär belegte Aussteller (Let’s Encrypt); bei anderen findet kein Abgleich statt.

Wie relevant

Zählt nicht zum Gesamtwert: Die Kategorie DNS und Technologien fließt nicht in die Wertung ein. Schließt CAA den tatsächlichen Aussteller aus, wird das trotzdem als auffälliger Punkt (Mittel) markiert, weil die nächste Verlängerung des Zertifikats scheitern kann. Ein fehlender CAA-Eintrag erscheint als Information.

Warum

Mit CAA (Certification Authority Authorization) legt die Domain fest, welche Zertifizierungsstellen Zertifikate für sie ausstellen dürfen. Das erschwert falsch ausgestellte Zertifikate, verhindert aber auch die Verlängerung bei einer nicht genannten Stelle.

Wie beheben

Nennen Sie in CAA jede Zertifizierungsstelle, die für Ihre Domain ausstellt, mit ihrem eigenen issue-Wert. Ihr Hoster oder CDN nennt die benötigten Werte.

Nebenwirkung: Ein zu enger CAA-Eintrag fällt oft erst bei der nächsten automatischen Verlängerung auf, dann mit abgelaufenem Zertifikat. Bei einem CDN wie Cloudflare stellen dessen Partner die Zertifikate am Rand aus; prüfen Sie deren Dokumentation, bevor Sie CAA setzen. Ein iodef-Eintrag meldet abgelehnte Ausstellungsversuche an eine Adresse Ihrer Wahl.

Codebeispiel

DNS-Einträge (Zonendatei)

beispiel.de.  3600  IN  CAA  0 issue "letsencrypt.org"
beispiel.de.  3600  IN  CAA  0 iodef "mailto:sicherheit@beispiel.de"

Weiterführende Quellen

• https://www.rfc-editor.org/rfc/rfc8659.html
• https://letsencrypt.org/docs/caa/
• https://developers.cloudflare.com/ssl/edge-certificates/caa-records/