Modul 5 · 5.2
CAA: Wer darf Zertifikate ausstellen?
Modul 5: Weitere Einträge · Lesezeit: 6 Minuten
Lernziel: Nach dieser Lektion können Sie einen CAA-Eintrag lesen und wissen, wie ein CAA-Eintrag die Beantragung eines SSL-Zertifikats blockieren kann.
Kernbegriffe: CAA, issue, issuewild, iodef, Zertifizierungsstelle (CA), kein CAA-Eintrag bedeutet: jeder darf
Ein Vorhängeschloss von einem Fremden
Ein SSL-Zertifikat (eigentlich ein TLS-Zertifikat) sorgt für das Schloss-Symbol im Browser. Es wird von einer Zertifizierungsstelle ausgestellt, kurz CA: zum Beispiel Let's Encrypt, Sectigo, DigiCert oder Google Trust Services. Es gibt Dutzende CAs, denen Browser vertrauen, und grundsätzlich darf jede von ihnen ein Zertifikat für Ihre Domain ausstellen, solange der Antragsteller nachweist, dass er die Domain verwaltet.
Mit einem CAA-Eintrag (Certification Authority Authorization, RFC 8659) schränken Sie das ein. Sie legen im DNS fest, welche CAs für Ihre Domain Zertifikate ausstellen dürfen. Jede CA ist verpflichtet, diesen Eintrag zu prüfen, bevor sie ein Zertifikat ausstellt. Steht die CA nicht darin, muss sie ablehnen.
Das schützt davor, dass ein Zertifikat über eine nachlässige oder getäuschte CA auf Ihren Namen ausgestellt wird. Es ist ein zusätzliches Schloss, keine Pflicht.
Wie ein CAA-Eintrag aussieht
example.com. 3600 IN CAA 0 issue "letsencrypt.org"
example.com. 3600 IN CAA 0 issue "sectigo.com"
example.com. 3600 IN CAA 0 iodef "mailto:beveiliging@example.com"Ein CAA-Eintrag besteht aus drei Teilen:
| Teil | Beispiel | Bedeutung |
|---|---|---|
| Flag | 0 | Fast immer 0. Eine 128 bedeutet: "Wenn Sie diese Regel nicht verstehen, stellen Sie nichts aus." |
| Tag | issue | Um welche Art von Regel es sich handelt (siehe unten). |
| Wert | "letsencrypt.org" | Die CA, angegeben mit ihrer eigenen Domainnamen. In Anführungszeichen. |
Die drei Tags, die Ihnen begegnen:
issue: diese CA darf gewöhnliche Zertifikate ausstellen (fürexample.com,www.example.comund so weiter).issuewild: diese CA darf Wildcard-Zertifikate ausstellen (*.example.com). Steht keinissuewildda, gelten für Wildcards dieissue-Regeln.iodef: wohin eine CA eine Meldung schicken kann, wenn jemand ein Zertifikat beantragt, das laut Ihrem CAA nicht erlaubt ist.
Sie dürfen mehrere issue-Regeln haben: jede genannte CA darf dann ausstellen. Möchten Sie gerade, dass niemand eine bestimmte Art von Zertifikat ausstellt, verwenden Sie einen leeren Wert: 0 issuewild ";" bedeutet "niemand darf Wildcards ausstellen".
Kein CAA-Eintrag: jeder darf
Hat Ihre Domain keinen CAA-Eintrag, darf jede CA ein Zertifikat ausstellen. Das ist der normale Zustand für die meisten Domains, und das ist nicht falsch. CAA ist eine Option.
Eine CA sucht den CAA-Eintrag beim genauen Namen des Zertifikats. Findet sie dort nichts, schaut sie eine Ebene höher, bis hin zur Domain. Ein CAA-Eintrag bei example.com gilt also auch für shop.example.com, es sei denn, shop.example.com hat einen eigenen CAA-Eintrag.
Wie CAA Ihr Zertifikat blockieren kann
Das ist der Grund, warum CAA in einen Einsteigerkurs gehört: Ein CAA-Eintrag kann dazu führen, dass Ihr kostenloses Zertifikat nicht mehr erneuert wird, und die Fehlermeldung ist nicht immer eindeutig.
Angenommen, Ihre Website lief jahrelang mit einem Zertifikat einer kostenpflichtigen CA. Jemand hat damals einen CAA-Eintrag angelegt:
example.com. CAA 0 issue "sectigo.com"Nun wechseln Sie zu einem Hosting, das automatisch Let's Encrypt-Zertifikate beantragt. Let's Encrypt prüft CAA, sieht, dass nur Sectigo erlaubt ist, und lehnt ab. Ihre Website erhält kein Zertifikat, und Besucher sehen eine Warnung.
Die Lösung: Fügen Sie die CA hinzu, die Sie jetzt verwenden, oder entfernen Sie den alten CAA-Eintrag, wenn Sie ihn nicht mehr benötigen.
example.com. CAA 0 issue "sectigo.com"
example.com. CAA 0 issue "letsencrypt.org"Verwenden Sie einen Dienst, der Zertifikate selbst regelt, etwa eine Webshop-Plattform oder ein CDN, fragen Sie nach, welche CA dieser nutzt, und tragen Sie diese ebenfalls ein. Sonst blockieren Sie auch deren Zertifikat.
In der Praxis: so sieht es in einem Panel aus
Als Beispiel verwenden wir die DNS-Ansicht von Mein WebOké, die eine CAA-Hilfe mit den bekanntesten CAs bietet. In DirectAdmin, Cloudflare und den meisten anderen Panels füllen Sie dieselben drei Felder aus: Flag, Tag und Wert.
- Klicken Sie auf Eintrag hinzufügen und wählen Sie CAA.
- Lassen Sie den Namen bei der Domain selbst (
@). - Lassen Sie die Flag auf
0. - Wählen Sie den Tag
issue. - Tragen Sie die CA ein, zum Beispiel
letsencrypt.org. - Speichern Sie und wiederholen Sie dies für jede CA, die ausstellen darf.
Zusammenfassung
- Mit einem CAA-Eintrag legen Sie fest, welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen.
issueist für gewöhnliche Zertifikate,issuewildfür Wildcards,iodeffür Meldungen.- Kein CAA-Eintrag bedeutet: jede CA darf. Das ist normal.
- Ein CAA-Eintrag bei der Domain gilt auch für Subdomains ohne eigenen CAA-Eintrag.
- Ein vergessener CAA-Eintrag kann ein neues oder erneuertes Zertifikat blockieren. Tragen Sie die CA ein, die Sie derzeit verwenden.
Quiz
Aufgabe
Aufgabe Z5.2: CAA nachschlagen. Schlagen Sie die CAA-Einträge von wikipedia.org nach. Welche Zertifizierungsstellen dürfen laut den issue-Regeln Zertifikate ausstellen? Tragen Sie alle ein.
Aufgabe O5.2: Selbst einrichten in Ihrer Übungszone. Legen Sie in Ihrer Übungszone beim Namen der Zone selbst (@) zwei CAA-Einträge an:
0 issue ";"0 iodef "mailto:abuse@dnspractice.eu"
Die erste Regel bedeutet: Niemand darf Zertifikate für diesen Namen ausstellen. In der Übungszone ist das genau richtig: Dort läuft keine echte Website, es sollte also auch kein Zertifikat ausgestellt werden, und so kann niemand die Übungszone missbrauchen, um ein Zertifikat zu bekommen. Bei Ihrer echten Domain tun Sie das niemals, wenn Sie https verwenden; dort tragen Sie die CAs ein, die Sie tatsächlich nutzen, etwa 0 issue "letsencrypt.org". Die iodef-Regel verweist in der Übungszone auf die Meldeadresse der Übungsumgebung; bei Ihrer echten Domain tragen Sie Ihre eigene Adresse ein.
Klicken Sie anschliessend auf Prüfen.
Aufgabe O5.2
Diese Aufgabe erledigen Sie in Ihrer eigenen Übungszone: einer echten DNS-Zone auf den Nameservern von WebOké, nur für Sie. Melden Sie sich mit Ihrer E-Mail-Adresse an. Sie erhalten einen Login-Link per E-Mail und kehren anschliessend zu dieser Lektion zurück. Wir verwenden Ihre Adresse ausschliesslich für den Kurs.
Weiterführende Informationen
Diese Artikel beschreiben die Schritte in den Panels von WebOké; in anderen Panels funktionieren sie vergleichbar.