CAA-Eintrag
In einem Satz
Ein CAA-Eintrag ist ein DNS-Eintrag, der festlegt, welche Zertifizierungsstellen SSL-Zertifikate für deine Domain ausstellen dürfen. Wenn ein CAA-Eintrag vorhanden ist und eine Stelle nicht nennt, muss diese die Ausstellung verweigern.
Eine kurze Liste der Stellen, die für dich bürgen dürfen
Ein SSL-Zertifikat verleiht deiner Website ihr Schlosssymbol. Zertifikate werden von Zertifizierungsstellen ausgestellt. Mit einem CAA-Eintrag, kurz für Certification Authority Authorization, benennst du die Stellen, denen du diese Aufgabe für deine Domain anvertraust.
Vor der Ausstellung prüft eine Stelle deine DNS-Einträge auf CAA. Gibt es keine, darf jede Stelle ein Zertifikat ausstellen. Gibt es welche, dürfen es nur die dort genannten Stellen.
Warum die meisten ihn nie bemerken
Viele Domains haben überhaupt keinen CAA-Eintrag, und alles funktioniert. Du kannst bewusst einen als Sicherheitsmaßnahme hinzufügen, damit eine verirrte Anfrage bei einer nie genutzten Stelle kein Zertifikat für deinen Namen erzeugen kann.
Probleme beginnen, wenn vor Jahren oder von einem früheren Hoster ein CAA-Eintrag angelegt wurde, der nur eine Stelle nennt. Dann verbindest du deine Domain mit einem neuen Dienst, der eine andere Stelle nutzt, und dessen Zertifikatsanfrage wird abgelehnt. Die Website lädt ohne Schloss oder über https überhaupt nicht.
Eine CAA-Blockade beheben
Suche CAA-Einträge deiner Domain sowohl unter dem genauen Namen als auch am Apex, denn Zertifizierungsstellen prüfen die übergeordneten Ebenen. Gibt es einen, ergänze daneben einen neuen CAA-Eintrag mit der Stelle deines neuen Hosters. Du musst den alten nur entfernen, wenn du ihn nicht mehr nutzt.
Jeder CAA-Eintrag hat ein Tag. Üblich ist issue, gefolgt von der Kennung der Stelle. Die Hilfeseiten deines Hosters nennen die zu verwendende Kennung.
Für CAA-Änderungen gelten dieselben Zwischenspeicherregeln wie für andere Einträge. Gib einer Korrektur daher etwas Zeit, bevor du es erneut versuchst. Sobald die Stelle den neuen Eintrag sieht, kommt das Zertifikat normalerweise ohne weiteres Zutun.
Deine Einträge prüfen
Der DNS-Prüfer meldet CAA-Einträge, die Zertifikate für eine Mini Casa-Verbindung blockieren würden. Eigene Domains sind in der Vorschauphase, und der Verbindungsbildschirm prüft den Zertifikatsschritt, wenn die Domainverbindung für dein Konto verfügbar ist. Die Anleitung für eigene Domains erklärt dies, und die Seite für eigene Domains zeigt, was bereitsteht.
Häufige Fragen
Brauche ich einen CAA-Eintrag?
Nein. Ohne einen solchen Eintrag darf jede Zertifizierungsstelle Zertifikate für deine Domain ausstellen. So funktionieren die meisten Domains. Füge nur einen hinzu, wenn du die Ausstellung auf die von dir genutzten Stellen begrenzen möchtest.
Warum hängt mein Zertifikat nach dem Verbinden einer Domain fest?
Häufig fehlt die Zertifizierungsstelle deines Hosters in einem CAA-Eintrag. Ergänze einen CAA-Eintrag, der sie nennt, warte, bis die Änderung sichtbar ist, und wiederhole dann den Zertifikatsschritt.