Registro CAA
En una línea
Un registro CAA es una entrada DNS que enumera qué autoridades certificadoras pueden emitir certificados SSL para tu dominio. Si existe un registro CAA y no incluye a una autoridad, esta debe negarse a emitirlo.
Una lista breve de quién puede avalarte
Un certificado SSL es lo que le da a tu sitio el candado. Los certificados los emiten las autoridades certificadoras. Un registro CAA, siglas de Certification Authority Authorization, te permite nombrar a las autoridades en las que confías para hacerlo para tu dominio.
Antes de emitir un certificado, una autoridad busca registros CAA en tu DNS. Si no hay ninguno, cualquier autoridad puede emitirlo. Si los hay, solo pueden hacerlo las autoridades nombradas en ellos.
Por qué la mayoría nunca lo nota
Muchos dominios no tienen ningún registro CAA y todo funciona. Puedes añadir uno como medida de seguridad, para impedir que una solicitud inesperada a una autoridad que nunca usas produzca un certificado para tu nombre.
El problema empieza cuando un registro CAA se añadió hace años, o lo puso un proveedor anterior, y solo nombra a una autoridad. Luego conectas tu dominio a un servicio que usa otra y se rechaza su solicitud de certificado. El sitio carga sin candado o no carga por https.
Cómo resolver un bloqueo CAA
Busca registros CAA en tu dominio, tanto en el nombre exacto como en la raíz, porque las autoridades revisan los niveles superiores. Si existe uno, añade junto a él otro CAA que nombre a la autoridad que usa tu nuevo proveedor. No necesitas borrar el anterior salvo que ya no lo uses.
Cada registro CAA tiene una etiqueta. La habitual es issue, seguida del identificador de la autoridad. Las páginas de ayuda de tu proveedor indican qué identificador usar.
Los cambios en registros CAA siguen las mismas reglas de caché que los demás, así que espera un poco después de corregirlos antes de volver a intentar. Cuando la autoridad pueda ver el nuevo registro, el certificado suele llegar sin que hagas nada más.
Cómo revisar el tuyo
El comprobador de DNS informa de cualquier registro CAA que bloquearía certificados para una conexión de Mini Casa. Los dominios personalizados están en vista previa y la pantalla de conexión comprueba el paso del certificado cuando la conexión esté disponible para tu cuenta. La guía de dominios personalizados lo explica, y la página de dominios personalizados indica qué está listo.
Preguntas frecuentes
¿Necesito un registro CAA?
No. Sin él, cualquier autoridad certificadora puede emitir certificados para tu dominio, que es como funciona la mayoría. Añádelo solo si quieres limitar la emisión a las autoridades que usas.
¿Por qué mi certificado queda pendiente tras conectar un dominio?
Una causa común es un registro CAA que no incluye a la autoridad certificadora de tu proveedor. Añade un CAA que la nombre, espera a que se vea el cambio y vuelve a intentar el paso del certificado.