Enregistrement CAA
En une phrase
Un enregistrement CAA est une entrée DNS listant les autorités de certification autorisées à émettre des certificats SSL pour votre domaine. Si un CAA existe et omet une autorité, celle-ci doit refuser l’émission.
Une courte liste des autorités qui peuvent se porter garantes
Un certificat SSL donne à votre site son cadenas. Les certificats sont émis par des autorités de certification. Un enregistrement CAA, pour Certification Authority Authorization, permet de nommer les autorités auxquelles vous faites confiance pour votre domaine.
Avant d’émettre un certificat, une autorité cherche les CAA dans votre DNS. S’il n’y en a aucun, toute autorité peut en émettre un. S’il y en a, seules celles qui sont nommées le peuvent.
Pourquoi on le remarque rarement
De nombreux domaines n’ont aucun CAA et tout fonctionne. Vous pouvez en ajouter un volontairement par sécurité, pour qu’une demande inattendue auprès d’une autorité inutilisée ne produise pas de certificat pour votre nom.
Les difficultés commencent lorsqu’un CAA ajouté il y a des années ou par un ancien hébergeur ne nomme qu’une autorité. Vous connectez alors votre domaine à un service qui en utilise une autre, et sa demande de certificat est refusée. Le site charge sans cadenas, voire pas du tout en https.
Résoudre un blocage CAA
Cherchez les CAA sur votre domaine, sur le nom exact comme à la racine, car les autorités remontent l’arborescence. S’il en existe un, ajoutez à côté un nouveau CAA nommant l’autorité du nouvel hébergeur. Vous n’avez pas à supprimer l’ancien, sauf si vous ne l’utilisez plus.
Chaque CAA comporte une balise. La plus courante est issue, suivie de l’identifiant de l’autorité. Les pages d’aide de votre hébergeur indiquent l’identifiant à utiliser.
Les changements CAA suivent les mêmes règles de cache que les autres enregistrements : laissez un peu de temps à la correction avant de réessayer. Lorsque l’autorité voit le nouvel enregistrement, le certificat arrive généralement sans autre action.
Vérifier les vôtres
Le vérificateur DNS signale les CAA qui bloqueraient les certificats d’une connexion Mini Casa. Les domaines personnalisés sont en préversion, et l’écran de connexion contrôle l’étape du certificat quand la connexion est disponible pour votre compte. Le guide du domaine personnalisé l’explique, et la page des domaines personnalisés indique ce qui est prêt.
Questions fréquentes
Ai-je besoin d’un enregistrement CAA ?
Non. Sans CAA, toute autorité de certification peut émettre des certificats pour votre domaine : c’est le fonctionnement de la plupart des domaines. Ajoutez-en un seulement pour limiter l’émission aux autorités utilisées.
Pourquoi mon certificat reste-t-il bloqué après connexion du domaine ?
Un CAA qui omet l’autorité de certification de votre hébergeur est une cause courante. Ajoutez un CAA qui la nomme, attendez que le changement soit visible, puis réessayez l’étape du certificat.