Registro CAA
Em uma linha
Um registro CAA é uma entrada de DNS que lista quais autoridades certificadoras podem emitir certificados SSL para seu domínio. Se houver um registro CAA que não inclua uma autoridade, ela deverá recusar a emissão.
Uma lista curta de quem pode atestar seu site
Um certificado SSL é o que dá ao seu site o cadeado. Os certificados são emitidos por autoridades certificadoras. Um registro CAA, sigla de Certification Authority Authorization, permite indicar as autoridades em que você confia para fazer isso pelo seu domínio.
Antes de emitir um certificado, uma autoridade procura registros CAA no seu DNS. Se não houver nenhum, qualquer autoridade pode emitir um. Se houver, apenas as autoridades indicadas neles podem fazê-lo.
Por que a maioria das pessoas nunca percebe esse registro
Muitos domínios não têm registro CAA algum, e tudo funciona. Você pode adicionar um de propósito, como medida de segurança, para que uma solicitação indevida a uma autoridade que você nunca usa não resulte em um certificado para seu nome.
O problema começa quando um registro CAA foi adicionado anos atrás, ou por uma hospedagem anterior, e indica apenas uma autoridade. Depois, você conecta seu domínio a um novo serviço que usa outra autoridade, e o pedido de certificado é recusado. O site carrega sem cadeado ou nem chega a carregar por https.
Como resolver um bloqueio de CAA
Procure registros CAA no seu domínio, tanto no nome exato quanto no ápice, porque as autoridades verificam os níveis superiores da árvore. Se houver um, adicione ao lado dele um novo registro CAA indicando a autoridade usada pela sua nova hospedagem. Você não precisa remover o antigo, a menos que não o use mais.
Cada registro CAA tem uma tag. A mais comum é issue, seguida pelo identificador da autoridade. As páginas de ajuda da sua hospedagem informam qual identificador usar.
Alterações em registros CAA seguem as mesmas regras de cache dos outros registros, então dê um tempo para a correção antes de tentar novamente. Assim que a autoridade conseguir ver o novo registro, o certificado costuma chegar sem nenhuma outra ação sua.
Como conferir os seus
O verificador de DNS informa qualquer registro CAA que bloquearia certificados para uma conexão com a Mini Casa. Os domínios próprios estão em prévia, e a tela de conexão verifica a etapa do certificado quando a conexão de domínio estiver disponível para sua conta. O guia de domínio próprio explica isso, e a página de domínios próprios informa o que está pronto.
Perguntas frequentes
Preciso de um registro CAA?
Não. Sem esse registro, qualquer autoridade certificadora pode emitir certificados para seu domínio, como acontece com a maioria dos domínios. Adicione um apenas se quiser limitar a emissão às autoridades que você usa.
Por que a emissão do meu certificado não avança depois de conectar um domínio?
Uma causa comum é um registro CAA que não inclui a autoridade certificadora da sua hospedagem. Adicione um registro CAA com o nome dessa autoridade, espere a mudança aparecer e tente novamente a etapa do certificado.