Запись CAA

Короткий список тех, кто может за вас поручиться

SSL-сертификат даёт сайту значок замка. Сертификаты выдают удостоверяющие центры. Запись CAA, сокращение Certification Authority Authorization, позволяет указать центры, которым вы доверяете выдавать сертификаты для домена.

Перед выдачей центр проверяет записи CAA в DNS. Если их нет, выдать сертификат может любой центр. Если есть, только перечисленные.

Почему большинство её не замечает

У многих доменов вообще нет CAA, и всё работает. Можно намеренно добавить её ради безопасности, чтобы случайный запрос в неиспользуемый центр не привёл к выдаче сертификата на ваше имя.

Проблемы начинаются, когда CAA добавили много лет назад или на прежнем хостинге и указали только один центр. Затем вы подключаете домен к новому сервису с другим центром, и запрос сертификата отклоняется. Сайт загружается без замка или вообще не открывается по https.

Как исправить блокировку CAA

Ищите записи CAA и на точном имени, и в корне: центры проверяют вверх по дереву. Если запись есть, добавьте рядом новую CAA с центром нового хостинга. Старую удалять не нужно, если вы ещё ею пользуетесь.

У каждой CAA есть тег. Обычный — issue, за ним идентификатор центра. Нужный идентификатор указан в справке хостинга.

Изменения CAA подчиняются тем же правилам кеширования, что и остальные записи, поэтому дайте исправлению немного времени перед повтором. Когда центр увидит новую запись, сертификат обычно приходит без дальнейших действий.

Проверка своих записей

Проверка DNS показывает CAA, которые блокируют сертификаты подключения Mini Casa. Собственные домены в предварительном доступе; экран подключения проверяет сертификат, когда подключение доступно вашему аккаунту. Об этом рассказывает руководство по собственному домену, а страница собственных доменов показывает, что готово.