CAA 记录

谁可以为你作证的简短名单

SSL 证书让网站显示安全锁。证书由证书颁发机构签发。CAA 是 Certification Authority Authorization（证书颁发机构授权）的缩写，CAA 记录让你指定信任哪些机构为域名签发证书。

签发前，机构会检查 DNS 中的 CAA 记录。没有记录时，任何机构都能签发。有记录时，只有其中列出的机构才可以。

为什么大多数人从未注意到它

许多域名根本没有 CAA 记录，也一切正常。你可能主动把它作为一道安全措施加上，避免有人向你从未使用的机构随意申请，就获得你域名的证书。

麻烦往往出在多年前添加，或旧托管服务商添加的 CAA 记录，只列着一家机构。之后你把域名连到使用另一家机构的新服务，新证书申请便被拒绝。网站可能不显示安全锁，或通过 https 根本无法加载。

如何解除 CAA 阻止

检查域名的 CAA 记录，既要看准确的名称，也要看顶点域名，因为证书机构会沿名称层级向上检查。如果已有记录，在原记录旁再加一条 CAA，写明新托管商使用的机构。除非已不再使用旧机构，否则不必删除旧记录。

每条 CAA 记录都有一个标签。常见的是 issue，后面跟机构标识。托管商的帮助页面会列出该用的标识。

CAA 修改遵循和其他记录相同的缓存规则，所以修好后稍等再重试。机构看到新记录后，证书通常就会签发，无需你再做什么。

检查你的记录

DNS 检查工具会报告阻止 Mini Casa 连接证书签发的 CAA 记录。自定义域名目前处于预览阶段；当你的账户可以连接域名时，连接界面会检查证书步骤。自定义域名指南会说明这一点，自定义域名页面则会列出已可使用的功能。