CAA-Check

Geben Sie eine Domain oder Subdomain ein: Sie sehen die CAA-Einträge, die für sie gelten, wo sie veröffentlicht sind, welche Zertifizierungsstellen gewöhnliche und Wildcard-Zertifikate ausstellen dürfen und welche Fehler eine Stelle zur Ablehnung zwingen.

Die DNS-Abfragen gehen direkt von Ihrem Browser an öffentliche Resolver (Cloudflare, Google): Wir sehen nichts.

Was der Check betrachtet

Die geltenden Einträge: Eine Zertifizierungsstelle sucht CAA-Einträge am genauen Namen, dann an jedem übergeordneten Namen bis zur Domain. Der erste Name mit Einträgen entscheidet; die anderen werden ignoriert. Der Check geht denselben Weg (RFC 8659).
issue und issuewild: „issue“ nennt die Stellen, die ausstellen dürfen. „issuewild“ ersetzt es für Wildcard-Zertifikate; ohne es folgen Wildcards „issue“. Der Wert „;“ lässt niemanden zu.
iodef: Wohin eine Stelle eine abgelehnte Anfrage melden kann: eine mailto:- oder https:-Adresse. Freiwillig, aber so erfahren Sie von einem Versuch.
Syntax und Flags: Ein unlesbarer Eintrag oder ein unbekanntes, als kritisch markiertes Tag (Flags 128) lässt die Stellen die Ausstellung für den Namen ablehnen.

So lesen Sie das Ergebnis

Nirgends ein CAA-Eintrag: Jede Zertifizierungsstelle darf für die Domain ausstellen. Nichts ist defekt; Sie nutzen nur eine kostenlose Einschränkung nicht.
Eine Liste von Stellen: Nur diese dürfen ausstellen. Bevor Sie den Zertifikatsanbieter wechseln oder ein CDN oder eine Hosting-Plattform aktivieren, tragen Sie deren Stelle zuerst hier ein, sonst scheitert die Verlängerung ihrer Zertifikate.
Vom übergeordneten Namen geerbte Einträge: Eine Subdomain ohne eigene CAA-Einträge folgt denen der Domain. Eine anderswo gehostete Subdomain braucht womöglich eigene.

Fehler, auf die man stößt

Die Meldungen von Zertifizierungsstellen und Plattformen, wenn CAA ein Zertifikat verhindert, und was zu tun ist.

CAA record for example.com prevents issuance

Ursache. Die für den Namen geltenden CAA-Einträge nennen die angefragte Stelle nicht, oft nach dem Wechsel zu einer Plattform mit anderer Stelle (Let’s Encrypt, Google Trust Services, Sectigo …).

Behebung. Ergänzen Sie einen „issue“-Eintrag mit dem Namen, den diese Stelle dokumentiert (zum Beispiel letsencrypt.org oder pki.goog), an der Domain oder der betroffenen Subdomain, und fordern Sie das Zertifikat erneut an.

SERVFAIL looking up CAA

Ursache. Die Stelle erhielt keine Antwort auf ihre CAA-Frage: ein DNS-Server, der den Typ CAA nicht beantwortet, oder gebrochenes DNSSEC. Sie lehnt dann in den meisten Fällen ab, und immer, wenn die Zone mit DNSSEC signiert ist, auch wenn kein CAA-Eintrag existiert.

Behebung. Prüfen Sie, dass jeder Nameserver der Zone CAA-Abfragen beantwortet (eine leere Antwort genügt, ein Fehler nicht) und dass DNSSEC validiert.

Wildcard certificate refused

Ursache. Ein „issuewild“-Eintrag existiert und nennt die Stelle nicht oder lautet „;“: Er ersetzt „issue“ für Wildcard-Namen.

Behebung. Nehmen Sie die Stelle in „issuewild“ auf oder entfernen Sie die „issuewild“-Einträge, damit Wildcards wieder „issue“ folgen.

Fragen

Ist ein CAA-Eintrag Pflicht?

Nein. Zertifizierungsstellen müssen ihn seit 2017 prüfen, aber eine Domain ohne CAA ist gültig: Jede Stelle darf ausstellen. Ein Eintrag begrenzt den Schaden eines Fehlers oder eines kompromittierten Kontos bei einer Stelle, die Sie nicht nutzen.

Betrifft CAA bereits ausgestellte Zertifikate?

Nein. Er wird bei Ausstellung oder Verlängerung gelesen, nicht von Browsern. Ein bestehendes Zertifikat bleibt bis zum Ablauf gültig.

Welchen Namen trage ich für meine Stelle ein?

Den, den die Stelle dokumentiert, nicht ihre Marke: letsencrypt.org, pki.goog, digicert.com, sectigo.com, amazon.com … Der Check nennt die Stellen, die er erkennt.

Senden Sie etwas an Ihre Server?

Nein. Die Abfragen gehen von Ihrem Browser an öffentliche Resolver (Cloudflare, Google); wir sehen weder die Domain noch das Ergebnis.