CAA-Eintrag blockiert die Zertifikatserneuerung: wie Sie die Ursache finden und beheben
Die kurze Antwort
Bevor eine öffentliche CA ein Zertifikat ausstellt, muss sie Ihre CAA-Einträge lesen, und sie muss ablehnen, wenn diese sie nicht nennen (RFC 8659, CA/Browser Forum Baseline Requirements 3.2.2.8). Die Erneuerung scheitert, wenn der CAA-Eintrag eine andere CA nennt als die, die erneuert, wenn ein fehlerhafter Eintrag niemanden nennt oder wenn ein Wildcard nicht erlaubt ist.
Die Rechnung: welchen Eintrag die CA liest
Eine CA liest nicht Ihre ganze Zone. Sie beginnt beim exakten Namen auf dem Zertifikat und geht Label für Label nach oben, und der erste Name, der CAA-Einträge hat, entscheidet. Hier versucht ein CDN, www.shop.example.com mit Let's Encrypt zu erneuern:
| Von der CA abgefragter Name | Was es findet | Nächster Schritt |
|---|---|---|
www.shop.example.com | Keine CAA-Einträge | Ein Label nach oben |
shop.example.com | Keine CAA-Einträge | Ein Label nach oben |
example.com | 0 issue "digicert.com" | Diese Menge entscheidet |
| Let's Encrypt (letsencrypt.org) ist nicht in dieser Menge | Abgelehnt | |
Die Lösung ist eine Zeile auf example.com: 0 issue "letsencrypt.org" neben der DigiCert-Zeile. Jede CA, die Sie nutzen, braucht ihren eigenen issue-Eintrag; die Menge ist eine Liste erlaubter CAs, keine Rangfolge.
Was ausfällt und wer es bemerkt
- Die CA lehnt ab, bevor ein Zertifikat existiert. Ihr Erneuerungsjob protokolliert einen CAA-Fehler, und Ihre Website liefert weiter das alte Zertifikat aus, daher wirkt nichts falsch, bis dieses abläuft. Baseline Requirements 3.2.2.8
- Ein fehlerhafter Eintrag nennt niemanden. Ein häufiger Fehler ist, Flags und Tag in das Wertfeld einzufügen, wodurch etwa 0 issue "0 issue letsencrypt.org" veröffentlicht wird. Das passt auf keine CA. Ist es der einzige Eintrag, darf überhaupt keine CA ausstellen. RFC 8659 §4.2
- Für Wildcards gilt eine eigene Regel. Wenn issuewild-Einträge existieren, entscheiden sie für Wildcard-Zertifikate anstelle von issue, und 0 issuewild ";" verbietet jedes Wildcard. RFC 8659 §4.3
- Das Critical-Flag stoppt alles, was die CA nicht versteht. Ein Eintrag mit Flag 128 und einem Tag, das die CA nicht kennt, bedeutet, dass die CA ablehnen muss. RFC 8659 §4.1
- Kürzere Zertifikate lassen weniger Spielraum. Öffentliche Zertifikate sinken im März 2027 auf 100 Tage und im März 2029 auf 47 Tage, daher erreicht eine an CAA hängende Erneuerung den Ablauf früher.
Prüfen Sie Ihren CAA-Eintrag
Die kostenlose Domain-Prüfung liest die CAA-Einträge Ihrer Domain, prüft sie gegen das Format aus RFC 8659 und zeigt, wer das Zertifikat ausgestellt hat, das Sie heute ausliefern.
Kostenlos, ohne Konto. Wir lesen nur öffentliches DNS und das, was Ihre Server jedem zeigen, der sich verbindet.
Schritt für Schritt beheben
Herausfinden, welche CA jedes Zertifikat erneuert
Lesen Sie den Aussteller des Zertifikats, das Sie heute ausliefern (die kostenlose Prüfung zeigt ihn auf der Zertifikatskarte), und fragen Sie, wer die Erneuerungen betreibt: Ihr CDN, Ihr Hosting-Panel, Ihr Load Balancer oder Ihr ACME-Client. Eine Domain nutzt oft zwei oder drei CAs.
Den Eintrag finden, den die CA liest
Fragen Sie CAA für den exakten Namen ab, dann für jeden übergeordneten Namen bis zu Ihrer Domain, zum Beispiel dig CAA www.shop.example.com +short. Der erste Name, der mit CAA-Einträgen antwortet, ist der, der zählt.
Jede CA auflisten, die Sie nutzen
Ein issue-Eintrag pro CA, mit der eigenen Kennung der CA: letsencrypt.org, pki.goog für Google Trust Services, sectigo.com, digicert.com. Fügen Sie issuewild-Einträge hinzu, wenn Sie Wildcard-Zertifikate nutzen.
Das Format richtig setzen
Ein CAA-Eintrag besteht aus einem Flag, einem Tag und einem Wert in Anführungszeichen: 0 issue "letsencrypt.org". In einem DNS-Panel mit getrennten Feldern tragen Sie in das Wertfeld nur den Namen der CA ein.
Eine Meldeadresse hinzufügen
Fügen Sie 0 iodef "mailto:security@example.com" hinzu. Eine CA kann darüber eine Anfrage melden, die Ihre Richtlinie abgelehnt hat.
Die TTL abwarten und erneut erneuern
Die CA liest den Eintrag live, aber Resolver behalten die alte Antwort, bis ihre TTL abläuft. Starten Sie dann die Erneuerung erneut und prüfen Sie den Aussteller des neuen Zertifikats.
Häufige Fehler
Die CA eintragen, bei der Sie gekauft haben, nicht die Ihres CDN
CDNs und Hosting-Panels erneuern oft mit ihrer eigenen CA und wechseln möglicherweise zwischen zweien. Ihr CAA muss alle nennen.
Im Ergebnis von SkyQon: Bei einer überwachten Domain nennt der Alarm „CAA will refuse your CA's next renewal“ das Zertifikat, seine CA und die Zeile, die Sie hinzufügen müssen. Die einmalige kostenlose Prüfung zeigt den Aussteller auf der Zertifikatskarte, damit Sie selbst vergleichen können.
Die Flags in das Wertfeld einfügen
Das Panel fügt 0 issue bereits hinzu; tippen Sie es noch einmal ein, wird ein Wert veröffentlicht, der auf keine CA passt.
Im Ergebnis von SkyQon: die Meldung „CAA is published but authorises no certificate authority“, wenn nichts Gültiges übrig ist, oder „malformed CAA record published alongside valid ones“, wenn ein gültiger Eintrag Sie noch abdeckt.
Wildcard-Zertifikate vergessen
issue-Einträge decken kein Wildcard mehr ab, sobald ein issuewild-Eintrag existiert, und 0 issuewild ";" verbietet sie alle.
Im Ergebnis von SkyQon: Bei einer überwachten Domain wird ein Wildcard-Zertifikat gegen Ihre issuewild-Einträge geprüft, sobald welche vorhanden sind, so wie eine CA es prüft.
Eine Subdomain mit eigener CAA-Menge
Eine CAA-Menge auf einer Subdomain ersetzt die auf Ihrer Domain für jeden Namen darunter, daher kann eine CA, die Sie oben eingetragen haben, dort trotzdem abgelehnt werden.
Im Ergebnis von SkyQon: CAA wird so gelesen, wie eine CA es liest: vom Namen aufwärts bis zum ersten Namen mit Einträgen. Bei einem Namen, der E-Mails empfängt, nennt der Befund diesen Namen. Bei einem reinen Web-Namen nennt ihn die Warnung zur blockierten Erneuerung.
Was SkyQon tut und was nicht
Was es findet
Die CAA-Einträge, die für Ihre Domain gelten, gelesen wie eine CA sie liest (vom Namen aufwärts bis zum ersten Namen mit Einträgen) und gegen das Format aus RFC 8659 geprüft. Bei einer überwachten Domain außerdem, ob die CA hinter jedem Zertifikat, das Sie ausliefern, es erneuern darf.
Was Sie bekommen
Den exakten Eintrag, den Sie veröffentlichen müssen. Ab Pro kann SkyQon den CAA-Eintrag auf Ihren Wunsch auch über die API Ihres DNS-Anbieters anlegen oder reparieren, mit Rückgängig-Funktion.
Was es nicht ist
Wir ändern Ihr DNS nur, wenn Sie uns darum bitten (ab Pro). Ein Zertifikat von einer CA, die wir nicht kennen, wird nie bewertet und erhält daher keine Erneuerungswarnung. Die einmalige kostenlose Prüfung vergleicht CAA nicht mit Ihrem Zertifikat.
CAA-Einträge: häufige Fragen
Ist ein CAA-Eintrag vorgeschrieben?
Welche Kennungen nutzen die großen CAs?
Brauche ich CAA auf jeder Subdomain?
Was bewirkt issuewild?
Was bedeutet das Flag 128?
Verhindert CAA den Missbrauch eines bereits ausgestellten Zertifikats?
Gilt CAA für meine interne CA?
Was ist mit einem Namen, der ein CNAME ist?
Wie schnell wirkt eine Änderung?
Finden Sie eine CAA-Sperre vor Ihrer Erneuerung.
Die kostenlose Prüfung liest die CAA-Einträge, die für Ihre Domain gelten, und Ihr Zertifikat in einem Durchgang. Fügen Sie die Domain dem Free-Plan hinzu, und jeder Scan prüft, ob die CA Ihres Zertifikats es weiterhin erneuern darf.