CAA-record blokkeert certificaatvernieuwing: zo vindt u de oorzaak en lost u het op
Het korte antwoord
Voordat een publieke CA een certificaat uitgeeft, moet zij uw CAA-records lezen, en zij moet weigeren als die haar niet noemen (RFC 8659, CA/Browser Forum Baseline Requirements 3.2.2.8). Vernieuwing mislukt wanneer het CAA-record een andere CA vermeldt dan de CA die vernieuwt, wanneer een misvormd record niemand noemt, of wanneer een wildcard niet is toegestaan.
De berekening: welk record de CA leest
Een CA leest niet uw hele zone. Zij begint bij de exacte naam op het certificaat en gaat telkens één label omhoog, en de eerste naam die CAA-records heeft, beslist. Hier probeert een CDN www.shop.example.com te vernieuwen bij Let's Encrypt:
| Naam die de CA opvraagt | Wat het vindt | Volgende stap |
|---|---|---|
www.shop.example.com | Geen CAA-records | Eén label omhoog |
shop.example.com | Geen CAA-records | Eén label omhoog |
example.com | 0 issue "digicert.com" | Deze set beslist |
| Let's Encrypt (letsencrypt.org) staat niet in die set | Geweigerd | |
De oplossing is één regel op example.com: 0 issue "letsencrypt.org" naast de regel voor DigiCert. Elke CA die u gebruikt, heeft een eigen issue-record nodig; de set is een lijst van toegestane CA's, geen rangorde.
Wat er misgaat, en wie het merkt
- De CA weigert voordat er een certificaat bestaat. Uw vernieuwingstaak logt een CAA-fout en uw site blijft het oude certificaat serveren, dus niets lijkt mis tot dat certificaat verloopt. Baseline Requirements 3.2.2.8
- Een misvormd record noemt niemand. Een veelgemaakte vergissing is de flags en de tag in het waardeveld plakken, waardoor iets wordt gepubliceerd als 0 issue "0 issue letsencrypt.org". Dat komt met geen enkele CA overeen. Is het het enige record, dan mag geen enkele CA uitgeven. RFC 8659 §4.2
- Wildcards volgen hun eigen regel. Als er issuewild-records bestaan, beslissen die voor wildcardcertificaten in plaats van issue, en 0 issuewild ";" verbiedt elke wildcard. RFC 8659 §4.3
- De critical-flag houdt alles tegen wat de CA niet begrijpt. Een record met flag 128 en een tag die de CA niet kent, betekent dat de CA moet weigeren. RFC 8659 §4.1
- Kortere certificaten laten minder ruimte. Publieke certificaten gaan naar 100 dagen in maart 2027 en naar 47 dagen in maart 2029, dus een vernieuwing die op CAA vastloopt, bereikt sneller de vervaldatum.
Controleer uw CAA-record
De gratis domeincontrole leest de CAA-records op uw domein, toetst ze aan het formaat van RFC 8659 en laat zien wie het certificaat heeft uitgegeven dat u vandaag serveert.
Gratis, zonder account. Wij lezen alleen publieke DNS en wat uw servers laten zien aan iedereen die verbinding maakt.
Zo lost u het op, stap voor stap
Zoek uit welke CA elk certificaat vernieuwt
Lees de uitgever van het certificaat dat u vandaag serveert (de gratis controle toont die op de certificaatkaart) en vraag het aan wie de vernieuwingen beheert: uw CDN, hostingpaneel, load balancer of ACME-client. Eén domein gebruikt vaak twee of drie CA's.
Vind het record dat de CA leest
Vraag CAA op voor de exacte naam en daarna voor elke bovenliggende naam tot aan uw domein, bijvoorbeeld dig CAA www.shop.example.com +short. De eerste naam die met CAA-records antwoordt, is de naam die telt.
Vermeld elke CA die u gebruikt
Eén issue-record per CA, met de eigen identificatie van de CA: letsencrypt.org, pki.goog voor Google Trust Services, sectigo.com, digicert.com. Voeg issuewild-records toe als u wildcardcertificaten gebruikt.
Zorg voor het juiste formaat
Een CAA-record bestaat uit een flag, een tag en een waarde tussen aanhalingstekens: 0 issue "letsencrypt.org". Zet in een DNS-paneel met aparte velden alleen de naam van de CA in het waardeveld.
Voeg een meldadres toe
Voeg 0 iodef "mailto:security@example.com" toe. Een CA kan het gebruiken om u te melden dat een aanvraag door uw beleid is geweigerd.
Wacht de TTL af en vernieuw opnieuw
De CA leest het record live, maar resolvers bewaren het oude antwoord tot de TTL ervan is verstreken. Voer daarna de vernieuwing opnieuw uit en controleer de uitgever van het nieuwe certificaat.
Veelgemaakte fouten
De CA vermelden waar u hebt gekocht, niet de CA die uw CDN gebruikt
CDN's en hostingpanelen vernieuwen vaak met hun eigen CA, en kunnen tussen twee CA's wisselen. Uw CAA moet ze allemaal noemen.
In het resultaat van SkyQon: op een bewaakt domein noemt de waarschuwing “CAA will refuse your CA's next renewal” het certificaat, de CA ervan en de regel die u moet toevoegen. De eenmalige gratis controle toont de uitgever op de certificaatkaart, zodat u zelf kunt vergelijken.
De flags in het waardeveld plakken
Het paneel voegt 0 issue al toe; typt u het opnieuw, dan publiceert u een waarde die met geen enkele CA overeenkomt.
In het resultaat van SkyQon: de melding “CAA is published but authorises no certificate authority” wanneer er niets geldigs overblijft, of “malformed CAA record published alongside valid ones” wanneer een geldig record u nog dekt.
Wildcardcertificaten vergeten
issue-records dekken geen wildcard meer zodra er een issuewild-record bestaat, en 0 issuewild ";" verbiedt ze allemaal.
In het resultaat van SkyQon: op een bewaakt domein wordt een wildcardcertificaat getoetst aan uw issuewild-records zodra die bestaan, zoals een CA dat doet.
Een subdomein met een eigen CAA-set
Een CAA-set op een subdomein vervangt die op uw domein voor elke naam daaronder, dus een CA die u bovenaan hebt toegevoegd, kan daar toch worden geweigerd.
In het resultaat van SkyQon: CAA wordt gelezen zoals een CA het leest, van de naam omhoog tot de eerste naam met records. Voor een naam die mail ontvangt, vermeldt de bevinding welke naam dat was. Voor een naam die alleen voor het web dient, noemt de waarschuwing over de geblokkeerde verlenging hem.
Wat SkyQon wel en niet doet
Wat het vindt
De CAA-records die voor uw domein gelden, gelezen zoals een CA ze leest (van de naam omhoog tot de eerste naam met records) en getoetst aan het formaat van RFC 8659. Op een bewaakt domein ook of de CA achter elk certificaat dat u aanbiedt het mag vernieuwen.
Wat u krijgt
Het exacte record om te publiceren. Vanaf Pro kan SkyQon het CAA-record op uw verzoek ook via de API van uw DNS-provider aanmaken of herstellen, met een mogelijkheid om het ongedaan te maken.
Wat het niet is
Wij wijzigen uw DNS alleen als u daarom vraagt (vanaf Pro). Een certificaat van een CA die wij niet herkennen wordt nooit beoordeeld en krijgt dus geen waarschuwing over vernieuwing. De eenmalige gratis controle vergelijkt CAA niet met uw certificaat.
CAA-records: veelgestelde vragen
Is een CAA-record verplicht?
Welke identificaties gebruiken de grote CA's?
Heb ik CAA nodig op elk subdomein?
Wat doet issuewild?
Wat betekent de flag 128?
Houdt CAA misbruik tegen van een certificaat dat al is uitgegeven?
Geldt CAA voor mijn interne CA?
En een naam die een CNAME is?
Hoe snel werkt een wijziging?
Vind een CAA-blokkade voordat uw vernieuwing die vindt.
De gratis controle leest de CAA-records die voor uw domein gelden en uw certificaat in één keer. Voeg het domein toe aan het gratis abonnement en elke scan controleert of de CA van uw certificaat het nog mag vernieuwen.