FmindGuide de sécurité
Autorités de certification autorisées (CAA)
Un enregistrement CAA indique quels organismes peuvent émettre des certificats HTTPS pour votre domaine, ce qui complique l’obtention d’un certificat frauduleux. Il est facultatif, et une erreur peut empêcher le renouvellement de votre propre certificat.
Qui peut vous aider
La personne qui gère votre DNS, avec votre hébergeur
Vérifier avant de modifier
Suivez ces étapes pour un site ou un domaine de messagerie que vous gérez. Remplacez les indications en majuscules par vos propres valeurs. Si une étape fait référence à des observations enregistrées, lancez la vérification gratuite et confirmez votre domaine pour ouvrir le rapport privé. Reprenez le nom d’hôte ou le nom de requête DNS exact qui y figure.
- Lisez le nom DNS enregistré avec le rapport, puis demandez à la personne qui gère vos certificats d’examiner les alias, les règles héritées et tous les émetteurs nécessaires aux renouvellements. N’ajoutez pas de CAA restrictif d’après le seul émetteur observé ici.
dig +time=3 +tries=1 CAA SAVED_DNS_QUERY_NAMEQue faire
Sans enregistrement CAA, toute autorité de certification peut émettre des certificats et vos renouvellements continuent de fonctionner. Si vous en ajoutez un, demandez d’abord à votre hébergeur (et à votre CDN, le cas échéant) quelles autorités ils utilisent, et autorisez-les toutes, y compris pour les certificats génériques (wildcard). Ne retirez jamais un émetteur dont vos fournisseurs dépendent, sinon les renouvellements échoueront.
Comment vérifier la modification
Demandez à votre hébergeur de confirmer les règles CAA effectives, y compris celles héritées du domaine principal ou d’alias, et que le certificat de votre site peut toujours être renouvelé.
Ce que ce contrôle permet d’établir
Nous enregistrons seulement la réponse CAA de ce nom exact. Une réponse vide peut hériter des règles du domaine principal. Un enregistrement qui indique seulement un contact (iodef) ne restreint rien.