FmindAlle beveiligingshandleidingen
Beveiligingshandleiding
Toegestane certificaatverstrekkers (CAA)
Een CAA-record vermeldt welke organisaties HTTPS-certificaten voor uw domein mogen uitgeven, waardoor het moeilijker wordt een frauduleus certificaat te verkrijgen. Het is optioneel, en een verkeerd record kan verhinderen dat uw eigen certificaat wordt vernieuwd.
Wie kan helpen
Degene die uw DNS beheert, samen met uw webhost
Eerst bekijken, dan wijzigen
Gebruik deze stappen voor een website of e-maildomein dat u beheert. Vul de tijdelijke aanduidingen in hoofdletters in met uw eigen waarden. Als een stap verwijst naar opgeslagen bewijs, voer dan de gratis controle uit en bevestig uw domein om het privérapport te openen. Gebruik de exacte hostnaam of DNS-querynaam die daar staat.
- Lees de DNS-naam die bij het rapport is opgeslagen en vraag degene die uw certificaten beheert de aliassen, overgenomen regels en elke uitgever die nodig is voor vernieuwingen te controleren. Voeg geen beperkend CAA-record toe uitsluitend op basis van de uitgever die hier te zien is.
dig +time=3 +tries=1 CAA SAVED_DNS_QUERY_NAMEWat te doen
Zonder CAA-record mag elke certificaatautoriteit certificaten uitgeven en blijven uw vernieuwingen werken. Voegt u er een toe, vraag dan eerst uw webhost (en eventueel uw CDN) welke certificaatautoriteiten zij gebruiken, en sta ze allemaal toe, ook voor wildcardcertificaten. Verwijder nooit een uitgever waarop uw providers vertrouwen, anders mislukken vernieuwingen.
Hoe u de wijziging controleert
Vraag uw webhost de geldende CAA-regels te bevestigen, inclusief regels die zijn overgenomen van uw hoofddomein of aliassen, en te bevestigen dat uw websitecertificaat nog kan worden vernieuwd.
Wat deze controle kan vaststellen
We registreren alleen het CAA-antwoord voor precies deze naam. Een leeg antwoord kan nog steeds regels van uw hoofddomein overnemen. Een record dat alleen een contactadres vermeldt (iodef), beperkt niets.