FmindGuia de segurança
Fornecedores de certificados autorizados (CAA)
Um registo CAA indica que organizações podem emitir certificados HTTPS para o seu domínio, o que torna mais difícil obter um certificado fraudulento. É opcional, e um registo errado pode impedir a renovação do seu próprio certificado.
Quem pode ajudar
Quem gere o seu DNS, em conjunto com o seu fornecedor de alojamento
Inspecionar antes de alterar
Siga estes passos para um site ou domínio de e-mail que gere. Preencha os marcadores em maiúsculas com os seus próprios valores. Se um passo se referir a evidências guardadas, faça a verificação gratuita e verifique o seu domínio para abrir o relatório privado. Utilize o nome de anfitrião exato ou o nome de consulta DNS aí indicado.
- Leia o nome DNS guardado com o relatório e peça depois a quem gere os seus certificados que reveja os aliases, as regras herdadas e todos os emissores necessários às renovações. Não acrescente um registo CAA restritivo com base apenas no emissor aqui observado.
dig +time=3 +tries=1 CAA SAVED_DNS_QUERY_NAMEO que fazer
Sem um registo CAA, qualquer autoridade de certificação pode emitir certificados e as suas renovações continuam a funcionar. Se acrescentar um, pergunte primeiro ao seu fornecedor de alojamento (e à CDN, se existir) que autoridades de certificação utilizam e autorize-as todas, incluindo para certificados wildcard. Nunca remova um emissor de que os seus fornecedores dependem, ou as renovações falharão.
Como verificar a alteração
Peça ao seu fornecedor de alojamento que confirme as regras CAA em vigor, incluindo as herdadas do seu domínio principal ou de aliases, e que o certificado do seu site continua a poder ser renovado.
O que esta verificação permite estabelecer
Registamos apenas a resposta CAA para este nome exato. Uma resposta vazia pode ainda assim herdar regras do seu domínio principal. Um registo que apenas indica um endereço de contacto (iodef) não restringe nada.