Что хранится в CAA

Запись содержит flags, tag и value. Тег issue задает разрешенные центры для обычных имен; issuewild относится к wildcard-сертификатам и имеет отдельные правила обработки. Параметры и синтаксис определяет RFC 8659, а дополнительные tags могут вводить расширения.

CAA ограничивает решение о выдаче на стороне CA. Он не шифрует соединение, не выбирает сертификат в браузере и не заменяет проверку имени, срока действия или цепочки доверия. Также запись не включает HTTPS автоматически.

Tag issuewild применяется к wildcard-именам и имеет приоритет в соответствующем запросе; iodef может указать контакт для сообщения о нарушении политики, если CA поддерживает этот механизм. Проверьте записи корня и поддоменов.

Что проверить при настройке

Проверьте запись для точного FQDN и родительских доменов, которые участвуют в обработке запроса. Учтите DNS-кэш и TTL: после изменения старое значение может сохраняться в резолверах до обновления. Если в CAA нет разрешения нужного CA, выпуск может завершиться отказом.

Параметр iodef может указывать контактный адрес для сообщений о нарушении политики, но конкретный центр сертификации сам решает, поддерживает ли этот механизм. Для wildcard имя и issuewild требуют отдельной проверки.

CAA ограничивает выдачу только в тех центрах сертификации, которые выполняют проверку записи. Ошибка в DNS или неверный tag могут не дать ожидаемого результата. После изменения дождитесь обновления кэша и перепроверьте ответ авторитетного сервера.

Перед продлением сертификата

Сравните issuer существующего сертификата с актуальным CAA RRset и проверьте документацию CA. При смене поставщика сначала добавьте новый разрешенный CA, дождитесь обновления DNS и только затем удаляйте старую запись, если она больше не нужна.

Смотрите DNS, TTL, TLS и проверку TLS-сертификата. Использованы RFC 8659 и RFC 8657, проверенные 8 октября 2026 года; DNS-зоны и сертификаты не менялись.