Настройка CAA-записи

Запись CAA позволяет указать центры сертификации, которым разрешено выпускать SSL-сертификаты для этого домена или поддомена.

Если ни одной CAA-записи не создано, сертификаты может выпускать любой ЦС.

Правила CAA, установленные для домена, распространяются на все его поддомены, если для них не создана собственная CAA.

Чтобы создать или изменить CAA-запись:

1. В разделе «Домены и SSL» — «Мои домены» кликните на строку с нужным доменом.
2. Перейдите на вкладку «Редактор DNS» и выберите нужный домен или поддомен.
3. Если нужно изменить существующую запись, кликните на строку с ней. Если нужно добавить новую запись, кликните «Добавить запись» справа вверху и выберите тип CAA.
4. Укажите флаг, тег и значение записи.
5. Сохраните изменения

Параметры записи:

• Флаг — показывает, что делать центру сертификации, если он не поддерживает тег записи: 
  • 0 — игнорировать тег и продолжить обработку;
  • 128 — отказать в выпуске сертификата.

На практике эта настройка имеет значение только для тега iodef, так как issue и issuewild поддерживаются всеми центрами сертификации.

Если для тега iodef указать флаг 128, то центр сертификации, не поддерживающий отправку уведомлений о нарушениях, не выпустит сертификат.

• Тег — тип политики:
  • issue: Разрешает выпускать сертификаты для этого домена.
  • issuewild: Разрешает выпускать wildcard-сертификаты (например, *.domain.ru).
  • iodef: Указывает, куда центр сертификации должен отправить уведомление о попытке нарушения политики.
• Значение — значение политики. 
  • Для тегов issue и issuewild значение должно содержать доменное имя центра сертификации. Например: letsencrypt.org или digicert.com. 
    • Чтобы разрешить выпуск SSL нескольким центрам сертификации, создайте для каждого свою CAA-запись.
    • Чтобы запретить выпуск SSL любым центрам сертификации, укажите точку с запятой: ;.
  • Для тега iodef значение должно начинаться с mailto: и содержать реальный e-mail. Например: mailto:admin@domain.ru.