Laboratorio de registros DNS CAA
Construye registros DNS CAA, elige qué CA pueden emitir para tu dominio, lee qué permiten y qué deniegan y puntúalos frente a las buenas prácticas.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Por defecto, cualquier autoridad de certificación de confianza pública puede emitir un certificado para tu dominio. Un registro CAA (Certificate Authority Authorization) es un registro DNS que lo acota: indica a las CA a cuáles autorizas de verdad, y una CA que no figura en la lista debe negarse a emitir. Este constructor y explicador de registros CAA, 100 % en el navegador, te permite componer los registros issue, issuewild e iodef, elegir las CA que usas (Let’s Encrypt, DigiCert, Google Trust Services, Sectigo y más) y obtener las líneas del archivo de zona DNS junto con una lectura en lenguaje claro de exactamente lo que la política permite y deniega; después la puntúa frente a las buenas prácticas de CAA. CAA se comprueba en la emisión, no en la conexión: reduce quién puede emitir un certificado para ti, pero no impide que un cliente confíe en uno que ya emitió una CA de confianza. Por eso no habría detenido un incidente como el de eMudhra (la propia CA era de confianza), aunque sí reduce el conjunto de CA que pueden emitir para ti. No se sube nada y no se hace ninguna consulta DNS: copias o exportas los registros. Es un laboratorio Pro.
- Define tu política: las CA permitidas o una denegación total explícita.
- Compón los registros issue e issuewild (decide a propósito tu política de comodines) y añade un contacto iodef para notificar incidentes.
- Lee el resumen en lenguaje claro de lo que la política permite y deniega y su puntuación frente a las buenas prácticas.
- Copia o exporta las líneas del archivo de zona, verifícalas, añádelas en el ápice de la zona y revisa CAA cada vez que cambies de CA.
Preguntas frecuentes
¿Qué es un registro DNS CAA?
CAA significa Certificate Authority Authorization (RFC 8659). Es un registro DNS que enumera qué autoridades de certificación pueden emitir certificados para tu dominio. Cuando una CA recibe una solicitud de certificado, está obligada a comprobar primero tus registros CAA: si tu dominio tiene registros CAA y la CA solicitante no figura, debe negarse a emitir. Un dominio sin registros CAA deja la emisión abierta a todas las CA de confianza pública. Los registros CAA tienen tres etiquetas de propiedad principales: issue (qué CA pueden emitir certificados normales), issuewild (cuáles pueden emitir certificados comodín) e iodef (dónde debe notificar una CA una infracción de la política).
¿CAA impide que alguien use un certificado que ya se emitió?
No, y es el límite más importante que hay que entender. CAA lo aplican las autoridades de certificación en el momento de la emisión: regula quién puede EMITIR un certificado para tu dominio. No hace nada en el momento de la conexión y no afecta a los certificados ya emitidos. Así que CAA reduce la superficie de ataque de la emisión (a una CA ajena o no autorizada se le indica que se niegue), pero no habría detenido un incidente como el compromiso de la CA intermedia de eMudhra, en el que la CA comprometida ya era de confianza y ya podía emitir. CAA es una capa más; combínala con la monitorización de Certificate Transparency (para ver qué se emitió realmente) y con certificados de corta duración (para acotar la exposición).
¿Qué diferencia hay entre issue e issuewild, y qué hace la etiqueta iodef?
La etiqueta issue enumera las CA autorizadas a emitir certificados que no son comodín (y, por defecto, también comodines). La etiqueta issuewild regula específicamente los certificados comodín (*.example.com): si hay algún registro issuewild, prevalece sobre issue para los comodines, así que puedes permitir a una CA los certificados normales pero prohibirle emitir comodines, o bloquear los comodines por completo con issuewild ";". La etiqueta iodef da a la CA un lugar donde notificar una solicitud que infringe tu política: una dirección mailto: o una URL https:. Un contacto iodef convierte CAA en una señal de alerta temprana: si alguien intenta obtener un certificado que no autorizaste, la CA puede avisarte. Un valor especial, issue ";", significa que ninguna CA puede emitir, útil para un dominio que nunca debería tener certificado.
¿La herramienta hace cambios en el DNS o comprueba mi dominio en vivo?
No. Es un constructor educativo que se ejecuta por completo en tu navegador. Compone la sintaxis de los registros CAA a partir de tus elecciones, explica en lenguaje claro lo que esa política permite y deniega y la puntúa frente a las buenas prácticas de CAA, pero no hace ninguna consulta DNS, no realiza llamadas de red y no publica nada. Copias o exportas las líneas del archivo de zona generadas y las añades tú a tu DNS, después de verificarlas. Los identificadores de emisor de las CA (letsencrypt.org, digicert.com, pki.goog, etc.) son los dominios CAA públicos que esas autoridades documentan. Es orientación general, no asesoramiento legal ni de cumplimiento.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.