Ein SaaS-Herausgeber entdeckt ein gültiges TLS-Zertifikat für „app.example.com“, das von einer Behörde ausgestellt wurde, mit der er noch nie Kontakt aufgenommen hat. Die Seite funktioniert, das Vorhängeschloss ist grün, niemand hat eine Benachrichtigung erhalten. Bei genauerer Betrachtung stellte das Team fest, dass die DNS-Validierung drei Wochen zuvor bestanden hatte – wahrscheinlich nachdem der Zugriff auf den Registrar oder ein Konto beim DNS-Anbieter kompromittiert worden war. Ohne CAA-Registrierung gab es keine Regeln, die diese Übertragung verbieten.
Die CAA (Certification Authority Authorization) ist ein kleiner, oft vergessener DNS-Eintrag, der eine einfache Frage beantwortet: Wer hat das Recht, ein Zertifikat für diesen Namen zu signieren?
Was die CAA zulässt – und was nicht
Ein CAA-Eintrag verschlüsselt nichts und ersetzt nicht HTTPS. Es teilt den Zertifizierungsstellen (CAs) mit, welche Entitäten ein Zertifikat für Ihre Domain ausstellen können. Seit 2017 müssen CA-Mitglieder des CA/B-Forums die CAA vor der Unterzeichnung überprüfen – außer in sehr begrenzten Fällen.
| Tag CAA | Wirkung | Beispiel |
|---|---|---|
| „Problem“ | Autorisiert eine CA für Standardzertifikate | 0 Problem „letsencrypt.org“ |
issuewild | Ermöglicht eine Zertifizierungsstelle für Platzhalter („*.domain“) | 0 issuewild „digicert.com“ |
iodef | Benachrichtigungsadresse im Falle einer nicht konformen Anfrage | 0 iodef "mailto:secu@example.com" |
Die CAA bietet keinen Schutz vor einer Zertifizierungsstelle, die die Regel ignoriert (selten, aber historisch dokumentiert). Es blockiert auch keinen Angreifer, der bereits Ihren Webserver oder Ihren privaten Schlüssel kontrolliert. Es schließt vor allem die leiseste Tür: betrügerische Übertragung per DNS- oder HTTP-Validierung.
Ohne CAA kann jede anerkannte CA versuchen, Ihre Domain zu validieren. Mit CAA reduzieren Sie die Oberfläche auf die von Ihnen definierte Whitelist.
Wenn CAA unverzichtbar wird
Drei Situationen machen es zu einer Priorität:
Automatische Verlängerung. Let's Encrypt, ZeroSSL oder ein internes ACME: Wenn Sie CAs einschränken, ohne Ihre eigenen einzubeziehen, wird die Verlängerung sonntags um Mitternacht unterbrochen.
Mehrere Anbieter. CDN, Host, Load Balancer – jeder kann sein eigenes Zertifikat anbieten. Die CAA erzwingt eine explizite Entscheidung statt einer opportunistischen Ausstrahlung.
Domänen mit hoher Sichtbarkeit. E-Commerce, Authentifizierung, öffentliche APIs: Ein paralleles Zertifikat ermöglicht das Abfangen, ohne Ihre Hauptinfrastruktur zu beeinträchtigen.
Konkrete Syntax abhängig von Ihrem Stack
Minimales Beispiel nur für eine Let's Encrypt-Site:
example.com. CAA 0-Problem „letsencrypt.org“
example.com. CAA 0 Issuewild „letsencrypt.org“
Wenn Sie Cloudflare für TLS nutzen und Let's Encrypt im Ursprung behalten:
example.com. CAA 0-Problem „letsencrypt.org“
example.com. CAA 0-Problem „digicert.com“
Cloudflare verwendet DigiCert für seine Edge-Zertifikate; Let's Encrypt bleibt serverseitig üblich. Das Weglassen eines der beiden führt zu schwer zu diagnostizierenden Erneuerungsfehlern.
| Szenario | CA soll autorisiert werden | Gemeinsame Falle | |
|---|---|---|---|
| VPS + Certbot | letsencrypt.org | „issuewild“ vergessen, während eine „*.domain“ existiert | |
| CDN orangefarbene Wolke | CDN-Umsatz + ursprünglicher Umsatz | Nur Let's Encrypt | auflisten |
| EV-Firmenzertifikat | Nur Ihr vertraglicher Umsatz | Internes Staging versehentlich blockieren |
Fehler, die die Produktion an einem Freitagabend unterbrechen
CAA vor der Migration zu restriktiv. CA ändern? Aktualisieren Sie die CAA bevor Sie die neue Ausgabe veröffentlichen, nicht danach.
Lange TTL + Ausbreitung. Die Korrektur einer fehlerhaften CAA kann je nach TTL Stunden dauern. Senken Sie ihn vorübergehend ab, wenn Sie eine Änderung vornehmen.
Subdomain mit leerem CAA. Ein leerer CAA-Eintrag („;“) in einer Subdomain verhindert jegliche Übertragung für diese Subdomain – nützlich für die Sicherheit, fatal, wenn unbeabsichtigt.
Verwechslung mit SPF/DKIM. CAA betrifft nur X.509-Zertifikate, nicht E-Mail.
Der Gipfel: Das grüne Vorhängeschloss beweist nicht, dass es sich um Ihr Zertifikat handelt
Dies ist der Punkt, den die Checklisten „HTTPS aktiviert“ ausblenden: Das Vorhandensein von TLS garantiert nicht die Einzigartigkeit des Unterzeichners. Überwachen Sie Zertifikatstransparenzprotokolle und kombinieren Sie CAA- und Warnungen zu unerwarteten Emissionen.
Entscheide dich und gehe ohne blinden Fleck voran
- Bestandsaufnahme, wer Ihre Zertifikate heute ausstellt (Herkunft, CDN, Staging).
- Veröffentlichen Sie bei Bedarf die entsprechenden CAA-Datensätze „issue“ und „issuewild“.
- Testen Sie eine ACME-Erneuerung im Trockenlauf, bevor Sie sperren.
- Fügen Sie Ihrem Sicherheitsteam eine „iodef“-Adresse oder einen überwachten Alias hinzu.
- Dokumentieren Sie das CA-Änderungsverfahren in Ihrem Runbook.
Um Hosts zu vergleichen, die ACME oder verwaltete Zertifikate integrieren, konsultieren Sie unser Verzeichnis und den Vergleicher. Der DNSSEC-Leitfaden vervollständigt diesen Ansatz, wenn Sie die gesamte DNS-Kette härten.
Häufig gestellte Fragen
Was genau ist eine CAA-Registrierung?
Dabei handelt es sich um einen DNS-Eintrag (Typ CAA), der die Zertifizierungsstellen auflistet, die berechtigt sind, Zertifikate für eine Domain oder einen Platzhalter auszustellen. Seriöse Zertifizierungsstellen konsultieren es vor der Unterzeichnung.
Ersetzt CAA die automatische Verlängerung von Let's Encrypt?
Nein. Er rahmt es ein. Wenn Sie Let's Encrypt verwenden, fügen Sie „letsencrypt.org“ in Ihren CAA-Datensätzen hinzu – andernfalls schlägt die Verlängerung zum nächsten Stichtag fehl.
Ist für jede Subdomain eine CAA erforderlich?
Nein. Resolver steigen in der DNS-Kette auf: Eine CAA auf „example.com“ gilt für Subdomains, es sei denn, es gibt eine spezifischere CAA für die betreffende Subdomain.
Wie kann ich überprüfen, ob die CAA aktiv ist?
Fragen Sie den DNS mit „dig CAA example.com“ oder einem Online-Tool ab und versuchen Sie es dann mit einer Testübertragung von einer nicht aufgeführten Zertifizierungsstelle – diese sollte abgelehnt werden.
Wenn Ihnen das nächste Mal jemand sagt: „Die Website ist in HTTPS, das ist gut“, fragen Sie auch: Wer hat das Recht, für diese Domain zu signieren?