CAA-Record (Certification Authority Authorization)
RFC 8659 · DNS: CAA-Ressourceneintrag
Ein CAA-Record legt per DNS fest, welche Zertifizierungsstellen (CAs) überhaupt Zertifikate für Ihre Domain ausstellen dürfen. Jede konforme CA muss den Eintrag vor der Ausstellung prüfen.
Warum das für Ihr Unternehmen relevant ist
Ohne CAA kann jede beliebige CA weltweit ein gültiges Zertifikat für Ihre Domain ausstellen — ein Einfallstor für Fehlausstellungen und Man-in-the-Middle-Angriffe. CAA schränkt das auf die von Ihnen freigegebenen Anbieter ein.
Technische Funktionsweise
Beispiel: example.ch. CAA 0 issue "sectigo.com" erlaubt nur Sectigo. Zusätze wie issuewild (Wildcards) und iodef (Meldeadresse für Verstösse) verfeinern die Regel. Die Prüfung ist für CAs seit 2017 im CA/Browser-Forum verpflichtend.
So löst Sentrust die Komplexität für Sie
Wir setzen CAA passend zu den für VMC/CMC und S/MIME genutzten CAs und überwachen den Eintrag mit — so bleibt Ihr Zertifikatsportfolio auf autorisierte Aussteller beschränkt.
Praxisfall aus unseren Mandaten
Das DNS-Audit einer Industriegruppe förderte zutage, was zwölf Jahre Wachstum hinterlassen: fehlende Schutz-Records, verwaiste Delegationen und ungeprüfte Zertifikats-Autorisierung. Alle Risiken waren von aussen sichtbar — nur hatte nie jemand systematisch hingeschaut. Der hier erklärte Eintrag ist Teil genau dieser Zonen-Hygiene, die wir im Audit herstellen und im Abo überwachen.
Modellfall: anonymisiertes, typisches Projektszenario. Ihre konkrete Ausgangslage erheben wir im kostenlosen Audit.
Verwandte Begriffe
Quellen & weiterführende Standards
- RFC 8659 — DNS CAA Resource Record
- Sentrust Engineering — Projekterfahrung aus Managed-DMARC-, Zertifikats- und BIMI-Mandaten
Wie steht Ihre Domain zu diesem Thema da?
Kostenloses Audit — Befund mit Handlungsplan innert 48 Stunden.