CAA: chi può emettere certificati?

Modulo 5: Altri record · Tempo di lettura: 6 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di leggere un record CAA e saprà come un record CAA può bloccare la richiesta di un certificato SSL.

Concetti chiave: CAA, issue, issuewild, iodef, autorità di certificazione (CA), nessun record CAA significa: chiunque può

Un lucchetto di uno sconosciuto

Un certificato SSL (in realtà un certificato TLS) è ciò che genera il lucchetto nel browser. Viene rilasciato da un'autorità di certificazione, in breve CA: ad esempio Let's Encrypt, Sectigo, DigiCert o Google Trust Services. Ci sono decine di CA di cui i browser si fidano e, in linea di principio, ognuna di esse può rilasciare un certificato per il Suo dominio, purché il richiedente dimostri di gestire il dominio.

Con un record CAA (Certification Authority Authorization, RFC 8659) può limitare questa possibilità. Nel DNS indica quali CA possono rilasciare certificati per il Suo dominio. Ogni CA è obbligata a verificare questo record prima di rilasciare un certificato. Se la CA non vi è elencata, deve rifiutare.

Questo protegge da un certificato rilasciato a Suo nome tramite una CA negligente o ingannata. È un lucchetto in più, non un obbligo.

Com'è fatto un record CAA

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

Un record CAA ha tre parti:

Le tre tag che incontrerà:

• issue: questa CA può emettere certificati normali (per example.com, www.example.com e così via).
• issuewild: questa CA può emettere certificati wildcard (*.example.com). Se non è presente issuewild, per i wildcard valgono le regole issue.
• iodef: dove una CA può inviare una segnalazione se qualcuno richiede un certificato non consentito secondo il Suo CAA.

Può avere più regole issue: ciascuna CA menzionata è allora autorizzata. Se invece desidera che nessuno emetta un certo tipo di certificato, utilizzi un valore vuoto: 0 issuewild ";" significa "nessuno può emettere wildcard".

Nessun record CAA: chiunque può

Se il Suo dominio non ha un record CAA, qualsiasi CA può emettere un certificato. È la situazione normale per la maggior parte dei domini e non è un errore. CAA è una scelta facoltativa.

Una CA cerca il record CAA esattamente al nome del certificato. Se non trova nulla, guarda un livello più in alto, fino al dominio. Un record CAA su example.com vale quindi anche per shop.example.com, a meno che shop.example.com abbia un proprio record CAA.

Come il CAA può bloccare il Suo certificato

Questo è il motivo per cui il CAA trova posto in un corso per principianti: un record CAA può fare sì che il Suo certificato gratuito non venga più rinnovato, e il messaggio di errore non è sempre chiaro.

Supponiamo che il Suo sito web abbia funzionato per anni con un certificato di una CA a pagamento. In quel momento qualcuno ha creato un record CAA:

example.com.  CAA  0 issue "sectigo.com"

Ora passa a un hosting che richiede automaticamente certificati Let's Encrypt. Let's Encrypt verifica il CAA, vede che è autorizzata solo Sectigo, e rifiuta. Il Suo sito non riceve il certificato e i visitatori vedono un avviso.

La soluzione: aggiunga la CA che utilizza attualmente, oppure rimuova il vecchio record CAA se non Le serve più.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Se utilizza un servizio che gestisce autonomamente i certificati, come una piattaforma di e-commerce o una CDN, chieda quale CA utilizza e la aggiunga. Altrimenti bloccherà anche il loro certificato.

Nella pratica: come si presenta in un pannello

Come esempio utilizziamo la schermata DNS di Mio WebOké, che dispone di un'assistenza CAA con le CA più conosciute. In DirectAdmin, Cloudflare e nella maggior parte degli altri pannelli compila gli stessi tre campi: flag, tag e valore.

1. Clicchi su Aggiungi Record e scelga CAA.
2. Lasci il nome sul dominio stesso (@).
3. Lasci il flag su 0.
4. Scelga la tag issue.
5. Inserisca la CA, ad esempio letsencrypt.org.
6. Salvi e ripeta per ogni CA autorizzata a emettere.

Riepilogo

• Con un record CAA stabilisce quali autorità di certificazione possono emettere certificati per il Suo dominio.
• issue riguarda i certificati normali, issuewild i wildcard, iodef le segnalazioni.
• Nessun record CAA significa: qualsiasi CA è autorizzata. È normale.
• Un record CAA sul dominio vale anche per i sottodomini privi di un proprio CAA.
• Un record CAA dimenticato può bloccare un certificato nuovo o rinnovato. Aggiunga la CA che utilizza attualmente.

Quiz

Esercizio

Esercizio Z5.2: cercare il CAA. Cerchi i record CAA di wikipedia.org. Quali autorità di certificazione possono emettere certificati secondo le regole issue? Le inserisca tutte.

Esercizio O5.2: configurare da sé nella Sua zona di esercitazione. Crei nella Sua zona di esercitazione, sul nome della zona stessa (@), due record CAA:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

La prima regola significa: nessuno può emettere certificati per questo nome. Nella zona di esercitazione è proprio corretto così: non vi è alcun sito web reale, quindi non deve nemmeno arrivare un certificato, e in questo modo nessuno può abusare della zona di esercitazione per ottenere un certificato. Sul Suo dominio reale non lo faccia mai se utilizza https; lì inserisca le CA che utilizza davvero, come 0 issue "letsencrypt.org". La regola iodef nella zona di esercitazione punta all'indirizzo di segnalazione dell'ambiente di esercitazione; sul Suo dominio reale inserisca il Suo indirizzo.

Clicchi poi su Controllare.

Per saperne di più

Questi articoli descrivono i passaggi nei pannelli di WebOké; in altri pannelli funzionano in modo simile.

• Guida WebOké 5.5: Assistenti DNS: MX, SPF, DMARC, CAA e SRV
• Guida DirectAdmin 6.6: Let's Encrypt non funziona: cause e soluzioni
• Attivazione, rinnovo e risoluzione dei problemi del certificato SSL