Wenn du den Kapiteln zu DNS-Eintragstypen gefolgt bist, weisst du, dass jeder Eintrag in deiner DNS-Zone einen bestimmten Zweck hat. A-Records zeigen auf Server. MX-Records leiten E-Mails. TXT-Records übernehmen Verifizierung und E-Mail-Sicherheit. Ein CAA-Record macht etwas anderes. Er steuert, wer SSL-Zertifikate für deinen Domainnamen ausstellen darf.
Ohne CAA-Record kann jede Zertifizierungsstelle der Welt ein Zertifikat für deine Domain ausstellen, wenn jemand eines beantragt. Das klingt harmlos, öffnet aber die Tür dafür, dass Zertifikate von Stellen ausgestellt werden, die du nie gewählt und nie freigegeben hast. Ein CAA-Record schliesst diese Tür und gibt dir die Kontrolle.
Wofür steht CAA?
CAA steht für Certificate Authority Authorization, also die Autorisierung von Zertifizierungsstellen. Der Name sagt genau, was der Eintrag tut. Er autorisiert bestimmte Zertifizierungsstellen (CAs), SSL-Zertifikate für deine Domain auszustellen, und weist alle anderen CAs an, abzulehnen.
Zertifizierungsstellen sind die Organisationen, die prüfen, ob ein Domaininhaber der ist, der er zu sein vorgibt, und dann das SSL-Zertifikat ausstellen, das HTTPS ermöglicht. Es gibt Dutzende CAs auf der Welt. Ohne CAA-Record steht deine Domain allen offen. Mit einem legst du fest, wer die Erlaubnis hat.
Wie sieht ein CAA-Record aus?
Ein CAA-Record hat drei Hauptteile, die zusammenarbeiten. Das bedeutet jeder davon.
- Flag ist eine Zahl, die steuert, wie der Eintrag behandelt wird. Bei den meisten Einrichtungen steht sie auf 0. Ein Flag von 128 sagt einer CA, dass sie die Ausstellung des Zertifikats verweigern muss, wenn sie den Tag des Eintrags nicht versteht, statt den Eintrag zu ignorieren
- Tag sagt der CA, welche Art von Erlaubnis oder Anweisung dieser Eintrag enthält. Es gibt drei Tag-Typen, die unten ausführlich erklärt werden
- Wert ist der Name der autorisierten Zertifizierungsstelle oder die Kontaktadresse für Meldungen. Er steht immer in Anführungszeichen
So sieht ein einfacher CAA-Record in einem DNS-Panel aus.
- Hostname auf @ gesetzt
- Typ auf CAA gesetzt
- Flag auf 0 gesetzt
- Tag auf issue gesetzt
- Wert auf "ca-beispiel.org" gesetzt
Dieser Eintrag sagt eine Sache. Nur die Zertifizierungsstelle ca-beispiel.org darf Standard-SSL-Zertifikate für diese Domain ausstellen. Jede andere CA, die einen Zertifikatsantrag für deine Domain erhält, muss zuerst deine CAA-Records prüfen und ablehnen, wenn sie nicht auf der Liste steht.
Welche drei Tag-Typen gibt es bei CAA-Records?
Jeder CAA-Record nutzt einen von drei Tags. Der Tag sagt Zertifizierungsstellen, welche Art von Anweisung der Eintrag enthält.
Der Tag "issue"
Der Tag issue ist der häufigste. Er nennt eine Zertifizierungsstelle, die Standard-SSL-Zertifikate für deine Domain ausstellen darf. Willst du zwei verschiedene CAs zulassen, legst du zwei getrennte CAA-Records an, jeweils mit dem Tag issue und einem anderen CA-Namen.
Nutzt deine Domain zum Beispiel Zertifikate von zwei verschiedenen CAs, hättest du zwei CAA-Records.
- 0 issue "ca-beispiel.org"
- 0 issue "zweite-ca-beispiel.com"
Willst du die Ausstellung von Zertifikaten komplett blockieren, kannst du den Wert von issue auf ein Semikolon ohne Zusatz setzen. Das sagt jeder CA der Welt, dass niemand Zertifikate für deine Domain ausstellen darf.
Der Tag "issuewild"
Der Tag issuewild funktioniert wie issue, gilt aber nur für Wildcard-Zertifikate. Ein Wildcard-Zertifikat deckt deine Hauptdomain und alle Subdomains auf einmal ab (wie *.deinedomain.com).
Setzt du einen issuewild-Record, steuert er getrennt davon, wer reguläre Zertifikate ausstellen darf, welche CAs Wildcard-Zertifikate ausstellen dürfen. Das ist nützlich, wenn eine CA deine Standardzertifikate und eine andere die Wildcard-Zertifikate übernehmen soll oder wenn du Wildcard-Zertifikate ganz blockieren, Standardzertifikate aber zulassen willst.
Gibt es keinen issuewild-Record, gilt der Tag issue standardmässig sowohl für Standard- als auch für Wildcard-Zertifikate.
Der Tag "iodef"
Der Tag iodef steuert nicht, wer Zertifikate ausstellen darf. Er sagt CAs stattdessen, wohin sie einen Bericht schicken sollen, wenn jemand ein Zertifikat beantragt, das gegen deine CAA-Richtlinie verstösst.
Der Wert ist meist eine E-Mail-Adresse oder eine URL. Zum Beispiel.
- 0 iodef "mailto:security@deinedomain.com"
Das heisst: Erhält eine CA einen Zertifikatsantrag für deine Domain und sagt dein CAA-Record, dass diese CA nicht autorisiert ist, sollte die CA eine Benachrichtigung an diese E-Mail-Adresse schicken. Nicht alle CAs unterstützen iodef-Berichte, aber die, die es tun, geben dir Einblick in unbefugte Zertifikatsanträge.
Wie fügst du einen CAA-Record hinzu?
Einen CAA-Record hinzuzufügen läuft ähnlich wie bei jedem anderen DNS-Eintrag. Hast du schon einmal einen TXT-Record oder A-Record angelegt, kommt dir das bekannt vor.
- Melde dich im DNS-Verwaltungsbereich an, in dem die Nameserver deiner Domain festgelegt sind. Das ist meist dein Domain-Registrar oder dein Hosting-Anbieter
- Suche den Bereich DNS-Einträge oder den DNS-Zonen-Editor
- Klicke auf die Option, einen neuen Eintrag hinzuzufügen
- Wähle CAA als Eintragstyp
- Setze das Flag auf 0, ausser du hast einen konkreten Grund für 128
- Wähle den Tag-Typ. Nutze "issue" für Standardzertifikate, "issuewild" für Wildcard-Zertifikate oder "iodef" für Verstossmeldungen
- Gib den Wert ein. Bei issue und issuewild ist das der Domainname der CA (wie "ca-beispiel.org"). Bei iodef ist es eine E-Mail-Adresse oder eine URL für Meldungen
- Speichere den Eintrag
Willst du mehr als eine CA autorisieren, lege für jede einen eigenen CAA-Record an. DNS-Änderungen können zwischen einigen Minuten und 48 Stunden brauchen, bis sie sich verbreitet haben. Mehr dazu liest du im Kapitel Wie DNS funktioniert.
Brauchst du einen CAA-Record?
Ein CAA-Record ist nicht vorgeschrieben. Deine Domain funktioniert auch ohne ihn einwandfrei, und dein SSL-Zertifikat funktioniert weiterhin. Aber er fügt eine nützliche Ebene der Domainsicherheit hinzu, die dich nichts kostet.
Ohne CAA-Record kann jede Zertifizierungsstelle ein SSL-Zertifikat für deine Domain ausstellen, wenn jemand eines beantragt. In den meisten Fällen ist das kein Problem, weil CAs eigene Prüfschritte haben. Doch diese Schritte sind nicht narrensicher. Es gab Fälle, in denen Zertifikate an die falschen Personen ausgestellt wurden, durch Fehler oder durch CAs mit schwächeren Prüfverfahren.
Mit einem CAA-Record dürfen nur die CAs Zertifikate ausstellen, die du ausdrücklich benannt hast. Jede andere CA muss ablehnen, selbst wenn die Person, die das Zertifikat beantragt, deren normale Prüfungen besteht. Es ist eine kleine Ergänzung deiner DNS-Zone, die eine ganze Risikokategorie verringert.
Was passiert, wenn dein CAA-Record eine berechtigte Anfrage blockiert?
Legst du einen CAA-Record an, der eine CA nennt, und versuchst dann, ein Zertifikat von einer anderen CA zu bekommen, scheitert die Anfrage. Die CA prüft deine CAA-Records, sieht, dass sie nicht autorisiert ist, und lehnt die Ausstellung ab.
Das ist kein Fehler. Es ist der Sinn der Sache. Es heisst aber, dass du deine CAA-Records mit der CA abgleichen musst, die dein Hosting-Anbieter oder deine Website-Plattform nutzt. Wechselst du den Hosting-Anbieter und der neue nutzt eine andere CA, musst du deine CAA-Records um die neue ergänzen.
Die Lösung ist einfach. Füge entweder einen neuen CAA-Record für die neue CA hinzu oder aktualisiere den bestehenden. Wichtig ist, deine CAA-Records immer zu prüfen, wenn du deinen SSL-Anbieter oder dein Hosting-Setup änderst.
Wie WEMASY mit CAA-Records umgeht
Wenn du eine Website mit WEMASY baust und eine eigene Domain verbindest, stellt WEMASY dein SSL-Zertifikat automatisch bereit und verwaltet es. Möchtest du für zusätzliche Sicherheit einen CAA-Record anlegen, sagt dir die Domain-Einrichtungsanleitung von WEMASY, welche CA du autorisieren musst, damit die Erneuerung deines Zertifikats nie blockiert wird.
WEMASY übernimmt SSL, Hosting und Domain-Konfiguration aus einer Hand, du musst dir also keine Sorgen machen, dass nicht passende CAA-Records dein Zertifikat beschädigen. Legst du einen CAA-Record an, stelle nur sicher, dass er die CA enthält, die WEMASY nutzt. Was in jedem Tarif enthalten ist, siehst du auf der Seite WEMASY Preise.
Wie geht es weiter?
Jetzt, da du weisst, wie ein CAA-Record steuert, welche Zertifizierungsstellen SSL-Zertifikate für deine Domain ausstellen dürfen, behandelt das nächste Kapitel SRV-Records. SRV-Records sagen dem Internet, wo bestimmte Dienste auf deiner Domain zu finden sind, etwa VoIP- oder Chat-Server. Einen Überblick über alle Eintragstypen und wann du welchen nutzt, findest du im Kapitel zu DNS-Eintragstypen.
Häufig gestellte Fragen
Beeinflusst ein CAA-Record die Geschwindigkeit oder Verfügbarkeit deiner Website?
Nein. CAA-Records werden nur geprüft, wenn eine Zertifizierungsstelle einen neuen Zertifikatsantrag bearbeitet. Sie spielen keine Rolle dafür, wie deine Website lädt oder wie Besucher deine Seiten erreichen. Geschwindigkeit und Verfügbarkeit deiner Website hängen von deinem Hosting, deinem A-Record und der Leistung deines Servers ab, nicht von deinen CAA-Einstellungen. Mit dem Website-Builder von WEMASY kannst du das direkt auf deiner Website einrichten.
Was passiert, wenn du gar keine CAA-Records hast?
Hat deine Domain keine CAA-Records, darf jede Zertifizierungsstelle der Welt Zertifikate dafür ausstellen. Das ist der Standardzustand der meisten Domains. Es verursacht kein unmittelbares Problem, bedeutet aber, dass es keine Einschränkung gibt, wer ein SSL-Zertifikat im Namen deiner Domain bekommen kann.
Kannst du CAA-Records für Subdomains setzen?
Ja. Du kannst CAA-Records für bestimmte Subdomains setzen, um die Zertifikatsausstellung feiner zu steuern. Hat eine Subdomain einen eigenen CAA-Record, hat dieser Vorrang vor dem der Root-Domain. Gibt es an der Subdomain keinen CAA-Record, prüft die CA stattdessen die CAA-Records der übergeordneten Domain.
Wie findest du heraus, welche CA dein Hosting-Anbieter nutzt?
Am einfachsten prüfst du dein aktuelles SSL-Zertifikat. In den meisten Browsern kannst du in der Adressleiste auf das Schloss-Symbol klicken, die Zertifikatsdetails ansehen und erkennen, welche CA es ausgestellt hat. Du kannst auch direkt deinen Hosting-Anbieter fragen. Es gibt sowohl kostenlose als auch kommerzielle Zertifizierungsstellen.
Verhindert ein CAA-Record, dass jemand eine gefälschte Version deiner Website erstellt?
Ein CAA-Record erschwert es jemandem, bei einer nicht autorisierten CA ein reguläres SSL-Zertifikat für deine Domain zu bekommen. Er verhindert nicht jede Form von Phishing oder Identitätsmissbrauch, nimmt einem Angreifer aber einen möglichen Weg. Zusammen mit starken Passwörtern, WHOIS-Schutz und einem gesicherten Registrar-Konto ist ein CAA-Record ein Baustein eines umfassenderen Sicherheitskonzepts.