Vorhaben besprechen

TOOLBOX · GENERATOR

CAA-EINTRAGERSTELLEN.

Zertifizierungsstellen anklicken, Wildcards regeln und die fertigen Einträge kopieren: für das Formular Ihres DNS-Anbieters und als Zonendatei. Läuft nur in Ihrem Browser.

Beispiele

Ein Beispiel übernimmt passende Werte ins Formular. Ihre Domain bleibt erhalten; ohne Domain steht example.at.

Domain

Gilt auch für alle Subdomains, die keinen eigenen CAA-Eintrag haben.

Zertifikate für diese Domain
Erlaubte Zertifizierungsstellen

Welche Stelle Ihre Zertifikate heute ausstellt, zeigt der SSL/TLS-Check oder Ihr Browser in den Zertifikatsdetails.

Die Domain, die die Zertifizierungsstelle für CAA nennt, eine je Zeile.

Wählen Sie mindestens eine Zertifizierungsstelle. Soll gar keine ausstellen dürfen, wählen Sie das oben aus.

Wildcard-Zertifikate
Wildcards (*.domain)
Meldeadresse und Konto (optional)

E-Mail-Adresse oder https://-Adresse.

Ihre CAA-Einträge

Geben Sie oben Ihre Domain ein oder wählen Sie ein Beispiel. Die Einträge entstehen hier, während Sie wählen.

Rein im Browser: Dieses Werkzeug sendet Ihre Eingaben nicht an TOMORIS oder Dritte und speichert sie nicht.

SCHRITT FÜR SCHRITT

Erst nachsehen.
Dann festlegen.

CAA-Einträge stehen im DNS Ihrer Domain. Ein Eintrag, der eine genutzte Zertifizierungsstelle vergisst, blockiert deren nächste Ausstellung. Deshalb zuerst den Bestand erheben.

  1. 01

    Bestand erheben

    Für Website, Mailserver, VPN und alle Subdomains nachsehen, wer die Zertifikate ausstellt: im Browser oder mit dem SSL/TLS-Check.

  2. 02

    Dienste mitdenken

    CDN, Hosting und Website-Baukästen beantragen Zertifikate oft selbst. Fragen Sie nach, welche Stellen sie nutzen.

  3. 03

    Einträge erzeugen

    Alle genutzten Stellen anklicken, Wildcards bei Bedarf sperren und eine Meldeadresse ergänzen.

  4. 04

    Mit Vorlauf veröffentlichen

    Nicht kurz vor einer Verlängerung: Zertifizierungsstellen dürfen nach ihrer Prüfung noch bis zur TTL des Eintrags, mindestens 8 Stunden lang ausstellen (Baseline Requirements, 4.2.2.1).

  5. 05

    Prüfen

    Der DNS-Sicherheits-Check zeigt, welche Stellen danach ausstellen dürfen.

TYPISCHE FEHLER

Daran scheitert
CAA oft.

  • Den Dienst vergessen, der Zertifikate holt

    Cloudflare stellt Universal-SSL-Zertifikate über Let's Encrypt, Google Trust Services und SSL.com aus und ergänzt die nötigen CAA-Einträge selbst, sobald Sie eigene anlegen (Cloudflare). Die kostenlosen Zertifikate von Azure App Service kommen von DigiCert (Microsoft Learn).

  • Falsche Kennung

    letsencrypt.com statt letsencrypt.org, oder der Name des Produkts statt der Kennung: Für ZeroSSL gilt zum Beispiel sectigo.com.

  • Flag 128

    Mit 128 („kritisch“) darf eine Stelle, die die Eigenschaft nicht kennt, gar nicht ausstellen (RFC 8659, Abschnitt 4.5). Für issue, issuewild und iodef genügt 0.

  • Nur issuewild

    issuewild allein schränkt nur Wildcard-Zertifikate ein. Normale Zertifikate darf dann weiterhin jede Stelle ausstellen.

  • Eintrag an der falschen Subdomain

    Hat eine Subdomain eigene CAA-Einträge, gelten für sie nur diese, nicht die der Domain darüber.

  • iodef als Schutz verstanden

    Die Meldeadresse ist ein Angebot an die Stellen, keine Pflicht für sie. Geschützt wird über issue und issuewild.

QUELLEN UND WEITER

Nach Standard
und Branchenregeln.

FRAGEN

Gut zu wissen.

Was bewirkt ein CAA-Eintrag?

Er legt fest, welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen. Öffentliche Zertifizierungsstellen müssen ihn vor jeder Ausstellung prüfen und halten sich dabei an RFC 8659 (CA/Browser Forum Baseline Requirements, Abschnitt 4.2.2.1). Wer sich unberechtigt ein Zertifikat für Ihre Domain besorgen will, muss dann eine der genannten Stellen täuschen.

Werden meine bestehenden Zertifikate ungültig?

Nein. CAA zählt nur bei der Ausstellung; Browser prüfen den Eintrag nicht (RFC 8659, Abschnitt 1). Ausgestellte Zertifikate bleiben bis zu ihrem Ablauf gültig. Die nächste Verlängerung bei einer Stelle, die nicht genannt ist, scheitert aber.

Gilt der Eintrag auch für Subdomains?

Ja. Zertifizierungsstellen suchen vom beantragten Namen aufwärts bis zum ersten CAA-Eintrag (RFC 8659, Abschnitt 3). Ein Eintrag an example.at gilt also auch für shop.example.at, solange dort kein eigener steht.

Welche Kennung hat meine Zertifizierungsstelle?

Die Domain, die die Stelle in ihrer Anleitung für CAA nennt, etwa letsencrypt.org oder digicert.com. Eine Liste aller Kennungen führt die Common CA Database (CCADB) der großen Browser- und Betriebssystemhersteller. Welche Stelle Ihre Zertifikate heute ausstellt, zeigt der SSL/TLS-Check.

Wozu issuewild?

issuewild gilt nur für Wildcard-Zertifikate (*.example.at) und hat für sie Vorrang vor issue (RFC 8659, Abschnitt 4.3). Mit issuewild ";" sperren Sie Wildcards, ohne normale Zertifikate einzuschränken.

Wird meine Eingabe übertragen?

Nein. Der Generator läuft vollständig in Ihrem Browser. Domain und Auswahl werden weder gesendet noch gespeichert.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen