Se tens acompanhado os capítulos sobre tipos de registos DNS, sabes que cada registo da tua zona DNS tem um propósito específico. Os registos A apontam para servidores. Os registos MX encaminham o email. Os registos TXT tratam de verificação e segurança do email. Um registo CAA faz algo diferente. Controla quem pode emitir certificados SSL para o teu nome de domínio.
Sem um registo CAA, qualquer autoridade de certificação do mundo pode emitir um certificado para o teu domínio se alguém o pedir. Pode parecer inofensivo, mas abre a porta a certificados emitidos por autoridades que nunca escolheste nem aprovaste. Acrescentar um registo CAA fecha essa porta e põe-te no controlo.
O que significa CAA?
CAA significa certificate authority authorization (autorização de autoridade de certificação). O nome diz exatamente o que o registo faz. Autoriza autoridades de certificação (CA) específicas a emitir certificados SSL para o teu domínio e diz a todas as outras CA para recusarem.
As autoridades de certificação são as organizações responsáveis por verificar que o dono de um domínio é quem diz ser e depois emitir o certificado SSL que ativa o HTTPS. Há dezenas de CA a funcionar em todo o mundo. Sem um registo CAA, o teu domínio está aberto a todas. Com um, és tu a escolher quais têm permissão.
Como é um registo CAA?
Um registo CAA tem três partes principais que funcionam em conjunto. Eis o que significa cada uma.
- Flag é um número que controla a forma como o registo é tratado. Na maioria das configurações, está definida como 0. Uma flag de 128 diz a uma CA que, se não perceber a etiqueta do registo, tem de recusar emitir o certificado em vez de ignorar o registo
- Tag (etiqueta) diz à CA que tipo de permissão ou instrução este registo contém. Há três tipos de etiqueta, explicados em detalhe abaixo
- Valor é o nome da autoridade de certificação a autorizar ou o endereço de contacto para relatórios. Fica sempre entre aspas
Eis como é um registo CAA simples num painel de DNS.
- Nome de anfitrião definido como @
- Tipo definido como CAA
- Flag definida como 0
- Tag definida como issue
- Valor definido como "exampleca.com"
Esse registo diz uma coisa. Só a exampleca.com pode emitir certificados SSL padrão para este domínio. Qualquer outra CA que receba um pedido de certificado para o teu domínio tem de verificar primeiro os teus registos CAA e recusar se não estiver na lista.
Quais são os três tipos de etiqueta de um registo CAA?
Cada registo CAA usa uma de três etiquetas. A etiqueta diz às autoridades de certificação que tipo de instrução o registo contém.
A etiqueta "issue"
A etiqueta issue é a mais comum. Indica uma autoridade de certificação que pode emitir certificados SSL padrão para o teu domínio. Se quiseres permitir duas CA diferentes, acrescentas dois registos CAA separados, cada um com a etiqueta issue e um nome de CA diferente.
Por exemplo, se o teu domínio usa certificados de duas CA diferentes, terias dois registos CAA.
- 0 issue "exampleca.com"
- 0 issue "otherca.com"
Se quiseres bloquear por completo a emissão de certificados, podes definir o valor de issue como um ponto e vírgula sem nada a seguir. Isso diz a todas as CA do mundo que ninguém está autorizado a emitir certificados para o teu domínio.
A etiqueta "issuewild"
A etiqueta issuewild funciona como a issue, mas só se aplica a certificados wildcard. Um certificado wildcard cobre o teu domínio principal e todos os seus subdomínios de uma só vez (como *.yourdomain.com).
Se definires um registo issuewild, ele controla que CA podem emitir certificados wildcard, separadamente de quem pode emitir os normais. Isto é útil se quiseres que uma CA trate dos teus certificados padrão e outra dos wildcard, ou se quiseres bloquear totalmente os certificados wildcard e continuar a permitir os padrão.
Se não existir nenhum registo issuewild, a etiqueta issue aplica-se por defeito tanto aos certificados padrão como aos wildcard.
A etiqueta "iodef"
A etiqueta iodef não controla quem pode emitir certificados. Em vez disso, diz às CA para onde enviar um relatório se alguém tentar pedir um certificado que viole a tua política CAA.
O valor costuma ser um endereço de email ou um URL. Por exemplo.
- 0 iodef "mailto:security@yourdomain.com"
Isto significa que, se uma CA receber um pedido de certificado para o teu domínio e o teu registo CAA disser que essa CA não está autorizada, a CA deve enviar uma notificação para esse endereço de email. Nem todas as CA suportam relatórios iodef, mas as que suportam dão-te visibilidade sobre pedidos de certificados não autorizados.
Como acrescentas um registo CAA?
Acrescentar um registo CAA segue um processo semelhante ao de qualquer outro registo DNS. Se já acrescentaste um registo TXT ou um registo A, isto vai parecer-te familiar.
- Inicia sessão no painel de gestão de DNS onde estão definidos os servidores de nomes do teu domínio. Normalmente é o registador do domínio ou o fornecedor de alojamento
- Encontra a secção de registos DNS ou o editor de zona DNS
- Clica na opção para acrescentar um novo registo
- Seleciona CAA como tipo de registo
- Define a flag como 0, a menos que tenhas um motivo específico para usar 128
- Escolhe o tipo de etiqueta. Usa "issue" para certificados padrão, "issuewild" para certificados wildcard ou "iodef" para relatórios de violações
- Introduz o valor. Para issue e issuewild, é o nome de domínio da CA (como "exampleca.com"). Para iodef, é um endereço de email ou um URL de relatórios
- Guarda o registo
Se quiseres autorizar mais do que uma CA, acrescenta um registo CAA separado para cada uma. As alterações de DNS podem demorar de alguns minutos a 48 horas a propagar-se. Para saberes mais sobre como isso funciona, lê o capítulo sobre como funciona o DNS.
Precisas de um registo CAA?
Um registo CAA não é obrigatório. O teu domínio funciona perfeitamente sem um e o teu certificado SSL continua a funcionar. Mas ter um acrescenta uma camada útil de segurança do domínio que não custa nada a configurar.
Sem um registo CAA, qualquer autoridade de certificação pode emitir um certificado SSL para o teu domínio se alguém o pedir. Na maioria dos casos, isto não é um problema porque as CA têm os seus próprios passos de verificação. Mas esses passos não são infalíveis. Já houve casos em que certificados foram emitidos às pessoas erradas, por engano ou por CA com processos de validação mais fracos.
Com um registo CAA no lugar, só as CA que nomeaste especificamente podem emitir certificados. Todas as outras são obrigadas a recusar, mesmo que quem pede o certificado passe nas verificações normais delas. É um pequeno acrescento à tua zona DNS que reduz uma categoria inteira de risco.
O que acontece se o teu registo CAA bloquear um pedido legítimo?
Se acrescentares um registo CAA que nomeia uma CA e depois tentares obter um certificado de uma CA diferente, o pedido falha. A CA verifica os teus registos CAA, vê que não está autorizada e recusa emitir o certificado.
Isto não é um erro. É precisamente o objetivo. Mas significa que tens de manter os teus registos CAA sincronizados com a CA que o teu fornecedor de alojamento ou plataforma de websites usa. Se mudares de fornecedor de alojamento e o novo usar uma CA diferente, tens de atualizar os teus registos CAA para incluir a nova.
A solução é simples. Ou acrescentas um novo registo CAA para a nova CA ou atualizas o existente. O importante é verificar os teus registos CAA sempre que mudares de fornecedor de SSL ou de configuração de alojamento.
Como a WEMASY trata dos registos CAA
Quando crias um website com a WEMASY e ligas um domínio personalizado, a WEMASY fornece e gere o teu certificado SSL automaticamente. Se quiseres acrescentar um registo CAA para mais segurança, o guia de configuração de domínio da WEMASY diz-te que CA autorizar para a renovação do certificado nunca ser bloqueada.
A WEMASY trata de SSL, alojamento e configuração de domínio num só sítio, por isso não precisas de te preocupar com registos CAA desalinhados a estragar o teu certificado. Se acrescentares um registo CAA, garante apenas que inclui a CA que a WEMASY usa. Vê o que está incluído em cada plano na página de preços da WEMASY.
O que vem a seguir
Agora que percebes como um registo CAA controla que autoridades de certificação podem emitir certificados SSL para o teu domínio, o próximo capítulo explica os registos SRV. Os registos SRV dizem à internet onde encontrar serviços específicos que correm no teu domínio, como VoIP ou servidores de chat. Para uma visão geral de todos os tipos de registo e de quando usar cada um, vê o capítulo sobre tipos de registos DNS.
Perguntas frequentes
Um registo CAA afeta a velocidade ou a disponibilidade do website?
Não. Os registos CAA só são verificados quando uma autoridade de certificação processa um novo pedido de certificado. Não intervêm na forma como o teu website carrega nem como os visitantes chegam às tuas páginas. A velocidade e a disponibilidade do teu site dependem do teu alojamento, do teu registo A e do desempenho do teu servidor, não das tuas definições CAA. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
O que acontece se não tiver nenhum registo CAA?
Se o teu domínio não tiver registos CAA, todas as autoridades de certificação do mundo podem emitir certificados para ele. Este é o estado predefinido da maioria dos domínios. Não causa nenhum problema imediato, mas significa que não há restrição sobre quem pode obter um certificado SSL em nome do teu domínio.
Posso ter registos CAA em subdomínios?
Sim. Podes definir registos CAA em subdomínios específicos para controlar a emissão de certificados com mais detalhe. Se um subdomínio tiver o seu próprio registo CAA, esse registo tem prioridade sobre o do domínio raiz. Se não existir nenhum registo CAA no subdomínio, a CA verifica os registos CAA do domínio principal.
Como descubro que CA o meu fornecedor de alojamento usa?
A forma mais fácil é verificar o teu certificado SSL atual. Na maioria dos navegadores, podes clicar no ícone do cadeado na barra de endereços, ver os detalhes do certificado e ver que CA o emitiu. Também podes contactar diretamente o teu fornecedor de alojamento. Existem muitas CA, gratuitas e comerciais.
Um registo CAA impede que alguém crie uma versão falsa do meu site?
Um registo CAA torna mais difícil alguém obter um certificado SSL legítimo para o teu domínio numa CA não autorizada. Não impede todas as formas de phishing ou de falsificação de identidade, mas remove um caminho que um atacante poderia seguir. Combinado com palavras-passe fortes, privacidade WHOIS e a conta do teu registador bem protegida, um registo CAA é uma peça de uma configuração de segurança mais ampla.