Förstå CAA-kontrollfel och hur man löser dem

Lär dig hur du åtgärdar CAA-kontrollfel och säkrar din domän. Den här guiden täcker vanliga problem, DNSSEC-fel och handlingsbara lösningar för TLS certifikat.
Visa alla guider

Översikt

Certification Authority Authorization (CAA)-poster tillåter domänägare att ange vilka certifikatutfärdare (CA) som kan utfärda TLS certifikat för sina domäner.  CAA kräver att en CA måste granska en domäns CAA-post(er) innan certifikat utfärdas. Under CAA-kontrollprocessen måste CA nå en auktoritativ domännamnserver. Om inga CAA-poster finns, kan CA fortsätta om andra verifieringskriterier är uppfyllda. Men om det finns CAA-poster kan CA endast utfärda ett certifikat om det är uttryckligen auktoriserat i en av dessa poster.  Den här guiden beskriver vanliga CAA-kontrollfel, förklarar varför de inträffar och ger åtgärder som kan åtgärdas för att lösa dem. Att säkerställa korrekt CAA-konfiguration hjälper till att säkra din domän och skyddar mot obehörig certifikatutfärdande.

Vad är CAA-kontrollfel?

När en CAA-kontroll misslyckas betyder det att det finns problem med CAA-posterna eller relaterade DNS-inställningar för din domän som hindrar SSL.com från att utfärda ett certifikat. Det finns tre huvudkategorier av CAA-kontrollfel:
  • Nekad: Fel relaterade till explicita CAA-poster som begränsar certifikatutfärdande.
  • DNSSEC: Problem som uppstår från DNSSEC-konfigurationer och svar.
  • Säkerhet: Fel på grund av potentiella säkerhetsbrister, som XSS.

Läs mer om SSL.com:s betrodda certifikat

Orsaker till CAA-kontrollfel

Neka tester

  1. Tomt nummertagg: empty.basic.domainname.com – Misslyckas om CAA-posten är 0 fråga ";", vilket indikerar att ingen CA är tillåten.
  2. Explicit förnekande: Uppstår om CAA-posten uttryckligen inte tillåter utfärdande för utfärdande eller issuewild. Om en CAA-post finns måste den innehålla antingen issue “ssl.com” eller issuewild “ssl.com”.
  3. Skiftlägeskänslighet i ärendetagg: Versaler (versaler-deny.basic.domainname.com) eller blandade versaler (mixedcase-deny.basic.domainname.com) problem med taggar resulterar i misslyckande.
  4. Stora rekorduppsättningar: big.basic.domainname.com – Misslyckas om det finns ett för stort antal CAA-poster (t.ex. 1001).
  5. Okända kritiska egenskaper: critical1.basic.domainname.com och critical2.basic.domainname.com – Misslyckas om det finns okända egenskaper markerade som kritiska.
  6. Trädklättring: Misslyckas när CAA-poster på överordnad nivå (sub1.deny.basic.domainname.com) eller farförälder (sub2.sub1.deny.basic.domainname.com) begränsar utfärdandet.
  7. CNAME-kedjor: Misslyckas om CAA-restriktioner finns för CNAME-mål i en kedja av CNAME, som cname-deny.basic.domainname.com, cname-cname-deny.basic.domainname.com och sub1.cname-deny.basic.domainname.com . Aktuellt beteende för CAA-poster med CNAME är att om du begär ett certifikat för  a.domain.com och det är ett cname-rekord för sub.sub.anotherdomain.com då kontrollerar CAA också upp till rotdomänen för anotherdomain.com för ett CAA-rekord.
  8. Neka över tillåtande förälder: deny.permit.basic.domainname.com – Misslyckas om barnet är begränsat även när föräldern tillåter utfärdande.
  9. IPv6-servrar: ipv6only.domainname.com – Misslyckas om CAA-posten endast är tillgänglig över IPv6 och CA inte kan behandla den.

DNSSEC-fel

  1. Utgångna DNSSEC-signaturer: expired.domainname-dnssec.com – Misslyckas om DNSSEC-signaturer har löpt ut.
  2. Saknade DNSSEC-signaturer: missing.domainname-dnssec.com – Misslyckas om DNSSEC-signaturer saknas.
  3. Ej svarande DNS-server: blackhole.domainname-dnssec.com – Misslyckas om en DNSSEC-valideringskedja leder till en server som inte svarar.
  4. SERVFAIL svar: servfail.domainname-dnssec.com – Misslyckas om DNS-servern svarar med SERVFAIL.
  5. NEJAT Svar: refused.domainname-dnssec.com – Misslyckas om DNS-servern svarar med REFUSED.

Säkerhetskontroller

  1. XSS-sårbarhet: xss.domainname.com – Misslyckas om problem-egenskapen innehåller HTML eller JavaScript, testar mot XSS-sårbarheter.

Speciella och informativa tester

Dessa tester är relevanta i specifika scenarier, som automatiska SAN-kontroller (Subject Alternative Name) eller vissa scenarier för DNS-aliasing. Denna svit säkerställer att CA:er är kompatibla med Baseline Requirements, särskilt när det gäller att inte utfärda certifikat där CAA-begränsningar gäller.

Hur man löser CAA-kontrollfel

Använd dessa steg och verktyg för att lösa CAA-kontrollfel:
  1. Granska CAA Records: Bekräfta att dina CAA-poster uttryckligen tillåter certifikatutfärdaren som utfärdare:  
    1. utfärda "ssl.com" för domänen 
    2. issuewild "ssl.com" för jokerteckencertifikat
  2. Använd kommandot gräv: Detta är ett mångsidigt nätverksverktyg som används för att interagera med DNS-namnservrar. Den utför DNS-frågor och presenterar svaren från servrarna den frågar, vilket gör den till ett ovärderligt verktyg för att diagnostisera och lösa problem relaterade till DNS. till exempel: gräv @1.1.1.1 domain.com CAA. det borde visa sig status:NOERROR
    1. Använda dig-kommandot för underdomäner: För att lösa CAA-kontrollfel för underdomäner som sub2.sub1.example.com med hjälp av gräva kommandot, se till följande: The gräva CAA-kommandot måste återkomma NXDOMAIN or NOERROR om det inte finns någon CAA-post, och detta bör verifieras för varje nivå i domänhierarkin – börja med det fullständiga domännamnet (FQDN) sub2.sub1.example.com, sedan gå upp till sub1.example.com och slutligen på toppdomän example.com. Verifieringsprocessen fortsätter att gå upp till toppdomänen tills den hittar en CAA-post.
      Obs: Aktuellt beteende för CAA-poster med CNAME är att om du begär ett certifikat för  a.domain.com och det är ett cname-rekord för sub.sub.anotherdomain.com då kontrollerar CAA också upp till rotdomänen för anotherdomain.com för ett CAA-rekord.
  3. Använd Oracles delv verktyg: delv är utformad för att felsöka DNS-frågor och validera svar med DNSSEC, som efterliknar beteendet hos en DNS-server som är konfigurerad för validering och vidarebefordran. Den skickar frågor till en specificerad server, inklusive de för DNSKEY- och DS-poster, för att upprätta förtroendekedjor utan att utföra iterativ upplösning. Verktyget tillhandahåller olika frågealternativ, som att logga resolverhämtningar (+[no]rtrace), svarsdetaljer (+[no]mtrace), och valideringsprocesser (+[no]vtrace).
  4. Kontrollera DNSSEC-inställningar: Verktyg som DNSViz or Verisign DNSSEC Analyzer kan hjälpa till att validera din DNSSEC-inställning.
  5. Rådfråga din DNS-leverantör: För DNSSEC-relaterade fel kan din DNS-leverantör hjälpa till med att lösa DNSSEC-signaturer eller konfigurationsproblem.

Ytterligare referenser 

För en praktisk titt på dessa scenarier, besök https://caatestsuite.com/.    

Relaterade SSL.com-guider

Behöver du konfigurera CAA så att SSL.com kan utfärda certifikat för din domän? Sedan snälla granska den här artikeln.
Twitter
Facebook
LinkedIn
reddit
E-post

SSL-supportteam

Alla inlägg »

Håll dig informerad och säker

SSL.com är en global ledare inom cybersäkerhet, PKI och digitala certifikat. Registrera dig för att få de senaste branschnyheterna, tipsen och produktmeddelanden från SSL.com.

SSL.com

Vi vill gärna ha din feedback

Följ vår undersökning och låt oss veta vad du tycker om ditt senaste köp.

Ta undersökning
Sekretessöversikt
SSL.com

Denna webbplats använder cookies så att vi kan ge dig den bästa användarupplevelsen som möjligt. Cookieinformation lagras i din webbläsare och utför funktioner som att känna igen dig när du återvänder till vår webbplats och hjälpa vårt team att förstå vilka delar av webbplatsen du tycker är mest intressant och användbar.

För mer information, läs vår Cookie- och integritetsförklaring.

Tredjepartscookies

Denna webbplats använder Google Analytics & Statcounter för att samla in anonym information som antalet besökare på webbplatsen och de mest populära sidorna.

Att hålla dessa cookies aktiverade hjälper oss att förbättra vår webbplats.

Visa detaljer
powered by  GDPR-efterlevnad av kakor