Site-urile web utilizează certificate SSL de la autorități de certificare (CA) de încredere pentru a proteja informațiile sensibile ale vizitatorilor. Aceste entități terțe verifică identitatea unui site sau a unei companii înainte de a emite certificatul SSL. Cu toate acestea, nu toate CA sunt create la fel, iar unele pot să nu îndeplinească standardele ridicate de securitate stabilite de proprietarul site-ului. Aici intervine o înregistrare CAA.
Acest articol se referă la recordul CAA, de la definiția sa la modul în care funcționează. De asemenea, se discută despre cum să adăugați o înregistrare CA și de ce ați dori să configurați una.
Tabla de conținut
- Ce este un record CAA?
- Exemplu de înregistrare DNS CAA
- Cum funcționează o înregistrare CAA?
- Cum se adaugă o înregistrare CAA?
- De ce ar trebui să adăugați o înregistrare CAA în DNS?
Ce este un record CAA?
O înregistrare CAA (Certificate Authority Authorization) este o înregistrare DNS care permite proprietarului unui site web să specifice ce autorități de certificare (CA) sunt autorizate să emită certificate SSL pentru domeniul său.
Înregistrarea CAA este o înregistrare text adăugată la fișierul de zonă DNS al unui site web și conține una sau mai multe dintre următoarele informații: numele domeniului emitent, steagul și eticheta.
Adăugarea unei înregistrări DNS CAA este o măsură de securitate suplimentară care îmbunătățește fiabilitatea certificatelor SSL, împiedicând emiterea de certificate neautorizate sau frauduloase.
Exemplu de înregistrare DNS CAA
Here’s how a CAA record would look for SSL Dragon in a DNS server:
ssldragon.com . Emiterea CAA 0 „digicert.com”
În acest exemplu, numai DigiCert este autorizat să emită certificate digitale pentru acest domeniu. Celelalte autorități de certificare trebuie să respecte această comandă, altfel riscă să nu se mai aibă încredere în ele. În calitate de proprietar al domeniului, puteți decide câte CA-uri pot emite certificate SSL pentru site-ul dvs. și puteți specifica chiar și tipul de certificat.
Iată un exemplu de înregistrare CAA pentru certificatele wildcard:
ssldragon.com. CAA 0 issuewild „sectigo.com”
În acest caz, numai Sectigo poate emite certificate wildcard pentru ssldragon.com. Conform votului 187 al Forumului CA/Browser, CA trebuie să verifice înregistrările CAA înainte de a emite un certificat SSL.
Acum, că știți ce este o înregistrare CA, este timpul să vă scufundați în funcționarea acesteia.
Cum funcționează o înregistrare CAA?
Să luăm fiecare element al unui record CAA și să îl despărțim. Vom folosi același exemplu ipotetic pentru site-ul SSL Dragon și o înregistrare CAA reală a site-ului Google.com. Îl puteți verifica singur cu ajutorul instrumentului DNS Checker.
ssldragon.com. Emiterea CAA 0 „digicert.com”
Dosarul CAA de mai sus include următoarele părți:
- ssldragon.com – domeniul pe care doriți să îl securizați
- CAA – tipul de înregistrare
- 0 – pavilion
- problemă – etichetă
- Digicert.com – CA autorizat să emită certificate digitale pentru acest domeniu.
Exemplul Google conține și atributul TTL. Vom diseca etichetele, stegulețele, valorile și TTL mai jos:
Steaguri
Un indicator poate avea una dintre cele două stări specifice 1 (critic) sau 0 (necritic), aceasta din urmă fiind valoarea implicită.
- Steagul 1 indică CA că nu poate continua cu emiterea certificatului dacă nu înțelege proprietatea și că ar trebui să notifice proprietarul domeniului prin e-mail cu privire la eșecul verificării înregistrării CAA.
- Marcajul 0 informează CA că poate utiliza orice informație de înregistrare CAA din zona DNS. În cazul în care nu înțelege această înregistrare, poate utiliza o alta din fișierul zonei DNS.
Etichete
O etichetă determină acțiunea pe care o CA autorizată o poate efectua atunci când emite certificate digitale. Cele trei etichete care sunt definite în standardul propus sunt issue, issuewild și iodef. Cu toate acestea, autoritățile de certificare pot, de asemenea, să creeze etichete personalizate pentru a facilita procesul de emitere a certificatelor.
- Eticheta issue autorizează o anumită autoritate de certificare să elibereze certificate obișnuite, de tip non-wildcard, pentru domeniul specificat și toate subdomeniile acestuia.
- Eticheta issuewild autorizează o anumită AC să emită certificate wildcard pentru domeniul în cauză.
- Eticheta iodef (incident object description exchange format) notifică proprietarul domeniului prin e-mail atunci când o cerere de certificat nu trece de verificarea CAA. Iată cum ar trebui să arate sintaxa pentru proprietatea iodef: ssldragon.com. CAA 0 iodef „mailto:[email protected]”.
TTL (time to live) este perioada în secunde în care un server ar trebui să memoreze înregistrarea dvs. CAA.
Cum se adaugă o înregistrare CAA?
Acum că știți elementele unui record CAA, haideți să vă creați propriul record. Având în vedere că există atât de multe modalități de a crea o înregistrare de certificat CAA pentru domeniul dvs., ne vom concentra pe cele două cele mai comune.
Cum să adăugați o înregistrare CAA pe serverul dvs. DNS?
Dacă utilizați propriul server DNS, puteți crea înregistrarea CAA direct în fișierul BIND DNS.
- Utilizați un editor de text, cum ar fi Notepad, pentru a deschide fișierul DNS al domeniului dumneavoastră.
- Adăugați sau actualizați informațiile de înregistrare DNS CAA din fișierul respectiv. Folosiți exemplul de înregistrare CAA pe care l-am oferit mai devreme. Includeți stegulețele, etichetele, valoarea etc.
- Salvați fișierul de zonă cu noua dvs. configurație.
Cum să adăugați o înregistrare CAA în cPanel?
Dacă doriți să adăugați o înregistrare CAA prin intermediul panoului de găzduire, iată cum puteți face acest lucru:
- Autentificați-vă în contul dumneavoastră cPanel
- Din secțiunea Domenii, faceți clic pe Zone Editor
- În dreptul domeniului pentru care doriți să creați o înregistrare CAA, faceți clic pe Gestionare
- În pagina Zone Editor, găsiți butonul Add Record și extindeți-l. Din lista derulantă, selectați Add „CAA” Record
- Acum trebuie să completați câmpurile obligatorii:
- Numele domeniului sau subdomeniului pentru care doriți să adăugați o înregistrare CAA
- Tipul de înregistrare (CAA)
- Indicator (0 sau 1)
- Eticheta (issue, issuewild, iodef)
- Valoarea (numele de domeniu al AC autorizate)
- Faceți clic pe Adăugare înregistrare pentru a finaliza configurarea.
De ce ar trebui să adăugați o înregistrare CAA în DNS?
Până acum, ar trebui să fiți un expert în tot ceea ce înseamnă înregistrări CAA. Dar are site-ul dvs. nevoie de el?
Mai jos am enumerat câteva motive pentru care ați putea lua în considerare configurarea unei înregistrări CA pentru domeniul dumneavoastră:
- Îmbunătățirea securității site-ului web. Prin limitarea numărului de autorități de certificare care pot emite certificate pentru domeniul dumneavoastră, reduceți riscul ca un atacator rău intenționat să obțină un certificat fraudulos pentru site-ul dumneavoastră.
- Conformitatea cu standardele din industrie. Configurarea înregistrărilor DNS CAA face parte din cele mai bune practici din industrie. Forumul CA/Browser și Consiliul pentru standarde de securitate PCI recomandă adăugarea de înregistrări DNS CA și se gândesc să le impună pentru a reduce amenințările la adresa securității web.
- Reducerea riscurilor operaționale. Prin specificarea autorităților de certificare autorizate să emită certificate pentru domeniul dvs., puteți reduce riscul de erori operaționale și configurații greșite care ar putea duce la breșe de securitate sau la întreruperea activității site-ului web.
- Validare SSL mai rapidă. Înregistrările CAA pot reduce timpul de validare SSL. Atunci când o AC primește o cerere de certificat pentru un domeniu, trebuie să verifice dacă există o înregistrare de resurse CAA și dacă AC solicitată este autorizată să emită certificate pentru domeniul respectiv. Furnizarea acestor informații din timp poate accelera procesul de validare.
- Protecția mărcii. Înregistrările CAA vă pot proteja reputația mărcii prin prevenirea emiterii frauduloase de certificate și blocarea atacurilor de phishing sau a altor activități rău intenționate care ar putea afecta reputația mărcii dumneavoastră.
Concluzie
Certificatele SSL sunt acum un element esențial pentru fiecare site web. În timp ce spargerea criptării HTTPS este dincolo de capacitățile umane, atacatorii cibernetici sunt mereu în căutare de modalități inteligente de a vă compromite numele.
Din fericire, înregistrările CAA reprezintă o altă măsură de securitate excelentă pentru a vă proteja identitatea mărcii. Înregistrările CAA vă oferă un control deplin asupra procesului de eliberare a certificatelor.
Economisește 10% la certificatele SSL în momentul plasării comenzii!
Eliberare rapidă, criptare puternică, încredere în browser de 99,99%, suport dedicat și garanție de returnare a banilor în 25 de zile. Codul cuponului: SAVE10
