CAA Kaydı Nedir ve Nasıl Çalışır?

Web siteleri, ziyaretçilerin hassas bilgilerini korumak için güvenilir Sertifika Yetkililerinden (CA’lar) alınan SSL sertifikalarını kullanır. Bu üçüncü taraf kuruluşlar, SSL sertifikasını vermeden önce bir sitenin veya şirketin kimliğini doğrular. Ancak, tüm CA’lar eşit yaratılmamıştır ve bazıları web sitesi sahibi tarafından belirlenen yüksek güvenlik standartlarını karşılamayabilir. İşte CAA kaydı burada devreye girer.

Bu makale, tanımından nasıl çalıştığına kadar CAA kaydını ele almaktadır. Ayrıca bir CA kaydının nasıl ekleneceği ve neden bir CA kaydı oluşturmak isteyeceğiniz de tartışılmaktadır.

---

İçindekiler

1. CAA Kaydı nedir?
2. CAA DNS Kayıt Örneği
3. CAA Kaydı Nasıl Çalışır?
4. CAA Kaydı Nasıl Eklenir?
5. DNS’e Neden CAA Kaydı Eklemelisiniz?

---

CAA Kaydı Nedir?

CAA (Sertifika Yetkilisi Yetkilendirmesi) kaydı, bir web sitesi sahibinin kendi etki alanı için hangi Sertifika Yetkililerinin (CA ‘ lar) SSL sertifikası vermeye yetkili olduğunu belirtmesine olanak tanıyan bir DNS kaydıdır.

CAA kaydı, bir web sitesinin DNS bölge dosyasına eklenen bir metin kaydıdır ve aşağıdaki bilgilerden bir veya daha fazlasını içerir: düzenleyen alan adı, bayrak ve etiket.

Bir CAA DNS kaydı eklemek, yetkisiz veya sahte sertifikaların verilmesini önleyerek SSL sertifikalarının güvenilirliğini artıran ek bir güvenlik önlemidir.

---

CAA DNS Kayıt Örneği

Bir CAA kaydının DNS sunucusunda SSL Dragon için nasıl görüneceği aşağıda açıklanmıştır:

ssldragon.com . CAA 0 sayısı “digicert.com”

Bu örnekte, yalnızca DigiCert bu etki alanı için dijital sertifika vermeye yetkilidir. Diğer sertifika yetkilileri bu komuta uymalı veya güvenilmeme riskini almalıdır. Etki alanı sahibi olarak, siteniz için kaç CA’nın SSL sertifikası verebileceğine karar verebilir ve hatta sertifika türünü belirleyebilirsiniz.

İşte joker sertifikaları için bir CAA kaydı örneği:

ssldragon.com. CAA 0 issuewild “sectigo.com”

Bu durumda, ssldragon.com için yalnızca Sectigo joker sertifika verebilir. CA/Browser Forum Ballot 187 uyarınca, CA’lar SSL sertifikası vermeden önce CAA kayıtlarını kontrol etmelidir.

Artık bir CA kaydının ne olduğunu bildiğinize göre, işleyişinin derinliklerine dalmanın zamanı geldi.

---

CAA Kaydı Nasıl Çalışır?

Bir CAA kaydının her bir unsurunu ele alalım ve parçalara ayıralım. SSL Dragon web sitesi için aynı varsayımsal örneği ve Google.com’un gerçek bir CAA kaydını kullanacağız. DNS kontrol aracı ile kendiniz bakabilirsiniz.

ssldragon.com. CAA 0 sayısı “digicert.com”

Yukarıdaki CAA kaydı aşağıdaki bölümleri içermektedir:

• ssldragon.com – güvence altına almak istediğiniz alan adı
• CAA – kayıt türü
• 0 – bayrak
• sorun – etiket
• Digicert.com – bu belirli etki alanı için dijital sertifika vermeye yetkili CA.

Google örneği ayrıca TTL özniteliğini de içerir. Aşağıda etiketleri, bayrakları, değerleri ve TTL’yi inceleyeceğiz:

---

Bayraklar

Bir bayrak 1 (kritik) veya 0 (kritik olmayan) olmak üzere iki özel durumdan biri olabilir; ikincisi varsayılan değerdir.

• 1 bayrağı CA’ya, özelliği anlamadığı takdirde sertifikayı vermeye devam edemeyeceğini ve alan adı sahibini CAA kayıt kontrolü hatası hakkında E-posta yoluyla bilgilendirmesi gerektiğini söyler.
• 0 bayrağı CA’ya DNS bölgesindeki herhangi bir CAA kaydı bilgisini kullanabileceğini bildirir. Bu kaydı anlamazsa, DNS bölge dosyasındaki başka bir kaydı kullanabilir.

---

Etiketler

Bir etiket, yetkili bir CA’nın dijital sertifika verirken gerçekleştirebileceği eylemi belirler. Önerilen standartta tanımlanan üç etiket issue, issuewild ve iodef‘tir. Ancak, CA’lar sertifika verme sürecini kolaylaştırmak için kendi özel etiketlerini de oluşturabilirler.

• issue etiketi, belirli bir CA’ya belirtilen etki alanı ve tüm alt etki alanları için normal, joker karakter olmayan sertifikalar verme yetkisi verir.
• issuewild etiketi, belirli bir CA’ya söz konusu etki alanı için joker sertifika verme yetkisi verir.
• iodef (olay nesne açıklaması değişim biçimi) etiketi, bir sertifika isteği CAA kontrolünden geçemediğinde alan adı sahibini e-posta yoluyla bilgilendirir. iodef özelliği için söz diziminin nasıl görünmesi gerektiği aşağıda açıklanmıştır: ssldragon.com. CAA 0 iodef “mailto:[email protected]” .

TTL (time to live), bir sunucunun CAA kaydınızı önbelleğe alması gereken saniye cinsinden süredir.

---

CAA Kaydı Nasıl Eklenir?

Artık bir CAA kaydının unsurlarını bildiğinize göre, kendi kaydınızı oluşturalım. Alan adınız için bir CAA sertifika kaydı oluşturmanın pek çok yolu mevcut olduğundan, en yaygın iki tanesine odaklanacağız.

DNS Sunucunuza CAA Kaydı Nasıl Eklenir?

Kendi DNS sunucunuzu kullanıyorsanız, CAA kaydınızı doğrudan DNS BIND dosyasında oluşturabilirsiniz.

1. Alan adınızın DNS dosyasını açmak için Not Defteri gibi bir metin düzenleyici kullanın.
2. Bu dosyaya DNS CAA kayıt bilgilerini ekleyin veya güncelleyin. Daha önce verdiğimiz CAA kaydı örneğini kullanın. Bayrakları, etiketleri, değeri vb. ekleyin.
3. Bölge dosyasını yeni yapılandırmanızla birlikte kaydedin.

---

cPanel’de CAA Kaydı Nasıl Eklenir?

Hosting paneliniz aracılığıyla bir CAA kaydı eklemek istiyorsanız, bunu nasıl yapacağınız aşağıda açıklanmıştır:

1. cPanel hesabınıza giriş yapın
2. Etki Alanları bölümünden Bölge Düzenleyici‘ye tıklayın
3. CAA kaydı oluşturmak istediğiniz etki alanının yanında Yönet‘e tıklayın
4. Bölge Editörü sayfasında, Kayıt Ekle düğmesini bulun ve genişletin. Açılır listeden “CAA” Kaydı Ekle’yi seçin
5. Şimdi gerekli alanları doldurmanız gerekiyor:
   • CAA kaydı eklemek istediğiniz alan adının veya alt alan adının adı
   • Kayıt türü (CAA)
   • Bayrak (0 veya 1)
   • Etiket (issue, issuewild, iodef)
   • Değer (yetkili CA’nın alan adı)
6. Yapılandırmanızı tamamlamak için Kayıt Ekle’ ye tıklayın.

---

DNS’e Neden CAA Kaydı Eklemelisiniz?

Şimdiye kadar CAA kayıtlarıyla ilgili her konuda uzman olmuş olmalısınız. Peki web sitenizin buna ihtiyacı var mı?

Aşağıda, alan adınız için bir CA kaydı oluşturmayı düşünmenizin birkaç nedenini listeledik:

1. Geliştirilmiş Web Sitesi Güvenliği. Alan adınız için sertifika verebilecek CA’ların sayısını sınırlayarak, kötü niyetli bir saldırganın web siteniz için sahte bir sertifika alma riskini azaltırsınız.
2. Endüstri Standartlarına Uygunluk. CAA DNS kayıtlarının oluşturulması, sektördeki en iyi uygulamaların bir parçasıdır. CA/Browser Forum ve PCI Güvenlik Standartları Konseyi, DNS CA kayıtlarının eklenmesini önermekte ve web güvenliği tehditlerini sıkılaştırmak için bunları zorunlu kılmayı düşünmektedir.
3. Operasyonel Risklerin Azaltılması. Etki alanınız için hangi CA’ların sertifika vermeye yetkili olduğunu belirleyerek, güvenlik ihlallerine veya web sitesinin kapalı kalma süresine yol açabilecek operasyonel hata ve yanlış yapılandırma riskini azaltabilirsiniz.
4. Daha Hızlı SSL Doğrulaması. CAA kayıtları SSL doğrulama süresini kısaltabilir. Bir CA, bir etki alanı için sertifika isteği aldığında, CAA kaynak kaydının mevcut olup olmadığını ve istenen CA’nın bu etki alanı için sertifika vermeye yetkili olup olmadığını kontrol etmelidir. Bu bilgilerin önceden sağlanması doğrulama sürecini hızlandırabilir.
5. Marka Koruması. CAA kayıtları, sahte sertifika verilmesini önleyerek ve marka itibarınıza zarar verebilecek kimlik avı saldırılarını veya diğer kötü niyetli faaliyetleri engelleyerek marka itibarınızı koruyabilir.

---

Son Düşünceler

SSL sertifikaları artık her web sitesinin vazgeçilmez bir unsurudur. HTTPS şifrelemesini kırmak insan becerilerinin ötesinde olsa da, siber saldırganlar her zaman adınızı tehlikeye atmanın akıllıca yollarını ararlar.

Neyse ki, CAA kayıtları marka kimliğinizi korumak için bir başka mükemmel güvenlik önlemidir. CAA kayıtları sertifika düzenleme süreci üzerinde tam kontrol sahibi olmanızı sağlar.