CAA: ¿quién puede emitir certificados?

Módulo 5: Otros registros · Tiempo de lectura: 6 minutos

Objetivo de aprendizaje: Tras esta lección sabrá leer un registro CAA y sabrá cómo un registro CAA puede bloquear la solicitud de un certificado SSL.

Conceptos clave: CAA, issue, issuewild, iodef, autoridad de certificación (CA), ningún registro CAA significa: cualquiera puede

Un candado de un desconocido

Un certificado SSL (en realidad un certificado TLS) es el responsable del candado en el navegador. Lo emite una autoridad de certificación, abreviado CA: por ejemplo Let's Encrypt, Sectigo, DigiCert o Google Trust Services. Hay decenas de CA en las que confían los navegadores, y en principio cualquiera de ellas puede emitir un certificado para su dominio, siempre que el solicitante demuestre que gestiona el dominio.

Con un registro CAA (Certification Authority Authorization, RFC 8659) puede limitar eso. En el DNS indica qué CA pueden emitir certificados para su dominio. Toda CA está obligada a comprobar ese registro antes de emitir un certificado. Si la CA no figura en él, debe rechazar la solicitud.

Esto protege frente a un certificado emitido a su nombre por una CA descuidada o engañada. Es un candado adicional, no una obligación.

Cómo es un registro CAA

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "sectigo.com"
example.com.  3600  IN  CAA  0 iodef "mailto:beveiliging@example.com"

Un registro CAA consta de tres partes:

Las tres etiquetas que puede encontrar:

• issue: esta CA puede emitir certificados normales (para example.com, www.example.com, etcétera).
• issuewild: esta CA puede emitir certificados comodín (*.example.com). Si no hay issuewild, para los comodines se aplican las reglas de issue.
• iodef: adónde puede enviar una CA un aviso si alguien solicita un certificado que, según su CAA, no está permitido.

Puede tener varias reglas issue: en ese caso, cada CA mencionada puede emitir. Si quiere que nadie emita cierto tipo de certificado, use un valor vacío: 0 issuewild ";" significa "nadie puede emitir comodines".

Sin registro CAA: cualquiera puede

Si su dominio no tiene registro CAA, cualquier CA puede emitir un certificado. Esa es la situación normal para la mayoría de los dominios, y no es incorrecta. CAA es una opción.

Una CA busca el registro CAA en el nombre exacto del certificado. Si no encuentra nada ahí, mira un nivel más arriba, hasta llegar al dominio. Por eso, un registro CAA en example.com también se aplica a shop.example.com, a menos que shop.example.com tenga su propio registro CAA.

Cómo puede CAA bloquear su certificado

Esta es la razón por la que CAA tiene su lugar en un curso para principiantes: un registro CAA puede hacer que su certificado gratuito deje de renovarse, y el mensaje de error no siempre es claro.

Imagine: su sitio web llevaba años funcionando con un certificado de una CA de pago. Alguien creó entonces un registro CAA:

example.com.  CAA  0 issue "sectigo.com"

Ahora se traslada a un hosting que solicita automáticamente certificados de Let's Encrypt. Let's Encrypt comprueba el CAA, ve que solo Sectigo está autorizada y rechaza la solicitud. Su sitio no obtiene certificado y los visitantes ven una advertencia.

La solución: añada la CA que ahora utiliza, o elimine el registro CAA antiguo si ya no lo necesita.

example.com.  CAA  0 issue "sectigo.com"
example.com.  CAA  0 issue "letsencrypt.org"

Si utiliza un servicio que gestiona los certificados por su cuenta, como una plataforma de tienda online o una CDN, consulte qué CA utiliza y añádala. De lo contrario, también bloqueará su certificado.

En la práctica: así se ve en un panel

Como ejemplo usamos la pantalla de DNS de Mi WebOké, que incluye una ayuda de CAA con las CA más conocidas. En DirectAdmin, Cloudflare y la mayoría de los demás paneles se rellenan los mismos tres campos: indicador, etiqueta y valor.

1. Haga clic en Añadir Registro y elija CAA.
2. Deje el nombre en el propio dominio (@).
3. Deje el indicador en 0.
4. Elija la etiqueta issue.
5. Introduzca la CA, por ejemplo letsencrypt.org.
6. Guarde y repita para cada CA que deba poder emitir.

Resumen

• Con un registro CAA determina qué autoridades de certificación pueden emitir certificados para su dominio.
• issue es para certificados normales, issuewild para comodines, iodef para avisos.
• Ningún registro CAA significa: cualquier CA puede. Eso es normal.
• Un registro CAA en el dominio también se aplica a los subdominios que no tengan uno propio.
• Un registro CAA olvidado puede bloquear un certificado nuevo o renovado. Añada la CA que utiliza actualmente.

Cuestionario

Ejercicio

Ejercicio Z5.2: buscar CAA. Busque los registros CAA de wikipedia.org. ¿Qué autoridades de certificación pueden emitir certificados según las reglas issue? Indíquelas todas.

Ejercicio O5.2: configurarlo usted mismo en su zona de práctica. Cree en su zona de práctica, en el propio nombre de la zona (@), dos registros CAA:

• 0 issue ";"
• 0 iodef "mailto:abuse@dnspractice.eu"

La primera regla significa: nadie puede emitir certificados para este nombre. En la zona de práctica eso es precisamente correcto: no hay ningún sitio web real funcionando, así que tampoco debería emitirse ningún certificado, y así nadie puede usar la zona de práctica para conseguir uno. En su dominio real nunca haría esto si usa https; ahí pondría las CA que realmente utiliza, como 0 issue "letsencrypt.org". La regla iodef, en la zona de práctica, apunta a la dirección de aviso del entorno de práctica; en su dominio real pondría su propia dirección.

Después, haga clic en Comprobar.

Para saber más

Estos artículos describen los pasos en los paneles de WebOké; en otros paneles funcionan de forma parecida.

• Manual de WebOké 5.5: Asistentes DNS: MX, SPF, DMARC, CAA y SRV
• Manual de DirectAdmin 6.6: No se consigue emitir el certificado de Let's Encrypt: causas y soluciones
• Activar, renovar y solucionar problemas del certificado SSL