Een CAA-record is een regel in de DNS van je domein waarin staat welke certificaatautoriteiten een SSL-certificaat voor dat domein mogen uitgeven. CAA staat voor Certification Authority Authorization. Staat er alleen letsencrypt.org in, dan hoort elke andere uitgever de aanvraag te weigeren.
Dat is belangrijk omdat een geldig certificaat veel vertrouwen geeft. Wie erin slaagt een certificaat op jouw domeinnaam te laten uitgeven, kan een nepversie van je webmail of webshop opzetten die er in de browser volkomen legitiem uitziet. Een CAA-record maakt de kring van partijen die dat mogen uitgeven zo klein mogelijk. Het kost een paar minuten en verandert niets aan je bestaande site.
In de praktijk zet je bij je domeinbeheerder een record van het type CAA neer met daarin de uitgever die je echt gebruikt. Gebruik je meerdere leveranciers, zet ze er dan allemaal in, anders mislukt een verlenging. Handig is ook het iodef-veld: daarin zet je een mailadres waarop je een melding krijgt als iemand toch een aanvraag probeert te doen.
Wat OkayICT hierin doet: Wij zetten DNS en certificaten strak neer en controleren of niemand anders op jouw domein iets kan aanvragen.
Meer lezen: Wat is DNS? · Wat is een certificaatautoriteit?
