¿Qué es un registro CAA y para qué sirve?
Un registro CAA permite indicar qué autoridades certificadoras pueden emitir certificados para un dominio. Se utiliza como una medida de control dentro del DNS para expresar qué entidades están autorizadas a emitir certificados.
¿Qué es un registro CAA?
Un registro CAA es una entrada DNS que permite especificar qué autoridades certificadoras pueden emitir certificados para un dominio.
Su objetivo es añadir una política DNS que limite las autoridades certificadoras autorizadas para ese dominio.
CAA añade una política sobre la emisión de certificados
Los certificados digitales permiten establecer conexiones TLS y asociar una identidad con un dominio. CAA permite publicar información DNS relacionada con qué autoridades pueden emitirlos.
CAA funciona desde el DNS
La política se publica como registros DNS y puede ser consultada por una autoridad certificadora durante su proceso de emisión.
La política identifica una autoridad certificadora
El registro puede indicar qué autoridad certificadora está autorizada para emitir certificados para el dominio.
CAA no reemplaza al certificado
El registro CAA no contiene el certificado digital ni activa HTTPS por sí mismo. Su función es expresar una política relacionada con qué autoridades pueden emitir certificados para el dominio.
¿Cómo funciona un registro CAA?
Una autoridad certificadora puede consultar los registros CAA del dominio antes de emitir un certificado y comprobar la política publicada.
Se publica la política
El propietario o administrador del dominio crea uno o varios registros CAA.
Se revisa la política
La autoridad certificadora puede consultar el DNS del dominio para conocer sus registros CAA.
Se comprueba la autorización
La autoridad evalúa la política CAA aplicable antes de continuar con la emisión.
¿Cómo se estructura un registro CAA?
Un registro CAA contiene una etiqueta y un valor asociado con una autoridad certificadora o una política específica.
| Elemento | Ejemplo | Función |
|---|---|---|
| Nombre | ejemplo.cl | Dominio al que se aplica la política. |
| Tipo | CAA | Indica una política de autorización de certificados. |
| Flags | 0 | Campo utilizado para determinadas opciones de la política. |
| Tag | issue | Indica qué tipo de política se está publicando. |
| Value | letsencrypt.org | Valor asociado con la política. |
Ejemplo de un registro CAA
Una configuración básica puede representarse así:
ejemplo.cl. CAA 0 issue "letsencrypt.org"Este ejemplo expresa una política issue cuyo valor es letsencrypt.org.
¿Qué significa issue en CAA?
La etiqueta issue se utiliza para expresar qué autoridad certificadora puede emitir certificados normales para el dominio.
ejemplo.cl. CAA 0 issue "ca.example"El valor concreto debe corresponder con la identificación utilizada por la autoridad certificadora.
¿Qué es issuewild?
La etiqueta issuewild permite definir una política específica para certificados wildcard, es decir, certificados destinados a cubrir subdominios mediante un comodín.
ejemplo.cl. CAA 0 issuewild "ca.example"La política wildcard puede ser diferente de la política utilizada para certificados normales.
¿Qué es iodef en un registro CAA?
La etiqueta iodef permite publicar información destinada a facilitar mecanismos de reporte relacionados con determinados eventos de emisión o incumplimiento de la política.
ejemplo.cl. CAA 0 iodef "mailto:admin@ejemplo.cl"¿Puede un dominio tener varios registros CAA?
Sí. Un dominio puede publicar múltiples registros CAA para definir políticas diferentes.
ejemplo.cl. CAA 0 issue "ca1.example"
ejemplo.cl. CAA 0 issue "ca2.example"
ejemplo.cl. CAA 0 iodef "mailto:admin@ejemplo.cl"La política resultante debe interpretarse de acuerdo con las reglas de CAA y con las instrucciones de las autoridades certificadoras involucradas.
¿Qué aporta CAA a la seguridad de un dominio?
CAA permite expresar desde DNS qué autoridades certificadoras están autorizadas para emitir certificados para el dominio.
Esto puede ayudar a reducir el conjunto de autoridades que deben considerarse autorizadas por la política del dominio.
CAA no reemplaza otras medidas de seguridad, validaciones de control del dominio ni una configuración correcta de TLS.
Problemas comunes al configurar un registro CAA
Escribir incorrectamente el identificador de la CA
El valor debe utilizar la identificación reconocida por la autoridad certificadora correspondiente.
Bloquear accidentalmente una emisión legítima
Una política demasiado restrictiva puede impedir que una autoridad necesaria emita un certificado.
Olvidar los certificados wildcard
Si utilizas certificados wildcard, revisa la política issuewild además de issue.
Crear el CAA en la zona equivocada
Verifica que estás modificando la zona DNS autoritativa que utiliza realmente el dominio.
CAA, TXT y A cumplen funciones diferentes
| Registro | Información | Función |
|---|---|---|
| CAA | Política de certificados | Indica autoridades certificadoras autorizadas. |
| TXT | Texto | Publica información textual para diferentes servicios. |
| A | IPv4 | Relaciona un nombre con una dirección IPv4. |
Más información sobre registros CAA
Puedes consultar nuestra guía sobre qué es un registro DNS para comprender cómo CAA forma parte de la configuración de un dominio.
También puedes revisar la documentación técnica sobre los tipos de registros DNS: referencia de registros DNS .
Preguntas frecuentes sobre el registro CAA
Es un registro DNS que permite indicar qué autoridades certificadoras están autorizadas para emitir certificados para un dominio.
Sirve para publicar una política DNS que identifica las autoridades certificadoras autorizadas para emitir certificados para el dominio.
CAA corresponde a Certificate Authority Authorization y se utiliza para expresar políticas sobre qué autoridades pueden emitir certificados.
issue se utiliza para indicar qué autoridad certificadora puede emitir certificados normales para el dominio.
issuewild permite establecer una política específica para la emisión de certificados wildcard.
Sí. Un dominio puede tener múltiples registros CAA para expresar diferentes políticas relacionadas con la emisión de certificados.
No. CAA es una política DNS relacionada con la emisión de certificados y no contiene ni reemplaza el certificado digital utilizado por el sitio.
Una política incorrecta puede impedir que una autoridad certificadora autorizada pueda emitir o renovar un certificado para el dominio.
Aprende cómo cambiar los DNS de un dominio
Descubre cómo modificar la configuración DNS de un dominio y qué debes comprobar antes de realizar el cambio.
Cambiar los DNS →