Ajouter des enregistrements CAA à votre domaine

Les enregistrements CAA sont une simple entrée DNS qui limite les autorités de certification autorisées à émettre des certificats TLS pour votre domaine. Sans eux, n'importe quelle autorité de certification au monde peut émettre un certificat pour votre domaine, que vous le sachiez ou non. Voici comment les ajouter en deux minutes.

Ce que signifie ce constat

Un enregistrement DNS CAA (Certification Authority Authorisation) publie une politique que les autorités de certification doivent consulter avant d'émettre un certificat pour votre domaine. En l'absence d'enregistrement CAA, n'importe quelle autorité peut émettre un certificat, ce qui augmente le risque d'émission erronée ou d'émission abusive par une autorité compromise.

Pourquoi c'est important

• Les enregistrements CAA sont consultés par toutes les grandes autorités de certification avant toute émission
• Ils empêchent une autorité de certification malveillante ou compromise d'émettre un certificat pour votre domaine sans autorisation
• Les émissions erronées de certificats sont rares mais se sont déjà produites : les enregistrements CAA sont une défense efficace et peu coûteuse
• Ils sont considérés comme un élément utile dans les évaluations de sécurité des domaines

Ajouter des enregistrements CAA, étape par étape

Étape 1 : identifier l'autorité de certification que vous utilisez

Consultez votre certificat TLS actuel : l'émetteur apparaît via le cadenas de votre navigateur → détails du certificat, ou dans un résultat d'analyse mydomainrisk.com.

Étape 2 : ajouter l'enregistrement DNS CAA

Les enregistrements CAA utilisent le type CAA (ou TYPE257 chez les fournisseurs DNS plus anciens). Le format est le suivant :

yourdomain.com  CAA  0 issue "ca-domain.com"

Valeurs CAA courantes par autorité de certification

Recommandé : ajoutez aussi un enregistrement pour les certificats génériques et une adresse de signalement iodef

yourdomain.com  CAA  0 issue "letsencrypt.org"
yourdomain.com  CAA  0 issuewild "letsencrypt.org"
yourdomain.com  CAA  0 iodef "mailto:security@yourdomain.com"

• issue : autorise l'autorité de certification à émettre des certificats pour un seul nom
• issuewild : autorise l'autorité de certification à émettre des certificats génériques (par exemple *.yourdomain.com)
• iodef : adresse à laquelle l'autorité de certification envoie un signalement en cas de demande non autorisée

Étape 3 : ajouter les enregistrements à votre DNS

Connectez-vous chez votre fournisseur DNS et ajoutez un ou plusieurs enregistrements CAA sur votre domaine racine. Le type d'enregistrement CAA est largement pris en charge : si vous ne le trouvez pas, essayez TYPE257 ou contactez votre fournisseur DNS.

Vérifier que cela fonctionne

Analysez votre domaine sur mydomainrisk.com : le constat CAA apparaîtra comme résolu dès que les enregistrements seront détectés. Vous pouvez aussi vérifier avec :

nslookup -type=CAA yourdomain.com