Нужна ли мне запись CAA?

Она необязательна, но рекомендуется: снижает риск ошибочного выпуска сертификата УЦ, которым вы не пользуетесь.

Почему после добавления CAA не продлился сертификат?

Используемого вами УЦ нет в списке. Добавьте тег issue с его идентификатором, например letsencrypt.org.

Запись CAA — какие УЦ могут выпускать сертификаты

example.ee.   3600   IN   CAA   0 issue "letsencrypt.org"

Запись CAA (Certification Authority Authorization, RFC 8659) перечисляет удостоверяющие центры, которым разрешено выпускать TLS-сертификаты для домена. Каждый публичный УЦ обязан проверить CAA перед выпуском; если записи есть, а УЦ в них нет, он должен отказать.

issue — УЦ, которым разрешено выпускать сертификаты для имени.
issuewild — УЦ, которым разрешено выпускать wildcard-сертификаты.
iodef — куда УЦ должны сообщать об отклонённых запросах (mailto: или https:).

CAA наследуется: запись на example.ee распространяется и на www.example.ee, если у поддомена нет своих записей CAA. Если записей CAA нет совсем, выпускать сертификаты может любой УЦ.

Частые вопросы

Нужна ли мне запись CAA?: Она необязательна, но рекомендуется: снижает риск ошибочного выпуска сертификата УЦ, которым вы не пользуетесь.
Почему после добавления CAA не продлился сертификат?: Используемого вами УЦ нет в списке. Добавьте тег issue с его идентификатором, например letsencrypt.org.

Что такое запись CAA?

Теги

Частые вопросы

Справочник по записям DNS