Kontrola CAA záznamu

K čemu je CAA záznam a jak zkontrolovat, že ho doména má?

Krátká odpověď

CAA je DNS záznam, kterým doména vyjmenuje certifikační autority oprávněné vystavit pro ni certifikát. Autority ho musí před vydáním přečíst a respektovat. Tegmia se na CAA záznamy dotazuje a hlásí nález s nízkou závažností, když doména nemá žádný záznam s pravidlem issue, issuewild ani iodef — pak jí totiž certifikát může vystavit kterákoli autorita na světě.

Patří do kontroly DNS a ochrana e-mailu.

Co to je

CAA (RFC 8659) nechrání před krádeží klíče, ale zužuje prostor pro vydání certifikátu na vaše jméno jinou cestou — třeba přes zapomenutý účet u jiné autority nebo přes útok na ověření domény.

Je to jediná ochrana tohoto druhu, která funguje preventivně a nic nestojí. Prohlížeč CAA nekontroluje; kontroluje ho autorita před vydáním.

Pravidlo issue povoluje běžné certifikáty, issuewild zástupné (*.vasedomena.cz) a iodef určuje adresu, kam má autorita poslat hlášení o pokusu v rozporu s pravidly.

Jak to Tegmia měří

Co kontrola skutečně dělá, s prahy, na kterých hlásí nález.

V rámci kontroly DNS hygieny se dotazujeme na CAA záznamy domény.
Hlásíme dns.caa_missing, když mezi nalezenými záznamy není žádný s pravidlem issue, issuewild ani iodef.
Když je, nehlásíme nic. Nalezené záznamy jsou v důkazu, takže je vidět, které autority jste povolili.
Když dotaz na CAA nedostane odpověď (vyprší nebo DNS server vrátí chybu), dns.caa_missing nehlásíme a dřívější zjištění necháme, jak je.

Co tím nezměříme

Neporovnáváme povolené autority s tím, kdo váš certifikát skutečně vystavil. Vydavatele vidíme v kontrole certifikátu, ale tyto dva údaje spolu zatím nekonfrontujeme.
Dotazujeme se na zadanou doménu. Autority při vydávání hledají CAA i u nadřazených domén, což z jednoho dotazu nevidíme.

Co z toho může vzejít za zjištění

Přímo z katalogu. Stejný text uvidíte i v hlášení.

Doména nemá CAA záznam

Nízké

dns.caa_missing · DNS a ochrana e-mailu

CAA omezuje, které certifikační autority smí pro vaši doménu vystavit certifikát. Snižuje to riziko, že někdo získá certifikát na vaše jméno.

Co udělat: Přidejte CAA záznam s autoritami, které skutečně používáte, například 0 issue "letsencrypt.org".

Výchozí závažnost nízké: Doladění. Bez bezprostředního rizika, zlepší to celkový stav. Celé pravidlo v katalogu

Typická chybná konfigurace

CAA chybí nejčastěji proto, že ho nikdo nepřidal — záznam je nepovinný a doména bez něj funguje úplně stejně, takže není co by připomnělo jeho absenci.

Když už CAA existuje, bývá chyba v opačném směru: povolí se jediná autorita a pak se certifikát obnovuje přes jinou (nový hosting, CDN, jiná služba) — a vydání selže. Autorita se chová správně, jen nikdo nedoplnil záznam.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

01Zjistěte, které autority pro vás certifikáty skutečně vydávají. Nezapomeňte na CDN a na spravovaný hosting, které si certifikát vystavují samy.
02Přidejte do DNS CAA záznam pro každou z nich, pravidlem issue.
03Používáte-li zástupné certifikáty, přidejte i issuewild. Bez něj je vydání zástupného certifikátu zakázané.
04Zvažte iodef s adresou, kam má autorita hlásit pokus o vydání v rozporu s pravidly.
05Při každé změně poskytovatele certifikátů záznam zkontrolujte dřív, než obnova proběhne.

Jak to vypadá

Hodnoty tak, jak je zapíšete nebo uvidíte.

Povolená jedna autorita

vasedomena.cz.  CAA  0 issue "letsencrypt.org"

S hlášením pokusů

vasedomena.cz.  CAA  0 iodef "mailto:security@vasedomena.cz"

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže výsledek téhle kontroly u vás, včetně důkazu, ze kterého jsme vycházeli.

Zkontrolovat doménu Co všechno kontrolujeme

Situace, které to řeší

Prohlížeč hlásí nedůvěryhodný certifikát
Čtyři různé příčiny varování o certifikátu, jak je od sebe odlišit a co která znamená pro návštěvníky webu.
Expiroval nám certifikát
Jak web rozchodit zpátky, proč obnova nejčastěji selže a jak nastavit hlídání, aby se to neopakovalo.

Související kontroly

Co se k tomu váže a dělá se obvykle spolu.

Kontrola SSL certifikátu
Co se dá o certifikátu zjistit jedním TLS spojením: vydavatel, doménová jména, síla klíče, verze protokolu.
Kontrola platnosti certifikátu
Kdy certifikát vyprší, jak dlouho dopředu hlídáme podle doby jeho platnosti a co se změní se zkracováním maximální platnosti.

Naposledy upraveno 3. listopadu 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.