Bilgi Bankası

CAA Kaydı Nedir? SSL Sertifikası Verebilecek Kuruluşu DNS ile Sınırlama

Kısaca: CAA kaydı, alan adınız için hangi sertifika otoritesinin (CA) SSL sertifikası verebileceğini belirttiğiniz bir DNS kaydıdır. Hiç CAA kaydı yoksa herkese açık her CA sertifika verebilir; örneğin CAA 0 issue "letsencrypt.org" kaydı eklediğinizde yalnızca Let's Encrypt sertifika verebilir. Kayıt, yanlışlıkla veya kötü niyetle başka bir CA'dan sertifika alınması riskini azaltır.

CAA kaydı nedir ve ne işe yarar?

CAA (Certification Authority Authorization), RFC 8659 ile tanımlanan bir DNS kayıt türüdür. Sertifika otoriteleri bir alan adı için sertifika vermeden önce bu kaydı kontrol eder. Kayıtta adı geçmeyen bir CA sertifika vermeyi reddeder. Let's Encrypt belgelerine göre CAA kaydı yoksa herkese açık her CA sertifika verebilir. Diğer DNS kayıt türleri için DNS kayıtları rehberimize, sertifikanın kendisi için SSL sertifikası nedir yazımıza bakabilirsiniz.

CAA kaydı nasıl yazılır?

Bir CAA kaydı üç parçadan oluşur: CAA <bayrak> <etiket> <değer>.

• Bayrak: Genellikle 0 yazılır. 128 değeri "kritik" anlamına gelir; CA tanımadığı bir etiketle karşılaşırsa sertifika vermez.
• Etiket: issue normal sertifikalar için, issuewild joker (wildcard, *.alanadi.com) sertifikalar için izin verir.
• Değer: İzin verilen CA'nın tanımlayıcısıdır ve tırnak içinde yazılır.

Örnek: example.org. CAA 0 issue "letsencrypt.org". Birden fazla CAA kaydı eklerseniz izinler toplanır; her kayıt bir CA daha ekler. Alt alan adları, isim ağacında kendilerine en yakın CAA kaydını kullanır: www.example.org için kayıt yoksa example.org kaydı geçerlidir. Alt alan adına kendi CAA kaydını eklerseniz o kayıt üsttekinin yerini alır. CNAME ile yönlendirilen adlarda hedefteki CAA kayıtları da dikkate alınır.

Tablodaki değerler Let's Encrypt ve Cloudflare belgelerinden alınmıştır. Başka bir CA kullanıyorsanız doğru değeri o CA'nın kendi belgelerinden öğrenin.

Adım adım CAA kaydı ekleme

1. Sertifikanızı veren CA'yı öğrenin. Tarayıcıda adres çubuğundaki kilit simgesinden sertifika ayrıntılarına bakın ya da şu komutu çalıştırın: openssl s_client -connect example.org:443 -servername example.org </dev/null 2>/dev/null | openssl x509 -noout -issuer. Çıktıdaki kuruluş adı sertifikayı veren CA'dır.
2. Mevcut CAA kayıtlarını kontrol edin. dig example.org CAA +short komutu kayıtları listeler; çıktı boşsa CAA kaydı yoktur. Komutun ayrıntıları dig ve nslookup ile DNS kontrolü rehberimizde.
3. DNS'inizi yöneten yeri bulun. Kaydı, alan adınızın nameserver'larının gösterdiği DNS yönetiminde eklemelisiniz. Nasıl bulunacağını nameserver nedir rehberimiz anlatıyor.
4. Kaydı ekleyin. Kayıt türü CAA, ad alan adınızın kendisi, bayrak 0, etiket issue, değer CA tanımlayıcısı (örneğin letsencrypt.org) olacak şekilde girin. Joker sertifika kullanıyorsanız aynı CA için issuewild kaydı da ekleyin. DNS yönetiminizde CAA türü yoksa veya DNS'iniz ÇAP Hosting tarafından yönetiliyorsa destek talebi açarak kaydı ekletebilirsiniz.
5. Kaydı doğrulayın. Birkaç dakika sonra dig example.org CAA +short komutunu tekrar çalıştırın; çıktı 0 issue "letsencrypt.org" gibi görünmelidir.
6. Sertifika yenilemesini takip edin. Bir sonraki yenilemenin sorunsuz geçtiğini kontrol edin. Kullandığınız CA listede yoksa yenileme başarısız olur.

Cloudflare kullanıyorsanız

Cloudflare belgelerine göre Universal SSL kullanan bir alan adına herhangi bir CAA kaydı eklediğinizde Cloudflare, kendi kullandığı CA'lar için CAA kayıtlarını otomatik olarak ekler. Bu kayıtlar panelde görünmez ama dig çıktısında görünür. Bu yüzden dig çıktısında kendi eklemediğiniz kayıtlar görmeniz normaldir.

Sık yapılan hatalar

• Yanlış CA değeri: CA'nın ticari adı yerine belgelerindeki tanımlayıcıyı yazın.
• İkinci CA'yı unutmak: Farklı hizmetler için farklı CA'lar kullanıyorsanız her biri için ayrı issue kaydı ekleyin.
• Joker sertifikayı engellemek: issuewild kaydı varsa joker sertifikalar yalnızca o kayıttaki CA'lardan alınabilir.
• DNS sorgu hataları: Let's Encrypt, CAA sorgusu hata veya zaman aşımıyla sonuçlanırsa sertifika vermez; bu durumda DNS sağlayıcınıza başvurun.

Sık Sorulan Sorular