Si vous avez suivi les chapitres sur les types d'enregistrements DNS, vous savez que chaque enregistrement de votre zone DNS a un rôle précis. Les enregistrements A pointent vers des serveurs. Les enregistrements MX acheminent l'e-mail. Les enregistrements TXT gèrent la vérification et la sécurité des e-mails. Un enregistrement CAA fait autre chose. Il contrôle qui a le droit d'émettre des certificats SSL pour votre nom de domaine.
Sans enregistrement CAA, n'importe quelle autorité de certification dans le monde peut émettre un certificat pour votre domaine si quelqu'un en fait la demande. Cela peut sembler anodin, mais cela ouvre la porte à des certificats émis par des autorités que vous n'avez jamais choisies ni approuvées. Ajouter un enregistrement CAA ferme cette porte et vous remet aux commandes.
Que signifie CAA ?
CAA signifie « certificate authority authorization », autorisation de l'autorité de certification. Le nom dit exactement ce que fait l'enregistrement. Il autorise des autorités de certification (AC) précises à émettre des certificats SSL pour votre domaine et dit à toutes les autres de refuser.
Les autorités de certification sont les organisations chargées de vérifier que le propriétaire d'un domaine est bien celui qu'il prétend être, puis d'émettre le certificat SSL qui active le HTTPS. Des dizaines d'AC opèrent dans le monde. Sans enregistrement CAA, votre domaine est ouvert à toutes. Avec un enregistrement CAA, vous choisissez celles qui ont la permission.
À quoi ressemble un enregistrement CAA ?
Un enregistrement CAA a trois parties principales qui fonctionnent ensemble. Voici ce que signifie chacune.
- Flag (indicateur) est un nombre qui contrôle la façon dont l'enregistrement est traité. Dans la plupart des configurations, il vaut 0. Un indicateur de 128 indique à une AC que si elle ne comprend pas la balise de l'enregistrement, elle doit refuser d'émettre le certificat plutôt que d'ignorer l'enregistrement
- Tag (balise) indique à l'AC quel genre de permission ou d'instruction contient cet enregistrement. Il existe trois types de balises, expliqués en détail plus bas
- Value (valeur) est le nom de l'autorité de certification autorisée ou l'adresse de contact pour les signalements. Elle est toujours entre guillemets
Voici à quoi ressemble un enregistrement CAA simple dans un panneau DNS.
- Nom d'hôte réglé sur @
- Type réglé sur CAA
- Flag réglé sur 0
- Tag réglé sur issue
- Valeur réglée sur « letsencrypt.org »
Cet enregistrement dit une seule chose. Seule Let's Encrypt a le droit d'émettre des certificats SSL standard pour ce domaine. Toute autre AC qui reçoit une demande de certificat pour votre domaine doit d'abord consulter vos enregistrements CAA et refuser si elle ne figure pas sur la liste.
Quels sont les trois types de balises d'un enregistrement CAA ?
Chaque enregistrement CAA utilise l'une de trois balises. La balise indique aux autorités de certification quel genre d'instruction contient l'enregistrement.
La balise « issue »
La balise issue est la plus courante. Elle nomme une autorité de certification autorisée à émettre des certificats SSL standard pour votre domaine. Si vous voulez autoriser deux AC différentes, vous ajoutez deux enregistrements CAA séparés, chacun avec la balise issue et un nom d'AC différent.
Par exemple, si votre domaine utilise des certificats de Let's Encrypt et de DigiCert, vous auriez deux enregistrements CAA.
- 0 issue "letsencrypt.org"
- 0 issue "digicert.com"
Si vous voulez bloquer entièrement toute émission de certificat, vous pouvez régler la valeur issue sur un point-virgule sans rien derrière. Cela dit à toutes les AC du monde que personne n'est autorisé à émettre des certificats pour votre domaine.
La balise « issuewild »
La balise issuewild fonctionne comme issue, mais elle ne s'applique qu'aux certificats wildcard. Un certificat wildcard couvre votre domaine principal et tous ses sous-domaines d'un coup (comme *.yourdomain.com).
Si vous définissez un enregistrement issuewild, il contrôle quelles AC peuvent émettre des certificats wildcard, séparément de celles qui peuvent émettre les certificats classiques. C'est utile si vous voulez qu'une AC gère vos certificats standard et une autre vos certificats wildcard, ou si vous voulez bloquer entièrement les certificats wildcard tout en autorisant les standard.
Si aucun enregistrement issuewild n'existe, la balise issue s'applique par défaut aux certificats standard comme aux certificats wildcard.
La balise « iodef »
La balise iodef ne contrôle pas qui peut émettre des certificats. Elle indique aux AC où envoyer un rapport si quelqu'un tente de demander un certificat qui enfreint votre politique CAA.
La valeur est généralement une adresse e-mail ou une URL. Par exemple.
- 0 iodef "mailto:security@yourdomain.com"
Cela signifie que si une AC reçoit une demande de certificat pour votre domaine et que votre enregistrement CAA indique que cette AC n'est pas autorisée, elle doit envoyer une notification à cette adresse e-mail. Toutes les AC ne prennent pas en charge les rapports iodef, mais celles qui le font vous donneront de la visibilité sur les demandes de certificat non autorisées.
Comment ajouter un enregistrement CAA ?
Ajouter un enregistrement CAA suit un processus similaire à l'ajout de n'importe quel autre enregistrement DNS. Si vous avez déjà ajouté un enregistrement TXT ou A, cela vous semblera familier.
- Connectez-vous au panneau de gestion DNS où les serveurs de noms de votre domaine sont définis. C'est généralement votre bureau d'enregistrement ou votre hébergeur
- Trouvez la section des enregistrements DNS ou l'éditeur de zone DNS
- Cliquez sur l'option pour ajouter un nouvel enregistrement
- Sélectionnez CAA comme type d'enregistrement
- Réglez le flag sur 0, sauf si vous avez une raison précise d'utiliser 128
- Choisissez le type de balise. Utilisez « issue » pour les certificats standard, « issuewild » pour les certificats wildcard ou « iodef » pour les rapports de violation
- Saisissez la valeur. Pour issue et issuewild, c'est le nom de domaine de l'AC (comme « letsencrypt.org »). Pour iodef, c'est une adresse e-mail ou une URL de signalement
- Enregistrez
Si vous voulez autoriser plus d'une AC, ajoutez un enregistrement CAA séparé pour chacune. Les changements DNS peuvent prendre de quelques minutes à 48 heures pour se propager. Pour en savoir plus, lisez le chapitre sur le fonctionnement du DNS.
Avez-vous besoin d'un enregistrement CAA ?
Un enregistrement CAA n'est pas obligatoire. Votre domaine fonctionnera très bien sans lui, et votre certificat SSL continuera de fonctionner. Mais en avoir un ajoute une couche utile de sécurité du domaine qui ne coûte rien à mettre en place.
Sans enregistrement CAA, n'importe quelle autorité de certification peut émettre un certificat SSL pour votre domaine si quelqu'un en fait la demande. Dans la plupart des cas, ce n'est pas un problème, car les AC ont leurs propres étapes de vérification. Mais ces étapes ne sont pas infaillibles. Il est arrivé que des certificats soient émis aux mauvaises personnes, par erreur ou via des AC aux processus de validation plus faibles.
Avec un enregistrement CAA en place, seules les AC que vous avez nommées peuvent émettre des certificats. Toutes les autres sont tenues de refuser, même si la personne qui demande le certificat passe leurs contrôles habituels. C'est un petit ajout à votre zone DNS qui réduit toute une catégorie de risques.
Que se passe-t-il si votre enregistrement CAA bloque une demande légitime ?
Si vous ajoutez un enregistrement CAA qui nomme une AC puis essayez d'obtenir un certificat auprès d'une autre AC, la demande échouera. L'AC consultera vos enregistrements CAA, verra qu'elle n'est pas autorisée et refusera d'émettre le certificat.
Ce n'est pas un bug. C'est tout l'intérêt. Mais cela signifie que vous devez garder vos enregistrements CAA en phase avec l'AC qu'utilise votre hébergeur ou votre plateforme de site. Si vous changez d'hébergeur et que le nouveau utilise une autre AC, vous devrez mettre à jour vos enregistrements CAA pour inclure la nouvelle.
La solution est simple. Ajoutez un nouvel enregistrement CAA pour la nouvelle AC ou mettez à jour l'existant. L'essentiel est de vérifier vos enregistrements CAA chaque fois que vous changez de fournisseur SSL ou de configuration d'hébergement.
Comment WEMASY gère les enregistrements CAA
Quand vous créez un site avec WEMASY et que vous connectez un domaine personnalisé, WEMASY met en place et gère automatiquement votre certificat SSL. Si vous voulez ajouter un enregistrement CAA pour plus de sécurité, le guide de configuration de domaine de WEMASY vous indique quelle AC autoriser pour que le renouvellement de votre certificat ne soit jamais bloqué.
WEMASY gère le SSL, l'hébergement et la configuration du domaine au même endroit, donc vous n'avez pas à craindre que des enregistrements CAA mal alignés cassent votre certificat. Si vous ajoutez un enregistrement CAA, veillez simplement à y inclure l'AC qu'utilise WEMASY. Découvrez ce qui est inclus dans chaque offre sur la page tarifs de WEMASY .
La suite
Maintenant que vous savez comment un enregistrement CAA contrôle quelles autorités de certification peuvent émettre des certificats SSL pour votre domaine, le prochain chapitre traite des enregistrements SRV. Les enregistrements SRV indiquent à internet où trouver des services précis qui tournent sur votre domaine, comme la VoIP ou les serveurs de chat. Pour une vue d'ensemble de tous les types d'enregistrements et de leurs usages, consultez le chapitre sur les types d'enregistrements DNS.
Questions fréquentes
Un enregistrement CAA affecte-t-il la vitesse ou la disponibilité de votre site ?
Non. Les enregistrements CAA ne sont consultés que lorsqu'une autorité de certification traite une nouvelle demande de certificat. Ils n'interviennent pas dans le chargement de votre site ni dans la façon dont les visiteurs atteignent vos pages. La vitesse et la disponibilité de votre site dépendent de votre hébergement, de votre enregistrement A et des performances de votre serveur, pas de vos réglages CAA. Avec le créateur de site webde WEMASY, vous pouvez le mettre en place directement sur votre site.
Que se passe-t-il si vous n'avez aucun enregistrement CAA ?
Si votre domaine n'a aucun enregistrement CAA, toutes les autorités de certification du monde sont autorisées à émettre des certificats pour lui. C'est l'état par défaut de la plupart des domaines. Cela ne cause aucun problème immédiat, mais cela signifie qu'aucune restriction ne limite qui peut obtenir un certificat SSL au nom de votre domaine.
Peut-on avoir des enregistrements CAA sur des sous-domaines ?
Oui. Vous pouvez définir des enregistrements CAA sur des sous-domaines précis pour contrôler l'émission de certificats de façon plus fine. Si un sous-domaine a son propre enregistrement CAA, cet enregistrement prime sur celui du domaine racine. Si aucun enregistrement CAA n'existe sur le sous-domaine, l'AC consulte à la place les enregistrements CAA du domaine parent.
Comment savoir quelle AC utilise votre hébergeur ?
Le plus simple est de consulter votre certificat SSL actuel. Dans la plupart des navigateurs, vous pouvez cliquer sur le cadenas dans la barre d'adresse, afficher les détails du certificat et voir quelle AC l'a émis. Vous pouvez aussi contacter directement votre hébergeur. Parmi les AC courantes figurent Let's Encrypt, DigiCert, Sectigo et GlobalSign.
Un enregistrement CAA empêchera-t-il quelqu'un de créer une fausse version de votre site ?
Un enregistrement CAA rend plus difficile pour quelqu'un l'obtention d'un certificat SSL légitime pour votre domaine auprès d'une AC non autorisée. Il n'empêche pas toutes les formes de phishing ou d'usurpation, mais il supprime une voie qu'un attaquant pourrait emprunter. Combiné à des mots de passe solides, à la protection WHOIS et à la sécurité de votre compte chez le bureau d'enregistrement, un enregistrement CAA est une pièce d'un dispositif de sécurité plus large.