Defaults.Exposed › Настройка › CAA

Как да настроите CAA запис в GoDaddy

Добавете CAA запис в GoDaddy, за да контролирате кои сертифициращи органи имат право да издават SSL сертификати за вашия домейн.

Защо това е важно за вашия бизнес

CAA записът назовава кои сертифициращи органи (компаниите, издаващи SSL/TLS сертификатите зад катинара в браузъра) имат право да издадат сертификат за вашия домейн. Всеки орган, спазващ правилата, трябва да провери първо този запис и да откаже заявката, ако не е в списъка.

Казано простичко: без CAA запис стотици сертифициращи органи по целия свят могат да бъдат излъгани или да направят грешка и да дадат на някой валиден сертификат за вашия домейн — който нападателят може да използва, за да се представи убедително за вашия уебсайт. CAA записът затваря тази врата, казвайки само тези органи, никой друг. Безплатен е и отнема само няколко минути.

Потвърдете, че GoDaddy управлява вашия DNS

Това работи само ако GoDaddy отговаря на DNS за вашия домейн. GoDaddy продава домейни и хоства DNS, но двете са отделни — nameserver-ите на вашия домейн трябва да сочат към GoDaddy, за да бъдат активни записите, добавени тук. Влезте, отворете вашия домейн и проверете, че nameserver-ите са собствени на GoDaddy. Ако сочат другаде, добавете CAA записа при доставчика, който всъщност управлява вашия DNS.

Първо узнайте вашия сертифициращ орган

Преди да добавите каквото и да е, разберете кой орган издава вашия сертификат, или рискувате да изключите собствения си доставчик. Често срещани стойности:

• letsencrypt.org — Let’s Encrypt (използван от повечето безплатни и автоматизирани сертификати)
• digicert.com — DigiCert
• sectigo.com — Sectigo
• globalsign.com — GlobalSign
• pki.goog — Google Trust Services
• amazon.com — Amazon (AWS Certificate Manager)

Ако не сте сигурни, попитайте хостинг провайдъра си или проверете сертификата в браузъра (кликнете катинара, след което прегледайте издателя на сертификата).

Стъпка по стъпка в GoDaddy

1. Влезте в GoDaddy и отворете Domain Portfolio (или My Products).
2. Намерете вашия домейн и отворете страницата за управление на DNS (потърсете DNS или Manage DNS).
3. Под списъка с записи кликнете Add (или Add New Record).
4. Задайте Type на CAA.
5. В полето Name (или Host) въведете: @ Символът @ означава корена на вашия домейн. Не въвеждайте тук домейн-името.
6. Задайте Flags на: 0
7. Задайте Tag на: issue
8. В полето Value въведете идентификатора на вашия сертифициращ орган, например: letsencrypt.org
9. Оставете TTL по подразбиране (1 час е добре).
10. Кликнете Save.

Разрешаване на повече от един сертифициращ орган

Повечето домейни използват повече от един орган с времето — например безплатен сертификат сега и платен по-късно, или различен за отделна услуга. За да разрешите няколко, добавете отделен CAA запис за всеки един. Всички използват едно и също @ за Name, 0 за Flags и issue за Tag — само стойността се променя:

• един запис със стойност letsencrypt.org
• един запис със стойност digicert.com

Взети заедно, те казват и двата органа са разрешени, никой друг. Не ги комбинирайте в един запис.

Грешки, които хората допускат в GoDaddy

• Най-голямата грешка е изключването на собствения ви орган. Ако добавите CAA запис, изброяващ само digicert.com, но сертификатът ви действително се подновява чрез Let’s Encrypt, следващото подновяване ще се провали безшумно и катинарът може да спре да работи седмици по-късно. Винаги включвайте всеки орган, който реално използвате, преди да запазите.
• Name е @, не вашият домейн. Въвеждането на пълното домейн-име в полето Name поставя записа на грешното място. Използвайте @ за корена.
• Flags е 0 за нормален запис. Другата стойност, 128, е строг режим, при който несъответстващ орган отказва напълно — използвайте я само съзнателно. За обичайна употреба: 0.
• Използвайте само домейна, без URL. Стойността е letsencrypt.org, никога https://letsencrypt.org и никога www..
• Не добавяйте кавички сами. Въведете обикновената стойност; GoDaddy се грижи сам за евентуалното кавичкане.
• Дайте му време. DNS промените могат да отнемат от няколко минути до няколко часа, преди да влязат в сила. Съществуващите сертификати продължават да работят; CAA се проверява само при издаване или подновяване на нов.

Проверете дали е сработило

След запазване и разпространение, стартирайте безплатната проверка на този сайт. Тя ще ви каже на разбираем език дали вашият CAA запис е на място и кои органи сте разрешили.

Готово? Проверете домейна си безплатно за да потвърдите, че е проработило — и вижте пълната си оценка по всички 34 проверки.