Defaults.Exposed › Настройка › CAA

Как да настроите CAA запис в Namecheap

Добавете CAA запис в Namecheap, за да контролирате кои сертифициращи органи имат право да издават SSL сертификати за вашия домейн.

Защо това е важно за вашия бизнес

CAA записът назовава кои сертифициращи органи (компаниите, издаващи SSL/TLS сертификатите зад катинара в браузъра) имат право да издадат сертификат за вашия домейн. Всеки орган, спазващ правилата, трябва да провери първо този запис и да откаже заявката, ако не е в списъка.

Казано простичко: без CAA запис стотици сертифициращи органи по целия свят могат да бъдат излъгани или да направят грешка и да дадат на някой валиден сертификат за вашия домейн — който нападателят може да използва, за да се представи убедително за вашия уебсайт. CAA записът затваря тази врата, казвайки само тези органи, никой друг. Безплатен е и отнема само няколко минути.

Потвърдете, че Namecheap управлява вашия DNS

Това работи само ако Namecheap отговаря на DNS за вашия домейн. Записите по-долу се добавят в Advanced DNS, което е активно само когато домейнът ви използва Namecheap BasicDNS (или PremiumDNS). Влезте, отворете Domain List, кликнете Manage до вашия домейн и проверете, че nameserver-ите са зададени на Namecheap. Ако вашите nameserver-и сочат другаде, добавете CAA записа при доставчика, който всъщност управлява вашия DNS.

Първо узнайте вашия сертифициращ орган

Преди да добавите каквото и да е, разберете кой орган издава вашия сертификат, или рискувате да изключите собствения си доставчик. Често срещани стойности:

• letsencrypt.org — Let’s Encrypt (използван от повечето безплатни и автоматизирани сертификати)
• digicert.com — DigiCert
• sectigo.com — Sectigo
• globalsign.com — GlobalSign
• pki.goog — Google Trust Services
• amazon.com — Amazon (AWS Certificate Manager)

Ако не сте сигурни, попитайте хостинг провайдъра си или проверете сертификата в браузъра (кликнете катинара, след което прегледайте издателя на сертификата).

Стъпка по стъпка в Namecheap

1. Влезте в Namecheap и отворете Domain List.
2. Кликнете Manage до вашия домейн.
3. Отворете раздела Advanced DNS.
4. Под Host Records кликнете Add New Record.
5. Задайте Type на CAA Record.
6. В полето Host въведете: @ Символът @ означава корена на вашия домейн. Не въвеждайте тук домейн-името.
7. В полето Flag въведете: 0
8. В полето Tag изберете: issue
9. В полето Value (CA domain) въведете идентификатора на вашия сертифициращ орган, например: letsencrypt.org
10. Оставете TTL на Automatic.
11. Кликнете зелената отметка за запазване, след което Save All Changes, ако бъдете подканени.

Разрешаване на повече от един сертифициращ орган

Повечето домейни използват повече от един орган с времето — например безплатен сертификат сега и платен по-късно, или различен за отделна услуга. За да разрешите няколко, добавете отделен CAA запис за всеки един. Всички използват едно и също @ за Host, 0 за Flag и issue за Tag — само стойността се променя:

• един запис със стойност letsencrypt.org
• един запис със стойност digicert.com

Взети заедно, те казват и двата органа са разрешени, никой друг. Не ги комбинирайте в един запис.

Грешки, които хората допускат в Namecheap

• Най-голямата грешка е изключването на собствения ви орган. Ако добавите CAA запис, изброяващ само digicert.com, но сертификатът ви действително се подновява чрез Let’s Encrypt, следващото подновяване ще се провали безшумно и катинарът може да спре да работи седмици по-късно. Винаги включвайте всеки орган, който реално използвате, преди да запазите.
• Host е @, не вашият домейн. Въвеждането на пълното домейн-име в полето Host поставя записа на грешното място. Използвайте @ за корена.
• Flag е 0 за нормален запис. Другата стойност, 128, е строг режим, при който несъответстващ орган отказва напълно — използвайте я само съзнателно. За обичайна употреба: 0.
• Използвайте само домейна, без URL. Стойността е letsencrypt.org, никога https://letsencrypt.org и никога www..
• Изберете типа CAA, не TXT. Namecheap разполага с специален тип CAA Record — използвайте него, а не се опитвайте да напишете ръчно CAA в TXT запис.
• Дайте му време. DNS промените могат да отнемат от няколко минути до няколко часа, преди да влязат в сила. Съществуващите сертификати продължават да работят; CAA се проверява само при издаване или подновяване на нов.

Проверете дали е сработило

След запазване и разпространение, стартирайте безплатната проверка на този сайт. Тя ще ви каже на разбираем език дали вашият CAA запис е на място и кои органи сте разрешили.

Готово? Проверете домейна си безплатно за да потвърдите, че е проработило — и вижте пълната си оценка по всички 34 проверки.