Defaults.Exposed › Beállítás › CAA

Hogyan állítsunk be CAA rekordot Namecheap-en

Adj hozzá CAA rekordot a Namecheap-en, hogy meghatározd, melyik tanúsítványkiadó hatóságok adhatnak ki SSL-tanúsítványt a domainedhez.

Miért fontos ez a vállalkozásod szempontjából

A CAA rekord megnevezi azokat a tanúsítványkiadó hatóságokat (a böngészők lakat ikonja mögötti SSL/TLS tanúsítványokat kiállító cégeket), amelyek jogosultak tanúsítványt kiadni a domainedhez. Minden szabályokat betartó hatóságnak előbb ellenőriznie kell ezt a rekordot, és vissza kell utasítania a kérést, ha a kiadó nincs a listán.

Egyszerűen fogalmazva: CAA rekord nélkül a világ bármely száz tanúsítványkiadójából bármelyiket becsaphatják, vagy hibát követhet el, és érvényes tanúsítványt adhat ki a domainedhez — amit egy támadó felhasználhat arra, hogy meggyőzően megszemélyesítse a weboldaladat. A CAA rekord bezárja ezt az ajtót azzal, hogy kimondja: csak ezek a hatóságok, senki más. Ingyenes, és csupán néhány percet vesz igénybe.

Ellenőrizd, hogy a Namecheap kezeli-e a DNS-edet

Ez csak akkor működik, ha a Namecheap szolgálja ki a domainedet. Az alábbi rekordok az Advanced DNS-ben kerülnek be, amely csak akkor él, ha a domainedet Namecheap BasicDNS (vagy PremiumDNS) használja. Jelentkezz be, nyisd meg a Domain List részt, kattints a Manage gombra a domainedet mellett, és ellenőrizd, hogy a névszerverek a Namecheap-re vannak-e beállítva. Ha a névszerverek máshova mutatnak, a CAA rekordot annál a szolgáltatónál add hozzá, amelyik a DNS-edet kezeli.

Először ismerd meg a tanúsítványkiadódat

Mielőtt bármit hozzáadsz, derítsd ki, melyik hatóság adja ki a tanúsítványodat, különben kizárhatod a saját szolgáltatódat. Általános értékek:

• letsencrypt.org — Let’s Encrypt (a legtöbb ingyenes és automatizált tanúsítvány)
• digicert.com — DigiCert
• sectigo.com — Sectigo
• globalsign.com — GlobalSign
• pki.goog — Google Trust Services
• amazon.com — Amazon (AWS Certificate Manager)

Ha nem vagy biztos benne, kérdezd meg azt, aki a tárhelyedet beállította, vagy ellenőrizd a tanúsítványt a böngésződben (kattints a lakat ikonra, majd nézd meg a tanúsítvány kiállítóját).

Lépésről lépésre Namecheap-en

1. Jelentkezz be a Namecheap-re, és nyisd meg a Domain List részt.
2. Kattints a domainedet melletti Manage gombra.
3. Nyisd meg az Advanced DNS lapot.
4. A Host Records alatt kattints az Add New Record gombra.
5. Állítsd be a rekord Type értékét CAA Record-ra.
6. A Host mezőbe írd be: @ A @ a domainedet jelenti gyökérszinten. Ne írd be a domainnevedet ide.
7. A Flag mezőbe írd be: 0
8. A Tag mezőben válaszd: issue
9. A Value (CA domain) mezőbe írd be a tanúsítványkiadó azonosítóját, például: letsencrypt.org
10. A TTL értékét hagyd Automatic-on.
11. Kattints a zöld pipára a mentéshez, majd az Save All Changes gombra, ha megjelenik.

Több tanúsítványkiadó engedélyezése

A legtöbb domain idővel egynél több hatóságot vesz igénybe — például ma egy ingyenes tanúsítványt, később egy fizetoset, vagy különböző szolgáltatásokhoz különbözőt. Ha többet szeretnél engedélyezni, adj hozzá minden egyes hatósághoz külön CAA rekordot. Mindegyik ugyanazt a @ gazdát, 0 flagset és issue taget használja — csak az érték változik:

• egy rekord letsencrypt.org értékkel
• egy rekord digicert.com értékkel

Együttesen azt mondják: mindkét hatóság jogosult, más nem. Nem kell őket egyetlen rekordba kombinálni.

Namecheap-specifikus hibák, amelyeket sokan elkövetnek

• A legnagyobb hiba a saját hatóság kizárása. Ha olyan CAA rekordot adsz hozzá, amely csak a digicert.com-ot listázza, de a tanúsítványod valójában a Let’s Encrypt-en keresztül újul meg, a következő megújítás csendben meghiúsul, és a lakat ikon hetek múlva megszűnhet. Mindig adj meg minden hatóságot, amelyet valóban használsz, mielőtt mentesz.
• A Host értéke @, nem a domainedet. Ha a teljes domainnevedet írod be a Host mezőbe, a rekord rossz helyre kerül. Használj @-t a gyökérhez.
• A Flag értéke normál rekordnál 0. A másik értéket (128) egy szigorú módhoz használják — csak szándékosan használd. Általános használathoz: 0.
• Csak a csupasz domainnevet adj meg, ne URL-t. Az érték letsencrypt.org, soha nem https://letsencrypt.org és soha nem www..
• Válaszd a CAA típust, ne a TXT-t. A Namecheap-nek van egy dedikált CAA Record típusa — használd azt, ne próbálj CAA rekordot kézzel TXT rekordként megadni.
• Adj időt neki. A DNS változtatások néhány perctől akár néhány óráig is tarthatnak, mire érvénybe lépnek. A meglévő tanúsítványok továbbra is működnek; a CAA-t csak új tanúsítvány kiadásakor vagy megújításakor ellenőrzik.

Ellenőrizd, hogy működik-e

Mentés és propagálás után futtasd az ingyenes ellenőrzést ezen az oldalon. Egyszerű nyelven megmondja, hogy a CAA rekordod a helyén van-e, és melyik hatóságokat engedélyezted.

Kész? Ellenőrizd a domainjedet ingyen hogy megbizonyosodj róla, hogy működött — és lásd teljes értékelésed mind a 34 ellenőrzésen.