Defaults.Exposed › Configurazione › CAA

Come configurare un record CAA su Namecheap

Aggiungi un record CAA in Namecheap per controllare quali autorità di certificazione possono emettere certificati SSL per il tuo dominio.

Perché è importante per la tua azienda

Un record CAA indica quali autorità di certificazione (le aziende che emettono i certificati SSL/TLS dietro il lucchetto nel browser) possono emettere un certificato per il tuo dominio. Ogni autorità che rispetta le regole deve consultare prima questo record e rifiutare la richiesta se non è nell’elenco.

In parole semplici: senza un record CAA, una qualunque delle centinaia di autorità di certificazione nel mondo potrebbe essere ingannata o commettere un errore e rilasciare a qualcuno un certificato valido per il tuo dominio — che un malintenzionato potrebbe usare per impersonare il tuo sito in modo molto convincente. Un record CAA chiude questa porta dicendo solo queste autorità, nessun’altra. È gratuito e richiede pochi minuti.

Verifica che sia Namecheap a gestire il tuo DNS

Funziona solo se è Namecheap a rispondere al DNS per il tuo dominio. I record qui sotto vanno in Advanced DNS, attivo solo quando il tuo dominio usa il BasicDNS di Namecheap (o PremiumDNS). Accedi, apri Domain List, clicca Manage sul tuo dominio e controlla che i nameserver siano impostati su Namecheap. Se i tuoi nameserver puntano altrove, aggiungi il record CAA presso il provider che gestisce davvero il tuo DNS.

Identifica prima la tua autorità di certificazione

Prima di aggiungere qualunque cosa, scopri quale autorità emette il tuo certificato, altrimenti rischi di escludere il tuo stesso provider. Valori comuni:

• letsencrypt.org — Let’s Encrypt (usata dalla maggior parte dei certificati gratuiti e automatizzati)
• digicert.com — DigiCert
• sectigo.com — Sectigo
• globalsign.com — GlobalSign
• pki.goog — Google Trust Services
• amazon.com — Amazon (AWS Certificate Manager)

Se non sei sicuro, chiedi a chi ha configurato il tuo hosting, oppure controlla il certificato nel browser (clicca sul lucchetto, poi visualizza l’emittente del certificato).

Passo dopo passo su Namecheap

1. Accedi a Namecheap e apri Domain List.
2. Clicca Manage accanto al tuo dominio.
3. Apri la scheda Advanced DNS.
4. Sotto Host Records, clicca Add New Record.
5. Imposta il Tipo di record su CAA Record.
6. Nel campo Host, inserisci: @ La @ indica la radice del tuo dominio. Non digitare qui il nome del tuo dominio.
7. Nel campo Flag, inserisci: 0
8. Nel campo Tag, scegli: issue
9. Nel campo Value (dominio CA), inserisci l’identificatore della tua autorità di certificazione, per esempio: letsencrypt.org
10. Lascia TTL su Automatic.
11. Clicca il segno di spunta verde per salvare, poi Save All Changes se richiesto.

Consentire più di un’autorità di certificazione

La maggior parte dei domini usa più di un’autorità nel tempo — per esempio un certificato gratuito oggi e uno a pagamento più avanti, oppure un’altra per un servizio separato. Per consentirne più di una, aggiungi un record CAA separato per ciascuna. Usano tutte lo stesso host @, flag 0 e tag issue — cambia solo il valore:

• un record con valore letsencrypt.org
• un record con valore digicert.com

Insieme significano entrambe queste autorità sono consentite, nessun’altra. Non vanno combinate in un unico record.

Errori frequenti su Namecheap

• L’errore più grave è escludere la propria autorità. Se aggiungi un record CAA che elenca solo digicert.com ma il tuo certificato si rinnova in realtà tramite Let’s Encrypt, il prossimo rinnovo fallirà silenziosamente e il lucchetto potrebbe smettere di funzionare dopo settimane. Includi sempre ogni autorità che usi davvero prima di salvare.
• L’host è @, non il tuo dominio. Digitare il nome completo del dominio nel campo Host crea il record nel posto sbagliato. Usa @ per la radice.
• Il flag è 0 per un record normale. L’altro valore, 128, è una modalità rigida che fa rifiutare del tutto un’autorità non conforme — usalo solo deliberatamente. Per l’uso comune, 0.
• Usa il dominio nudo, non un URL. Il valore è letsencrypt.org, mai https://letsencrypt.org e mai www..
• Scegli il tipo CAA, non TXT. Namecheap ha un tipo dedicato CAA Record — usalo invece di provare a scrivere a mano un CAA dentro un record TXT.
• Dagli tempo. Le modifiche DNS possono richiedere da pochi minuti fino a un paio d’ore per avere effetto. I certificati esistenti continuano a funzionare; il CAA viene controllato solo quando se ne emette o rinnova uno nuovo.

Verifica che abbia funzionato

Una volta salvato e propagato, esegui il controllo gratuito su questo sito. Ti dirà in parole semplici se il tuo record CAA è in posizione e quali autorità hai consentito.

Fatto? Verifica il tuo dominio gratis per confermare che ha funzionato — e vedere il tuo voto completo su tutti e 34 i controlli.