Defaults.Exposed

Defaults.Exposed › Instellen › CAA

Een CAA-record instellen bij AWS Route 53

Voeg een CAA-record toe bij AWS Route 53 om te bepalen welke certificaatautoriteiten SSL-certificaten voor uw domein mogen uitgeven.

Waarom dit belangrijk is voor uw bedrijf

Een CAA-record (Certification Authority Authorization, een DNS-record dat toestemming regelt) benoemt welke certificaatautoriteiten — de bedrijven die de SSL/TLS-certificaten achter het hangslotje in de browser uitgeven — een certificaat voor uw domein mogen uitgeven. Iedere autoriteit die zich aan de regels houdt, moet dit record eerst controleren en de aanvraag weigeren als ze er niet op staat.

Eenvoudig gezegd: zonder een CAA-record zouden honderden certificaatautoriteiten wereldwijd misleid kunnen worden of een fout kunnen maken en iemand een geldig certificaat voor uw domein in handen geven — waarmee een aanvaller uw website overtuigend kan nabootsen. Een CAA-record sluit die deur door te zeggen: alleen deze autoriteiten, niemand anders. Het is gratis en kost een paar minuten.

Controleer of Route 53 uw DNS beheert

Dit werkt alleen als Route 53 de DNS voor uw domein beantwoordt. In Route 53 staan uw records in een hosted zone voor het domein, en die zone is alleen actief wanneer de naamservers van uw domein naar de vier Route 53-naamservers in de zone wijzen. Open de hosted zone, controleer het NS-record en bevestig dat die naamservers bij uw registrar zijn ingesteld. Wijzen uw naamservers ergens anders heen, voeg het CAA-record dan toe bij de provider die uw DNS beheert.

Ken eerst uw certificaatautoriteit

Voordat u iets toevoegt, zoek uit welke autoriteit uw certificaat uitgeeft, anders sluit u mogelijk uw eigen provider buiten. Veelvoorkomende waarden:

Gebruikt u AWS Certificate Manager om certificaten te leveren, dan moet u amazon.com toestaan, anders kan ACM niet uitgeven. Weet u het niet zeker, vraag het dan aan degene die uw hosting heeft ingericht, of bekijk het certificaat in uw browser (klik op het hangslotje en bekijk de uitgever van het certificaat).

Stap voor stap bij Route 53

  1. Log in bij de AWS Management Console en open Route 53.
  2. Kies in het linkermenu Hosted zones en selecteer vervolgens uw domein.
  3. Klik op Create record.
  4. Laat het veld Record name leeg om het record op de root van uw domein (de apex) toe te passen. Typ hier niet uw domeinnaam.
  5. Stel Record type in op CAA.
  6. Voer in het vak Value het record in op één regel in de drieledige Route 53-indeling: 0 issue "letsencrypt.org" Dat is de flags (0), dan de tag (issue), dan de certificaatautoriteit tussen dubbele aanhalingstekens.
  7. Laat TTL op de standaardwaarde staan (300 seconden is prima).
  8. Kies Simple routing als daarom wordt gevraagd en klik dan op Create records.

Meer dan één certificaatautoriteit toestaan

De meeste domeinen gebruiken in de loop van de tijd meer dan één autoriteit — bijvoorbeeld AWS Certificate Manager voor de ene dienst en Let’s Encrypt voor de andere. In Route 53 voegt u de extra autoriteiten toe als extra regels in het Value-vak van hetzelfde CAA-record, één per regel:

0 issue "amazon.com"
0 issue "letsencrypt.org"

Samen zeggen die: beide autoriteiten zijn toegestaan, geen andere. Elke regel is een aparte issue-vermelding; u zet geen twee autoriteiten op één regel.

Route 53-valkuilen waar mensen instappen

Controleer of het gelukt is

Zodra het record is opgeslagen en doorgevoerd, voert u de gratis controle op deze site uit. Die vertelt u in gewone taal of uw CAA-record aanwezig is en welke autoriteiten u heeft toegestaan.

Klaar? Controleer je domein gratis om te bevestigen dat het werkte — en bekijk je volledige beoordeling over alle 34 controles.