Defaults.Exposed › Configuração › CAA

Como configurar um registo CAA na Namecheap

Adicione um registo CAA na Namecheap para controlar que autoridades de certificação podem emitir certificados SSL para o seu domínio.

Porque é que isto importa para o seu negócio

Um registo CAA indica quais as autoridades de certificação (as empresas que emitem os certificados SSL/TLS por trás do cadeado no navegador) que têm permissão para emitir um certificado para o seu domínio. Qualquer autoridade que cumpra as regras tem de consultar primeiro este registo e recusar o pedido caso não conste da lista.

Em termos simples: sem um registo CAA, qualquer uma das centenas de autoridades de certificação espalhadas pelo mundo poderia ser enganada ou cometer um erro e entregar a alguém um certificado válido para o seu domínio — algo que um atacante poderia usar para se fazer passar pelo seu site de forma muito convincente. Um registo CAA fecha essa porta ao dizer só estas autoridades, mais nenhuma. É gratuito e demora alguns minutos.

Confirme que é a Namecheap que gere o seu DNS

Isto só funciona se for a Namecheap a responder ao DNS do seu domínio. Os registos abaixo entram em Advanced DNS, que só está ativo quando o seu domínio usa o Namecheap BasicDNS (ou PremiumDNS). Inicie sessão, abra a Domain List, clique em Manage no seu domínio e verifique se os servidores de nomes estão definidos para a Namecheap. Se os seus servidores de nomes apontarem para outro lado, adicione o registo CAA no fornecedor que efetivamente gere o seu DNS.

Saiba primeiro qual é a sua autoridade de certificação

Antes de adicionar fosse o que for, descubra qual a autoridade que emite o seu certificado, ou arrisca-se a bloquear o seu próprio fornecedor. Valores comuns:

• letsencrypt.org — Let’s Encrypt (usada na maioria dos certificados gratuitos e automáticos)
• digicert.com — DigiCert
• sectigo.com — Sectigo
• globalsign.com — GlobalSign
• pki.goog — Google Trust Services
• amazon.com — Amazon (AWS Certificate Manager)

Se tiver dúvidas, pergunte a quem configurou o seu alojamento, ou verifique o certificado no navegador (clique no cadeado e veja o emissor do certificado).

Passo a passo na Namecheap

1. Inicie sessão na Namecheap e abra a Domain List.
2. Clique em Manage ao lado do seu domínio.
3. Abra o separador Advanced DNS.
4. Em Host Records, clique em Add New Record.
5. Defina o Type do registo como CAA Record.
6. No campo Host, introduza: @ O @ significa a raiz do seu domínio. Não escreva aqui o nome do seu domínio.
7. No campo Flag, introduza: 0
8. No campo Tag, escolha: issue
9. No campo Value (domínio da CA), introduza o identificador da sua autoridade de certificação, por exemplo: letsencrypt.org
10. Deixe o TTL em Automatic.
11. Clique no visto verde para guardar e, se for pedido, em Save All Changes.

Permitir mais do que uma autoridade de certificação

A maioria dos domínios usa mais do que uma autoridade ao longo do tempo — por exemplo, um certificado gratuito hoje e um pago mais tarde, ou um diferente para um serviço separado. Para permitir várias, adicione um registo CAA separado para cada uma. Todas usam o mesmo host @, flag 0 e tag issue — só muda o valor:

• um registo com o valor letsencrypt.org
• um registo com o valor digicert.com

Em conjunto, dizem ambas estas autoridades estão autorizadas, mais nenhuma. Não as combine num único registo.

Erros que as pessoas cometem na Namecheap

• O maior erro é bloquear a sua própria autoridade. Se adicionar um registo CAA que liste apenas digicert.com mas o seu certificado renovar, na verdade, através da Let’s Encrypt, a próxima renovação falhará em silêncio e o cadeado pode deixar de funcionar semanas depois. Inclua sempre todas as autoridades que realmente usa antes de guardar.
• O Host é @, não o seu domínio. Escrever o nome completo do domínio no campo Host cria o registo no sítio errado. Use @ para a raiz.
• Flag é 0 num registo normal. O outro valor, 128, é um modo estrito que faz com que uma autoridade não conforme recuse de imediato — use-o apenas de forma deliberada. Para uso comum, 0.
• Use o domínio simples, não um URL. O valor é letsencrypt.org, nunca https://letsencrypt.org e nunca www..
• Escolha o tipo CAA, não TXT. A Namecheap tem um tipo CAA Record dedicado — use-o em vez de tentar escrever à mão um CAA dentro de um registo TXT.
• Dê-lhe tempo. As alterações de DNS podem demorar de alguns minutos até algumas horas a ficar ativas. Os certificados existentes continuam a funcionar; o CAA só é consultado quando um novo é emitido ou renovado.

Confirme que funcionou

Depois de guardar e propagar, execute a verificação gratuita neste site. Vai dizer-lhe em linguagem simples se o seu registo CAA está em vigor e que autoridades autorizou.

Já está? Analise o seu domínio gratuitamente para confirmar que funcionou — e ver a sua nota completa nas 34 verificações.