Defaults.Exposed

Defaults.Exposed › Исправления › Записи CAA

Как исправить Записи CAA

Запись CAA — это короткая инструкция в настройках вашего домена, которая называет, какие сертификационные компании вправе выпускать «замочковый» сертификат безопасности для вашего сайта. С ней никакая другая компания не сможет тихо создать действующий сертификат от вашего имени.

Главное для вашего бизнеса: Без записи CAA почти любая из сотен сертификационных компаний мира может выпустить настоящий, полностью доверенный «замочковый» сертификат для вашего домена — позволяя мошеннику поднять безупречный, полностью «защищённым» на вид клон вашего сайта, чтобы собирать логины и данные карт ваших клиентов, без единого предупреждения на экране.

Во что это может вам обойтись

Почему это важно. Прямо сейчас дверь распахнута настежь: любая сертификационная компания на Земле может поручиться за сайт, утверждающий, что он ваш, имели вы с ней дело или нет. Запись CAA запирает эту дверь, чтобы выпускать сертификаты мог только выбранный вами провайдер — это самая простая и дешёвая защита от того, чтобы кто-то выдавал себя за ваш бизнес в сети.

Записи CAA, простыми словами

У каждого защищённого сайта есть сертификат — то, что стоит за замочком в браузере и за «https» в начале вашего адреса. Эти сертификаты выдают специализированные фирмы, называемые центрами сертификации (CA): имена вроде Let’s Encrypt, DigiCert, Sectigo, Google Trust Services. Когда браузер видит действующий сертификат, он показывает замочек и сообщает клиенту, что соединение подлинное и защищённое.

Вот часть, о которой большинству владельцев бизнеса никогда не говорили: по умолчанию сотни этих центров сертификации по всему миру каждый вправе выпустить сертификат для вашего домена — слышали вы о них когда-нибудь или нет. Запись CAA (Certification Authority Authorization) — это однострочная пометка, которую вы добавляете в настройки DNS вашего домена и которая по сути говорит: «выпускать сертификаты для меня вправе только эти провайдеры». Каждый легитимный центр сертификации обязан правилами отрасли проверить эту пометку перед выпуском — и отказать, если его нет в вашем списке.

Это разница между незапертой входной дверью, в которую может войти кто угодно, и дверью, ключ от которой есть только у выбранных вами людей. И добавление ничего не стоит.

Во что это может вам обойтись

Риск, который закрывает запись CAA, — это убедительная подмена. Когда мошенник может получить настоящий сертификат для копии вашего сайта, обычные тревожные признаки исчезают — нет сломанного замочка, нет баннера «не защищено», нет ошибки сертификата. Всё выглядит правильно, и именно это делает это опасным.

Ничто из этого не требует изощрённой атаки на ваши серверы. Они используют то, что без записи CAA вся система сертификатов попросту слишком доверчива от вашего имени.

Что это на самом деле и как выглядит «хорошо»

Запись CAA живёт в DNS вашего домена — тех же настройках, что указывают домену на ваш сайт и почту. У каждой записи три части: флаг, тег и значение. Значимые теги:

Как выглядит «хорошо»: присутствует хотя бы одна запись issue (или issuewild), называющая провайдера(ов), которыми вы реально пользуетесь, при этом wildcard либо ограничены названным провайдером, либо заблокированы. Это и есть планка, которую измеряет проверка — она ищет записи CAA вашего домена через несколько независимых резолверов и проходит, когда находит действующую политику issue или issuewild. Домен без записей CAA вообще трактуется как та самая открытая дверь.

Влияет ли это на мою оценку? Да. Отсутствующая запись CAA — это оценочный пункт, помеченный средней серьёзностью — это настоящий пробел, а не просто приятное дополнение, потому что оставляет открытым реальный путь к подмене. Добавление записи закрывает пробел и снимает находку.

Как это исправить (бесплатно, ~5 минут)

Передайте этот раздел тому, кто управляет вашим доменом или сайтом, — исправление бесплатно. Это небольшое изменение DNS, а не перестройка. Мы берём оплату лишь если вы позже захотите, чтобы мы следили за тем, что запись остаётся на месте; добавление ничего не стоит.

Шаг 1 — Выясните, каким центром сертификации вы реально пользуетесь. Это единственный шаг, который стоит сделать правильно, потому что указание неверного провайдера может заблокировать следующее продление. Распространённые случаи:

Если не уверены, посмотрите ваш текущий сертификат в браузере (клик по замочку → детали сертификата → «Выдан кем»), чтобы увидеть, кто его выпустил.

Шаг 2 — Войдите в вашего DNS-провайдера. Это там, где живут записи вашего домена — обычно ваш регистратор, веб-хост или Cloudflare. Найдите раздел записей DNS и выберите добавить новую запись типа CAA (некоторые интерфейсы помечают её как тип 257).

Шаг 3 — Добавьте запись issue для каждого используемого провайдера. Для Let’s Encrypt, например:

example.com.   CAA   0 issue "letsencrypt.org"

Добавьте по одной строке issue на каждого законного провайдера. Большинство панелей DNS дают отдельные поля для флага (0), тега (issue) и значения (домен CA), так что всю строку вручную набирать не придётся.

Шаг 4 — Управляйте wildcard-сертификатами. Если вы не используете wildcard, заблокируйте их полностью, чтобы никто не смог тихо его получить:

example.com.   CAA   0 issuewild ";"

Если вы используете wildcard, вместо этого назовите провайдера: 0 issuewild "letsencrypt.org".

Шаг 5 — (Рекомендуется) Добавьте адрес для уведомлений. Чтобы вам сообщали всякий раз, когда CA отклоняет попытку, — ваше раннее предупреждение, что кто-то пытался:

example.com.   CAA   0 iodef "mailto:[email protected]"

Шаг 6 — Сохраните и проверьте. Запустите dig CAA example.com (или используйте любой онлайн-инструмент поиска DNS) и убедитесь, что ваши записи появляются. Изменения могут расходиться по интернету от нескольких минут до нескольких часов. Ваш текущий сертификат и все продления продолжают работать всё это время — CAA регулирует только новый выпуск.

Быстрые заметки по платформам: В Cloudflare — DNS → Records → Add record → тип CAA. В Google Workspace вы управляете DNS у регистратора (или в Cloud DNS, если используете его) — добавьте записи CAA там с pki.goog. В Microsoft 365 CAA не задаётся в админ-центре M365; добавьте её там, где размещён DNS вашего домена, перечислив CA вашего управляемого сертификата (обычно DigiCert). На распространённых хостах (GoDaddy, Namecheap и т. д.) это в той же панели DNS, где живут ваши записи A и MX.

Частые ошибки

Технический слой (передайте вашему ИТ-специалисту)

CAA определён в RFC 8659 и обеспечивается под Baseline Requirements CA/Browser Forum — каждый публично доверенный CA обязан проверять CAA в момент выпуска. Записи имеют форму <flags> <tag> <value> с тегами issue, issuewild и iodef. Эту проверку удовлетворяет непустая политика issue или issuewild; наличия одного iodef недостаточно (это отчётность, а не авторизация).

Надёжная база на апексе:

example.com.   CAA   0 issue "letsencrypt.org"
example.com.   CAA   0 issuewild ";"
example.com.   CAA   0 iodef "mailto:[email protected]"

Заметки для реализующего:

Настройте это у своего хостинг-провайдера

Пошагово для популярных провайдеров:

Частые вопросы

Я не технарь — могу ли я разобраться с этим сам?

Детали понимать вам не нужно, но исправление — небольшое изменение в настройках DNS вашего домена, поэтому его лучше передать тому, кто управляет вашим сайтом или доменом. Отправьте им раздел «Как это исправить» ниже — это пятиминутное бесплатное изменение. Мы берём оплату лишь если вы позже захотите, чтобы мы следили за тем, что запись остаётся на месте; само исправление всегда бесплатно.

Не сломает ли добавление этого мой сайт или сертификат?

Нет — пока вы перечисляете сертификационного провайдера, которым реально пользуетесь, всё продолжает работать ровно как раньше. Запись CAA не трогает и не заменяет ваш текущий сертификат; она лишь регулирует, кому позволено создавать новые. Единственный способ навлечь проблему — не указать в списке вашего настоящего провайдера, что может заблокировать следующее автоматическое продление, — шаги ниже написаны специально, чтобы этого избежать.

Если сертификаты сегодня выпускаются автоматически, зачем мне это всё равно нужно?

Автоматические сертификаты — это хорошо и удобно; проблема в том, что система по умолчанию открыта для всех, включая того, кто выдаёт себя за вас. Запись CAA просто называет, кому позволено, превращая открытую дверь в дверь с вашим собственным замком. Она работает вместе с автоматическим выпуском, а не против него.

Влияет ли это на ранжирование в Google или на мою оценку в этом отчёте?

Это влияет на вашу оценку безопасности здесь — отсутствующая запись CAA является оценочным пунктом, помеченным как пробел средней серьёзности, потому что оставляет открытым реальный путь к подмене. Это не прямой фактор ранжирования Google, но подмена и фишинг, которые она предотвращает, — ровно те инциденты, что бьют по доверию и трафику. В любом случае это быстрая и бесплатная победа.

В чём разница между «issue» и «issuewild»?

Запись «issue» управляет обычными сертификатами для вашего домена и его поддоменов. Запись «issuewild» управляет wildcard-сертификатами — единым сертификатом, покрывающим сразу все возможные поддомены (вроде *.example.com). Wildcard-сертификаты мощнее и потому опаснее в чужих руках, поэтому хорошая практика — управлять ими отдельно: если вы не используете wildcard, заблокируйте их полностью.

Мы используем Cloudflare / Google Workspace / Microsoft 365 — это уже покрывает это?

Не автоматически. Эти платформы управляют вашими сертификатами, но пока вы явно не добавили записи CAA, ваш домен всё ещё сообщает миру «любой центр может выпускать». Хорошая новость в том, что исправление — то же простое изменение DNS на всех них, и там, где Cloudflare или ваш хост выпускает ваш сертификат, вы просто указываете этого провайдера. Заметки по платформам в разделе исправления покрывают распространённые случаи.