如何在 GoDaddy 上設定 CAA 記錄

在 GoDaddy 中新增 CAA 記錄，控制哪些憑證頒發機構可以為你的網域簽發 SSL 憑證。

這對你的業務意味著什麼

CAA（Certification Authority Authorization，憑證頒發機構授權）記錄指定了哪些憑證頒發機構（即簽發瀏覽器網址列掛鎖背後 SSL/TLS 憑證的公司）可以為你的網域簽發憑證。任何守規矩的機構都必須先檢查這條記錄，如果自己不在名單上，就必須拒絕簽發請求。

說得直白一點：沒有 CAA 記錄，全球數百家憑證頒發機構中的任何一家都可能被騙或因失誤而向他人簽發一張針對你網域的有效憑證——攻擊者可以藉此惟妙惟肖地假冒你的網站。CAA 記錄把這扇門關上，等於宣布：只有這幾家機構，其他一概不行。 它免費，幾分鐘就能搞定。

先確認 GoDaddy 在為你解析 DNS

這只有在 GoDaddy 負責回應你網域的 DNS 時才有效。GoDaddy 既賣網域也託管 DNS，但兩者是分開的——你網域的**網域名稱伺服器（nameservers）**必須指向 GoDaddy，你在這裡新增的記錄才會生效。登入後打開你的網域，確認網域名稱伺服器是 GoDaddy 自己的。如果它們指向別處，請到真正負責你 DNS 的服務商那裡新增 CAA 記錄。

先弄清楚你的憑證頒發機構

動手新增之前，先弄清楚是哪家機構在簽發你的憑證，否則你可能會把自己的服務商也擋在門外。常見取值：

letsencrypt.org — Let’s Encrypt（大多數免費及自動化憑證使用）
digicert.com — DigiCert
sectigo.com — Sectigo
globalsign.com — GlobalSign
pki.goog — Google Trust Services
amazon.com — Amazon（AWS Certificate Manager）

如果不確定，可以問搭建你主機環境的人，或在瀏覽器裡查看憑證（點擊掛鎖，再查看憑證的頒發者）。

GoDaddy 上的操作步驟

登入 GoDaddy，打開網域組合（Domain Portfolio）（或我的產品 My Products）。
找到你的網域，打開它的 DNS 管理頁面（找 DNS 或 Manage DNS）。
在記錄列表下方，點擊新增（Add）（或 Add New Record）。
將**類型（Type）**設為 CAA。
在名稱（Name）（或 Host）欄位中輸入： @ @ 代表網域的根。不要在這裡填寫你的網域。
將**旗標值（Flags）**設為： 0
將**標籤（Tag）**設為： issue
在**值（Value）**欄位中填寫你憑證頒發機構的識別符，例如： letsencrypt.org
TTL 保持預設（1 小時即可）。
點擊儲存（Save）。

允許多家憑證頒發機構

大多數網域隨著時間會用到不止一家機構——比如現在用免費憑證、以後用付費憑證，或為另一項服務用另一家。要允許多家，請為每一家各新增一條獨立的 CAA 記錄。它們都使用相同的 @ 名稱、0 旗標值和 issue 標籤，只有值不同：

一條記錄的值為 letsencrypt.org
一條記錄的值為 digicert.com

這兩條合起來表示：這兩家機構都允許，其他都不行。 你不要把它們合併到一條記錄裡。

GoDaddy 上人們常踩的坑

最大的錯誤就是把自己的機構擋在門外。 如果你新增的 CAA 記錄只列了 digicert.com，而你的憑證其實是透過 Let’s Encrypt 續期的，那麼下一次續期就會悄無聲息地失敗，幾週後你的掛鎖可能突然失效。儲存前務必把你真正使用的每一家機構都列進去。
名稱是 @，不是你的網域。 在名稱欄位裡填完整網域會把記錄建到錯誤的位置。根用 @。
旗標值普通記錄用 0。 另一個值 128 是嚴格模式，會讓不合規的機構直接拒絕——只在你有意為之時才用。日常使用填 0。
填裸網域，請勿填入網址。 值是 letsencrypt.org，絕不是 https://letsencrypt.org，也不要帶 www.。
不要自己加引號。 直接填裸值；GoDaddy 會自行處理引號。
給它一點時間。 DNS 變更生效需要幾分鐘到幾個小時不等。已有憑證照常工作；CAA 只在簽發或續期新憑證時才會被檢查。

驗證是否生效

儲存並傳播完成後，運行本站的免費檢測。它會用通俗的語言告訴你 CAA 記錄是否已就位、你允許了哪些機構。

完成了？免費檢查您的網域以確認設置已生效——並查看您在全部 34 項檢查中的完整評級。