如何在 Namecheap 上設定 CAA 記錄

在 Namecheap 中新增 CAA 記錄，控制哪些憑證頒發機構可以為你的網域簽發 SSL 憑證。

這對你的業務意味著什麼

CAA（Certification Authority Authorization，憑證頒發機構授權）記錄指定了哪些憑證頒發機構（即簽發瀏覽器網址列掛鎖背後 SSL/TLS 憑證的公司）可以為你的網域簽發憑證。任何守規矩的機構都必須先檢查這條記錄，如果自己不在名單上，就必須拒絕簽發請求。

說得直白一點：沒有 CAA 記錄，全球數百家憑證頒發機構中的任何一家都可能被騙或因失誤而向他人簽發一張針對你網域的有效憑證——攻擊者可以藉此惟妙惟肖地假冒你的網站。CAA 記錄把這扇門關上，等於宣布：只有這幾家機構，其他一概不行。 它免費，幾分鐘就能搞定。

先確認 Namecheap 在為你解析 DNS

這只有在 Namecheap 負責回應你網域的 DNS 時才有效。下面的記錄新增在 Advanced DNS 裡，而它只有在你的網域使用 Namecheap BasicDNS（或 PremiumDNS）時才生效。登入後打開網域列表（Domain List），在你的網域上點擊 Manage，確認網域名稱伺服器已設為 Namecheap。如果你的網域名稱伺服器指向別處，請到真正負責你 DNS 的服務商那裡新增 CAA 記錄。

先弄清楚你的憑證頒發機構

動手新增之前，先弄清楚是哪家機構在簽發你的憑證，否則你可能會把自己的服務商也擋在門外。常見取值：

letsencrypt.org — Let’s Encrypt（大多數免費及自動化憑證使用）
digicert.com — DigiCert
sectigo.com — Sectigo
globalsign.com — GlobalSign
pki.goog — Google Trust Services
amazon.com — Amazon（AWS Certificate Manager）

如果不確定，可以問搭建你主機環境的人，或在瀏覽器裡查看憑證（點擊掛鎖，再查看憑證的頒發者）。

Namecheap 上的操作步驟

登入 Namecheap，打開網域列表（Domain List）。
在你的網域旁點擊 Manage。
打開 Advanced DNS 標籤頁。
在 Host Records 下，點擊 Add New Record。
將記錄**類型（Type）**設為 CAA Record。
在 Host 欄位中輸入： @ @ 代表網域的根。不要在這裡填寫你的網域。
在 Flag 欄位中輸入： 0
在 Tag 欄位中選擇： issue
在 Value（CA 網域）欄位中填寫你憑證頒發機構的識別符，例如： letsencrypt.org
TTL 保持為 Automatic。
點擊綠色對勾儲存，如有提示再點 Save All Changes。

允許多家憑證頒發機構

大多數網域隨著時間會用到不止一家機構——比如現在用免費憑證、以後用付費憑證，或為另一項服務用另一家。要允許多家，請為每一家各新增一條獨立的 CAA 記錄。它們都使用相同的 @ 主機、0 旗標值和 issue 標籤，只有值不同：

一條記錄的值為 letsencrypt.org
一條記錄的值為 digicert.com

這兩條合起來表示：這兩家機構都允許，其他都不行。 你不要把它們合併到一條記錄裡。

Namecheap 上人們常踩的坑

最大的錯誤就是把自己的機構擋在門外。 如果你新增的 CAA 記錄只列了 digicert.com，而你的憑證其實是透過 Let’s Encrypt 續期的，那麼下一次續期就會悄無聲息地失敗，幾週後你的掛鎖可能突然失效。儲存前務必把你真正使用的每一家機構都列進去。
主機是 @，不是你的網域。 在 Host 欄位裡填完整網域會把記錄建到錯誤的位置。根用 @。
旗標值普通記錄用 0。 另一個值 128 是嚴格模式，會讓不合規的機構直接拒絕——只在你有意為之時才用。日常使用填 0。
填裸網域，請勿填入網址。 值是 letsencrypt.org，絕不是 https://letsencrypt.org，也不要帶 www.。
選 CAA 類型，不要選 TXT。 Namecheap 有專門的 CAA Record 類型——直接用它，不要試圖手動把 CAA 寫進 TXT 記錄裡。
給它一點時間。 DNS 變更生效需要幾分鐘到幾個小時不等。已有憑證照常工作；CAA 只在簽發或續期新憑證時才會被檢查。

驗證是否生效

儲存並傳播完成後，運行本站的免費檢測。它會用通俗的語言告訴你 CAA 記錄是否已就位、你允許了哪些機構。

完成了？免費檢查您的網域以確認設置已生效——並查看您在全部 34 項檢查中的完整評級。