Концепция
Большинство администраторов знают A/MX/TXT; CAA и правило сосуществования CNAME — это именно то место, где начинается «мастер-уровень». CAA — самый новый широко значимый тип записи, и он определяет, кто вообще имеет право выпускать TLS-сертификат для вашего домена.
Распространённое заблуждение
«CNAME можно добавить рядом с любыми другими записями на этом же имени». Нет — правило RFC гласит, что CNAME должна быть ЕДИНСТВЕННОЙ записью на данном имени. Панели управления DNS у некоторых провайдеров не проверяют это на своей стороне, что и приводит к классической ошибке конфигурации.
Практическое упражнение
Лабораторное окружение не обязательно:
Для практического упражнения по добавлению CAA-записи, ограничивающей выпуск сертификатов одним CA, и проверки правила сосуществования CNAME через dig ANY — см. Урок 4 на странице Лабораторное окружение курса.
Команды для выполнения
# Базовые адресные записи
dig yourdomain.com A
dig yourdomain.com AAAA
# Проверка правила сосуществования CNAME — CNAME должна быть ЕДИНСТВЕННОЙ записью на этом имени
dig www.yourdomain.com CNAME
dig www.yourdomain.com ANY # не должно показывать ничего другого на этом имени
# MX
dig yourdomain.com MX +short
# SRV (пример: сервис объявляет себя через DNS)
dig _sip._tcp.yourdomain.com SRV
# CAA — кто уполномочен выпускать сертификаты для этого домена
dig yourdomain.com CAA +shortДобавьте CAA-запись, ограничивающую выпуск одним CA (например, 0 issue "letsencrypt.org"), затем убедитесь через dig, что она видна, прежде чем полагаться на неё — и учтите, что CAA проверяется CA в момент выпуска, а не браузерами в момент подключения.
Итоговая проверка
Вы должны уметь объяснить, не подглядывая:
iodef в CAA-записи.Если можете ответить на всё без подсказок — переходите к Уроку 5.