Si has seguido los capítulos sobre los tipos de registros DNS, sabes que cada registro de tu zona DNS cumple una función concreta. Los registros A apuntan a servidores. Los registros MX enrutan el correo. Los registros TXT se ocupan de la verificación y la seguridad del correo. Un registro CAA hace algo distinto. Controla quién puede emitir certificados SSL para tu nombre de dominio.
Sin un registro CAA, cualquier autoridad de certificación del mundo puede emitir un certificado para tu dominio si alguien lo solicita. Puede parecer inofensivo, pero abre la puerta a que se emitan certificados por autoridades que tú nunca elegiste ni aprobaste. Añadir un registro CAA cierra esa puerta y te pone al mando.
¿Qué significa CAA?
CAA significa certificate authority authorization (autorización de autoridad de certificación). El nombre dice exactamente lo que hace el registro. Autoriza a autoridades de certificación (CA) concretas a emitir certificados SSL para tu dominio y ordena a todas las demás que se nieguen.
Las autoridades de certificación son las organizaciones responsables de verificar que el titular de un dominio es quien dice ser y de emitir después el certificado SSL que habilita HTTPS. Hay decenas de CA en todo el mundo. Sin un registro CAA, tu dominio está abierto a todas ellas. Con uno, eliges cuáles tienen permiso.
¿Qué aspecto tiene un registro CAA?
Un registro CAA tiene tres partes principales que funcionan juntas. Esto significa cada una.
- La bandera (flag) es un número que controla cómo se trata el registro. En la mayoría de las configuraciones se pone en 0. Una bandera de 128 indica a una CA que, si no entiende la etiqueta del registro, debe negarse a emitir el certificado en lugar de ignorar el registro
- La etiqueta (tag) indica a la CA qué tipo de permiso o instrucción contiene este registro. Hay tres tipos de etiqueta, que se explican con detalle más abajo
- El valor es el nombre de la autoridad de certificación que se autoriza o la dirección de contacto para informes. Siempre va entre comillas
Así se ve un registro CAA sencillo en un panel DNS.
- Nombre de host configurado como @
- Tipo configurado como CAA
- Bandera configurada como 0
- Etiqueta configurada como issue
- Valor configurado como "letsencrypt.org"
Ese registro dice una sola cosa. Solo la autoridad de certificación indicada en el valor puede emitir certificados SSL estándar para este dominio. Cualquier otra CA que reciba una solicitud de certificado para tu dominio debe consultar primero tus registros CAA y negarse si no figura en la lista.
¿Cuáles son los tres tipos de etiqueta de un registro CAA?
Cada registro CAA usa una de tres etiquetas. La etiqueta indica a las autoridades de certificación qué tipo de instrucción contiene el registro.
La etiqueta "issue"
La etiqueta issue es la más común. Nombra una autoridad de certificación que puede emitir certificados SSL estándar para tu dominio. Si quieres permitir dos CA distintas, añades dos registros CAA separados, cada uno con la etiqueta issue y un nombre de CA diferente.
Por ejemplo, si tu dominio usa certificados de dos autoridades distintas, tendrías dos registros CAA.
- 0 issue "letsencrypt.org"
- 0 issue "digicert.com"
Si quieres bloquear por completo la emisión de certificados, puedes poner como valor de issue un punto y coma sin nada detrás. Eso indica a todas las CA del mundo que nadie está autorizado a emitir certificados para tu dominio.
La etiqueta "issuewild"
La etiqueta issuewild funciona igual que issue, pero solo se aplica a los certificados comodín (wildcard). Un certificado comodín cubre tu dominio principal y todos sus subdominios a la vez (como *.yourdomain.com).
Si configuras un registro issuewild, controla qué CA pueden emitir certificados comodín por separado de quién puede emitir los normales. Es útil si quieres que una CA se ocupe de tus certificados estándar y otra distinta de los comodín, o si quieres bloquear por completo los certificados comodín y seguir permitiendo los estándar.
Si no existe ningún registro issuewild, la etiqueta issue se aplica por defecto tanto a los certificados estándar como a los comodín.
La etiqueta "iodef"
La etiqueta iodef no controla quién puede emitir certificados. En su lugar, indica a las CA adónde enviar un informe si alguien intenta solicitar un certificado que infringe tu política CAA.
El valor suele ser una dirección de correo o una URL. Por ejemplo.
- 0 iodef "mailto:security@yourdomain.com"
Esto significa que, si una CA recibe una solicitud de certificado para tu dominio y tu registro CAA dice que esa CA no está autorizada, la CA debería enviar una notificación a esa dirección de correo. No todas las CA admiten los informes iodef, pero las que sí lo hacen te darán visibilidad sobre las solicitudes de certificado no autorizadas.
¿Cómo se añade un registro CAA?
Añadir un registro CAA sigue un proceso parecido al de cualquier otro registro DNS. Si ya has añadido un registro TXT o un registro A, te resultará familiar.
- Inicia sesión en el panel de gestión de DNS donde estén configurados los servidores de nombres de tu dominio. Suele ser tu registrador de dominios o tu proveedor de hosting
- Busca la sección de registros DNS o el editor de zona DNS
- Haz clic en la opción de añadir un registro nuevo
- Selecciona CAA como tipo de registro
- Pon la bandera en 0, salvo que tengas un motivo concreto para usar 128
- Elige el tipo de etiqueta. Usa "issue" para certificados estándar, "issuewild" para certificados comodín o "iodef" para informes de infracciones
- Introduce el valor. Para issue e issuewild, es el nombre de dominio de la CA (como "letsencrypt.org"). Para iodef, es una dirección de correo o una URL de informes
- Guarda el registro
Si quieres autorizar a más de una CA, añade un registro CAA separado para cada una. Los cambios de DNS pueden tardar desde unos minutos hasta 48 horas en propagarse. Para saber más sobre cómo funciona, lee el capítulo sobre cómo funciona el DNS.
¿Necesitas un registro CAA?
Un registro CAA no es obligatorio. Tu dominio funcionará perfectamente sin uno y tu certificado SSL seguirá funcionando. Pero tener uno añade una capa útil de seguridad del dominio que no cuesta nada configurar.
Sin un registro CAA, cualquier autoridad de certificación puede emitir un certificado SSL para tu dominio si alguien lo solicita. En la mayoría de los casos esto no es un problema, porque las CA tienen sus propios pasos de verificación. Pero esos pasos no son infalibles. Ha habido casos en que se emitieron certificados a las personas equivocadas, ya fuera por errores o por CA con procesos de validación más débiles.
Con un registro CAA en su sitio, solo pueden emitir certificados las CA que hayas nombrado expresamente. Todas las demás deben negarse, aunque quien solicita el certificado supere sus comprobaciones normales. Es un añadido pequeño a tu zona DNS que reduce toda una categoría de riesgo.
¿Qué pasa si tu registro CAA bloquea una solicitud legítima?
Si añades un registro CAA que nombra a una CA y luego intentas conseguir un certificado de otra CA distinta, la solicitud fallará. La CA consultará tus registros CAA, verá que no está autorizada y se negará a emitir el certificado.
No es un fallo. Es precisamente el objetivo. Pero implica que debes mantener tus registros CAA al día con la CA que use tu proveedor de hosting o la plataforma de tu web. Si cambias de proveedor de hosting y el nuevo usa otra CA, tendrás que actualizar tus registros CAA para incluir la nueva.
La solución es simple. Añade un registro CAA nuevo para la nueva CA o actualiza el existente. Lo importante es revisar tus registros CAA siempre que cambies de proveedor de SSL o de configuración de hosting.
Cómo gestiona WEMASY los registros CAA
Cuando creas una web con WEMASY y conectas un dominio propio, WEMASY aprovisiona y gestiona tu certificado SSL automáticamente. Si quieres añadir un registro CAA para mayor seguridad, la guía de configuración de dominios de WEMASY te indica qué CA autorizar para que la renovación de tu certificado nunca quede bloqueada.
WEMASY se encarga del SSL, el hosting y la configuración del dominio en un solo lugar, así que no tienes que preocuparte de que registros CAA mal alineados rompan tu certificado. Si añades un registro CAA, asegúrate de que incluya la CA que usa WEMASY. Consulta lo que incluye cada plan en la página de precios de WEMASY.
Qué viene después
Ahora que entiendes cómo un registro CAA controla qué autoridades de certificación pueden emitir certificados SSL para tu dominio, el siguiente capítulo trata los registros SRV. Los registros SRV indican a internet dónde encontrar servicios concretos que funcionan en tu dominio, como servidores de VoIP o de chat. Para ver todos los tipos de registro y cuándo usar cada uno, consulta el capítulo sobre los tipos de registros DNS.
Preguntas frecuentes
¿Afecta un registro CAA a la velocidad o a la disponibilidad de tu web?
No. Los registros CAA solo se consultan cuando una autoridad de certificación procesa una solicitud de certificado nueva. No intervienen en cómo carga tu web ni en cómo llegan los visitantes a tus páginas. La velocidad y la disponibilidad de tu sitio dependen de tu hosting, de tu registro A y del rendimiento de tu servidor, no de tus ajustes CAA. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Qué pasa si no tienes ningún registro CAA?
Si tu dominio no tiene registros CAA, todas las autoridades de certificación del mundo pueden emitir certificados para él. Es el estado predeterminado de la mayoría de los dominios. No causa ningún problema inmediato, pero significa que no hay ninguna restricción sobre quién puede obtener un certificado SSL a nombre de tu dominio.
¿Se pueden poner registros CAA en subdominios?
Sí. Puedes configurar registros CAA en subdominios concretos para controlar la emisión de certificados con más detalle. Si un subdominio tiene su propio registro CAA, ese registro tiene prioridad sobre el del dominio raíz. Si el subdominio no tiene ningún registro CAA, la CA consulta en su lugar los registros CAA del dominio superior.
¿Cómo averiguas qué CA usa tu proveedor de hosting?
La forma más fácil es revisar tu certificado SSL actual. En la mayoría de los navegadores, puedes hacer clic en el icono del candado de la barra de direcciones, ver los detalles del certificado y comprobar qué CA lo emitió. También puedes preguntar directamente a tu proveedor de hosting. Hay varias CA muy conocidas en todo el mundo.
¿Evitará un registro CAA que alguien cree una versión falsa de tu web?
Un registro CAA hace más difícil que alguien consiga un certificado SSL legítimo para tu dominio a través de una CA no autorizada. No evita todas las formas de phishing o suplantación, pero elimina un camino que podría seguir un atacante. Junto con contraseñas seguras, la privacidad WHOIS y una cuenta de registrador bien protegida, un registro CAA es una pieza de una configuración de seguridad más amplia.