Generador de Registros DNS CAA y Validador de Políticas

Generador de Registros DNS CAA y Validador de Políticas

Genere registros DNS CAA conformes a la RFC 8659 para restringir la emisión de certificados SSL/TLS únicamente a autoridades de confianza (Let's Encrypt, DigiCert, Sectigo).

Preajustes:
Configuración y Parámetros CAA
Bloqueo Total de Emisión (Bloquear Todas las CAs)

Genera un registro vacío (issue ";") que prohíbe a cualquier CA del mundo emitir certificados para este dominio.

Let's Encrypt(letsencrypt.org)
Directives: 2•Domain: example.com
Calificación de seguridad:Standard Protection
; ==============================================================================
; DNS CAA (Certification Authority Authorization) Resource Records
; Domain: example.com.
; RFC 8659 (obsoletes RFC 6844) / RFC 8657 (ACME Extensions)
; Generated 100% Client-Side with ToolsAA CAA Record Generator
; ==============================================================================

$ORIGIN example.com.
$TTL 3600

; Authorizes Let's Encrypt (letsencrypt.org) to issue standard certificates
example.com.             3600   IN  CAA  0  issue     "letsencrypt.org"

; Security contact for automated incident violation alerts via email
example.com.             3600   IN  CAA  0  iodef     "mailto:[email protected]"
Lines: 17•Bytes: 712 B
RFC 8659 Compliant
CAs Autorizadas
Let's Encrypt

Solo los emisores designados pueden firmar certificados SSL/TLS válidos.

Política de Comodines
Hereda estándar

Protegido contra la emisión de comodines no autorizados y secuestro de subdominios.

Reporte de Incidentes
Alertas activas (iodef)

Notificaciones automáticas ante intentos de certificados no autorizados.

Control Estricto de Emisión RFC 8659

Evite que autoridades de certificación no autorizadas emitan certificados SSL/TLS fraudulentos para sus dominios y subdominios mediante listas blancas de emisores de confianza.

Segregación de Comodines y Bloqueo Total

Aísle la emisión de certificados comodín con parámetros issuewild o aplique un bloqueo total (issue ";") para proteger dominios sensibles contra emisiones no deseadas.

Envío Automatizado de Incidentes (iodef)

Reciba alertas en tiempo real por correo electrónico o webhook HTTP POST cada vez que una CA compatible rechace una solicitud no autorizada durante las comprobaciones previas.

Referencia técnica y guía de arquitectura

Guía de Desarrollo del Generador de Registros DNS CAA (Certification Authority Authorization) — Guía de referencia

Genere registros DNS CAA conformes a la RFC 8659 para restringir la emisión de certificados SSL/TLS únicamente a autoridades de confianza (Let's Encrypt, DigiCert, Sectigo).

Parámetros clave y controles

flagsentero (0-255)

Byte de indicador sin signo de 8 bits. El bit 0 representa el indicador crítico (128). Si es 0, las CA pueden omitir etiquetas no reconocidas; si es 128, la CA debe abortar la emisión si no admite la etiqueta o parámetro.

Por defecto: 0
tagenum (issue | issuewild | iodef)

Directiva de autorización: 'issue' autoriza la emisión de certificados estándar/SAN, 'issuewild' restringe certificados comodín (wildcard) e 'iodef' define puntos de notificación de incidentes.

Por defecto: issue
valuecadena de texto

Identificador canónico de la CA autorizada (ej. 'letsencrypt.org', 'digicert.com'), URI de reporte ('mailto:[email protected]') o ';' para denegar completamente cualquier emisión.

Por defecto: letsencrypt.org
accountUricadena (parámetro opcional)

Restricción de enlace de cuenta ACME (ej. accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/123456) para impedir que otras cuentas emitan certificados para su dominio.

ttlnúmero (segundos)

Tiempo de vida en caché DNS (Time To Live) en segundos en los servidores de resolución de nombres.

Por defecto: 3600

Consejos profesionales y mejores prácticas

Si su infraestructura no requiere

Si su infraestructura no requiere certificados wildcard (*.example.com), configure un registro '0 issuewild ";"'. Aunque existan registros 'issue' autorizando a una CA, el punto y coma en issuewild prohibirá categóricamente la emisión de certificados comodín.

Las CA modernas como Let's Encrypt

Las CA modernas como Let's Encrypt admiten el parámetro 'accounturi'. Configurar '0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/ID"' garantiza que únicamente su infraestructura automatizada pueda emitir certificados, incluso si la validación de control de dominio (DCV) resulta vulnerada temporalmente.

Publique un registro 'iodef' con

Publique un registro 'iodef' con 'mailto:[email protected]' o un endpoint HTTPS. Las CA conformes a RFC 8659 remitirán automáticamente reportes estructurados de incidentes ante cualquier intento de emisión no autorizada.

Las CA ascienden por las etiquetas DNS

Las CA ascienden por las etiquetas DNS desde los subdominios secundarios hasta el dominio raíz (apex) hasta localizar un conjunto de registros CAA. Las reglas definidas en example.com se heredan automáticamente en todos los subdominios salvo que se anulen explícitamente en el subdominio.

Errores comunes y solución de problemas

La renovación automática de certificados ACME falla con 'CAA record does not permit issuance'.

Verifique que exista un registro 'issue' con el identificador exacto de la CA (ej. 'letsencrypt.org'). Compruebe además la correcta validación de DNSSEC, ya que cualquier fallo de firma DNSSEC obliga a las CA conformes con RFC 8659 a devolver SERVFAIL y bloquear la emisión.

Establecer el indicador (flag) en 128 causa el rechazo de la solicitud de certificado.

El flag 128 marca la etiqueta como crítica. Si incluye parámetros que la CA de destino no reconoce o no soporta, el estándar RFC 8659 obliga legalmente a la CA a rechazar la solicitud. Cambie el valor del flag a 0 o consulte la compatibilidad de parámetros de la CA.

La interfaz del proveedor DNS muestra un error de sintaxis al guardar el registro CAA.

Las interfaces DNS difieren: Cloudflare y Route 53 proporcionan campos independientes para Flag, Tag y Value, mientras que los archivos de zona BIND requieren la línea completa. Evite escribir comillas dobles si el panel de control las añade automáticamente.

Preguntas frecuentes (FAQ)

¿Qué es un registro DNS CAA y por qué las autoridades de certificación están obligadas a verificarlo?▼

Un registro DNS CAA (Certification Authority Authorization, RFC 8659) permite a los propietarios de un dominio declarar qué Autoridades de Certificación (CA) tienen autorización para emitir certificados SSL/TLS para dicho dominio. Desde el 8 de septiembre de 2017, las normas del CA/Browser Forum obligan a todas las CA públicas a consultar y respetar los registros CAA antes de firmar cualquier certificado.

¿Cómo impedir por completo la emisión de certificados SSL/TLS en un dominio inactivo?▼

Publique dos registros CAA con un punto y coma como valor: '0 issue ";"' y '0 issuewild ";"'. Las CA que cumplen el estándar interpretan un punto y coma aislado como una instrucción inequívoca de denegación total, bloqueando la emisión por parte de cualquier entidad.

¿Es posible autorizar múltiples autoridades de certificación simultáneamente?▼

Sí. Puede publicar varios registros CAA en el mismo dominio. Por ejemplo, definir '0 issue "letsencrypt.org"' junto con '0 issue "digicert.com"' permite emitir certificados tanto a Let's Encrypt como a DigiCert, bloqueando a cualquier otra CA del ecosistema.

¿Cómo funciona la herencia de registros CAA (Tree Climbing) en los subdominios?▼

Al procesar un subdominio como api.red.example.com, la CA comprueba primero si existen registros CAA en ese FQDN exacto. Si no existen, consulta red.example.com y posteriormente example.com. El primer conjunto de registros CAA encontrado determina la política. Si no se localiza ningún registro hasta llegar a la raíz, cualquier CA puede emitir el certificado.

¿Cuál es la diferencia técnica entre las etiquetas 'issue' e 'issuewild'?▼

La etiqueta 'issue' autoriza por defecto la emisión tanto de certificados normales (nombre individual/SAN) como de certificados comodín. Sin embargo, si se incluye una directiva 'issuewild' explícita en el conjunto DNS, esta tendrá prioridad exclusiva sobre 'issue' para cualquier solicitud de certificado comodín (*.example.com).

Herramientas y utilidades relacionadas

Todas las herramientas →
Guía de Desarrollo: Generador de Registros DNS DKIM TXT y SelectoresSeguridad

Cree registros DNS DKIM TXT compatibles con RFC 6376 con selector, formato de clave pública (v=DKIM1; k=rsa; p=...), división de 255 caracteres y verificación.

Abrir herramienta→
Guía para Desarrolladores del Generador de Políticas MTA-STS y Registros DNS TLS-RPTSeguridad

Referencia técnica integral y mejores prácticas para generar archivos de directivas RFC 8461 MTA-STS, registros DNS TXT _mta-sts y registros de informes RFC 8460 TLS-RPT.

Abrir herramienta→
Decodificador e Inspector de Seguridad de Tokens JWTSeguridad

Utilidad para desarrolladores que decodifica tokens JWT del lado del cliente, inspecciona claims RFC 7519 y OIDC, audita tiempos de expiración y verifica firmas HMAC localmente.

Abrir herramienta→
Generador Criptográfico de Contraseñas y Frases de PasoSeguridad

Genere contraseñas seguras de alta entropía, frases de paso memorables (Diceware), códigos PIN y tokens de API mediante la API Web Crypto CSPRNG según NIST SP 800-63B.

Abrir herramienta→
Generador de Huellas y Hash CriptográficoSeguridad

Calcule al instante valores hash SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak y CRC32 localmente en su navegador mediante la API Web Crypto 100% segura.

Abrir herramienta→
Depurador y Verificador de Firmas JSON Web Token (JWT)Seguridad

Decodifica, inspecciona y verifica firmas HMAC (HS256/384/512) y RSA (RS256/384/512) 100% en la memoria del navegador. Cero telemetría en la nube.

Abrir herramienta→