Générateur d'Enregistrements DNS CAA & Validateur de Politiques

Générateur d'Enregistrements DNS CAA & Validateur de Politiques

Générez des enregistrements DNS CAA conformes à la RFC 8659 pour restreindre l'émission de certificats SSL/TLS aux seules autorités de certification de confiance (Let's Encrypt, DigiCert, Sectigo).

Préréglages :
Configuration & Paramètres CAA
Verrouillage total de l'émission (Bloquer toutes les AC)

Génère un enregistrement vide (issue ";") empêchant toute AC mondiale de délivrer des certificats pour ce domaine.

Let's Encrypt(letsencrypt.org)
Directives: 2•Domain: example.com
Évaluation de sécurité :Standard Protection
; ==============================================================================
; DNS CAA (Certification Authority Authorization) Resource Records
; Domain: example.com.
; RFC 8659 (obsoletes RFC 6844) / RFC 8657 (ACME Extensions)
; Generated 100% Client-Side with ToolsAA CAA Record Generator
; ==============================================================================

$ORIGIN example.com.
$TTL 3600

; Authorizes Let's Encrypt (letsencrypt.org) to issue standard certificates
example.com.             3600   IN  CAA  0  issue     "letsencrypt.org"

; Security contact for automated incident violation alerts via email
example.com.             3600   IN  CAA  0  iodef     "mailto:[email protected]"
Lines: 17•Bytes: 712 B
RFC 8659 Compliant
AC autorisées
Let's Encrypt

Seuls les émetteurs désignés peuvent signer des certificats SSL/TLS valides.

Politique Wildcard
Hérite du standard

Renforcé contre l'émission illégitime de wildcards et le détournement de sous-domaines.

Signalement d'incidents
Alertes actives (iodef)

Notifications automatiques pour les tentatives de certificat non autorisées.

Contrôle d'émission strict RFC 8659

Empêchez les autorités de certification non autorisées de délivrer des certificats SSL/TLS frauduleux pour vos domaines en définissant une liste blanche d'émetteurs de confiance.

Ségrégation des jokers et verrouillage total

Isolez l'émission de certificats génériques avec la balise issuewild ou appliquez un verrouillage total (issue ";") pour sécuriser durablement vos domaines sensibles.

Notification automatique d'incidents (iodef)

Recevez des alertes en temps réel par e-mail ou webhook HTTP POST dès qu'une demande non autorisée est rejetée par une autorité de certification conforme.

Référence technique et guide d'architecture

Guide Développeur du Générateur d'Enregistrements DNS CAA (Certification Authority Authorization) — Guide de référence

Générez des enregistrements DNS CAA conformes à la RFC 8659 pour restreindre l'émission de certificats SSL/TLS aux seules autorités de certification de confiance (Let's Encrypt, DigiCert, Sectigo).

Paramètres clés et contrôles

flagsentier (0-255)

Octet d'indicateur 8 bits non signé. Le bit 0 représente le Issuer Critical Flag (128). À 0, les AC peuvent ignorer les balises non reconnues ; à 128, l'AC doit obligatoirement refuser l'émission si la balise ou le paramètre n'est pas pris en charge.

Par défaut : 0
tagenum (issue | issuewild | iodef)

Directive d'autorisation : 'issue' autorise l'émission de certificats standard/SAN, 'issuewild' régit les certificats génériques (wildcard) et 'iodef' spécifie les points de contact pour le signalement d'incidents.

Par défaut : issue
valuechaîne

Identifiant canonique de l'AC autorisée (ex. 'letsencrypt.org', 'digicert.com'), URI de signalement ('mailto:[email protected]') ou ';' pour interdire formellement toute émission.

Par défaut : letsencrypt.org
accountUrichaîne (paramètre optionnel)

Contrainte de liaison de compte ACME (ex. accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/123456) pour empêcher tout autre compte ACME d'émettre des certificats sur votre domaine.

ttlnombre (secondes)

Durée de vie en cache DNS (TTL) en secondes sur les résolveurs de noms.

Par défaut : 3600

Conseils de pro et bonnes practices

Si votre infrastructure n'utilise pas

Si votre infrastructure n'utilise pas de certificats génériques (*.example.com), ajoutez un enregistrement '0 issuewild ";"'. Même si des enregistrements 'issue' autorisent une autorité de certification pour les hôtes individuels, le point-virgule dans issuewild interdit toute délivrance de certificat wildcard.

Les autorités modernes comme Let's

Les autorités modernes comme Let's Encrypt prennent en charge le paramètre 'accounturi'. En définissant '0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/ID"', vous vous assurez que seul votre compte automatisé peut émettre des certificats, même si la validation de contrôle de domaine (DCV) est compromise.

Publiez un enregistrement 'iodef' avec

Publiez un enregistrement 'iodef' avec 'mailto:[email protected]' ou une URL HTTPS. Les autorités conformes à la RFC 8659 transmettront automatiquement des rapports d'incident structurés en cas de tentative d'émission illégitime.

Les autorités de certification

Les autorités de certification remontent l'arborescence DNS depuis les sous-domaines jusqu'au domaine apex afin de localiser des enregistrements CAA. Les règles définies sur example.com s'appliquent automatiquement à tous les sous-domaines, à moins qu'un enregistrement spécifique n'y soit explicitement défini.

Pièges courants et dépannage

Le renouvellement automatique ACME échoue avec l'erreur 'CAA record does not permit issuance'.

Vérifiez la présence d'un enregistrement 'issue' avec l'identifiant exact de l'AC (ex. 'letsencrypt.org'). Assurez-vous également que la validation DNSSEC est fonctionnelle : toute anomalie DNSSEC force les autorités conformes à la RFC 8659 à répondre en SERVFAIL et à bloquer la délivrance.

L'activation de l'indicateur (flag) à 128 entraîne le rejet de la demande de certificat.

La valeur 128 rend la directive critique. Si vous spécifiez des paramètres non pris en charge ou inconnus de l'autorité ciblée, la RFC 8659 lui impose de refuser la demande. Rétablissez la valeur à 0 ou vérifiez les paramètres acceptés par l'AC.

L'interface de votre registrar ou fournisseur DNS signale une erreur de syntaxe sur l'enregistrement CAA.

Les consoles DNS diffèrent : Cloudflare et Route 53 fournissent des champs distincts pour Flag, Tag et Value, alors que les fichiers de zone BIND requièrent une syntaxe en une seule ligne. Évitez de doubler les guillemets si le panneau d'administration les insère automatiquement.

Foire aux questions (FAQ)

Qu'est-ce qu'un enregistrement DNS CAA et pourquoi les autorités de certification doivent-elles le vérifier ?▼

Un enregistrement DNS CAA (Certification Authority Authorization, RFC 8659) permet aux propriétaires de domaine d'indiquer quelles Autorités de Certification (AC) sont légitimes pour délivrer des certificats SSL/TLS pour leur domaine. Depuis le 8 septembre 2017, les exigences du CA/Browser Forum imposent à toutes les autorités publiques de vérifier les enregistrements CAA avant toute signature.

Comment interdire totalement l'émission de certificats SSL/TLS pour un domaine inactif ?▼

Publiez deux enregistrements CAA avec un point-virgule comme valeur : '0 issue ";"' et '0 issuewild ";"'. Les autorités conformes interprètent un point-virgule isolé comme une interdiction explicite et absolue d'émettre des certificats pour ce domaine.

Peut-on autoriser plusieurs autorités de certification en même temps ?▼

Oui. Vous pouvez publier plusieurs enregistrements CAA pour un même domaine. Par exemple, inscrire '0 issue "letsencrypt.org"' et '0 issue "digicert.com"' autorise à la fois Let's Encrypt et DigiCert, tout en bloquant l'ensemble des autres autorités de certification du marché.

Comment fonctionne l'héritage CAA (Tree Climbing) pour les sous-domaines ?▼

Lors de l'évaluation d'un domaine comme api.prod.example.com, l'AC vérifie d'abord s'il existe un enregistrement CAA sur ce FQDN. En son absence, elle interroge prod.example.com, puis example.com. Le premier ensemble d'enregistrements CAA rencontré met fin à la recherche et s'applique. Si aucun enregistrement n'existe jusqu'au domaine racine, toute autorité reconnue est autorisée.

Quelle est la différence technique entre les balises 'issue' et 'issuewild' ?▼

La balise 'issue' autorise par défaut la délivrance de certificats pour les hôtes standards (noms uniques/SAN) ainsi que pour les certificats génériques (wildcard). Toutefois, si une directive 'issuewild' explicite est présente dans le jeu d'enregistrements DNS, elle prévaut exclusivement pour toute demande de certificat générique (*.example.com), ce qui permet de dissocier les prérogatives.

Outils et utilitaires connexes

Tous les outils →
Guide Développeur : Générateur d'Enregistrements DNS DKIM TXT & SélecteursSécurité

Générez des enregistrements DNS DKIM TXT conformes à la RFC 6376 avec sélecteur, formatage de clé publique (v=DKIM1; k=rsa; p=...), découpage à 255 caractères et validation.

Ouvrir l'outil→
Guide Développeur : Générateur de Stratégies MTA-STS et Enregistrements DNS TLS-RPTSécurité

Guide de référence technique et bonnes pratiques pour générer les fichiers de stratégie RFC 8461 MTA-STS, les enregistrements DNS TXT _mta-sts et les rapports d'incidents RFC 8460 TLS-RPT.

Ouvrir l'outil→
Décodeur de Jeton JWT & Inspecteur de SécuritéSécurité

Utilitaire pour développeurs permettant de décoder les JSON Web Tokens côté client, d'inspecter les claims RFC 7519 et OIDC, d'auditer les expirations et de vérifier les signatures HMAC localement.

Ouvrir l'outil→
Générateur Criptographique de Mots de Passe & PassphrasesSécurité

Générez des mots de passe robustes à haute entropie, des passphrases mémorisables (Diceware), des codes PIN et des jetons d'API avec l'API Web Crypto CSPRNG conforme à la norme NIST SP 800-63B.

Ouvrir l'outil→
Générateur de Hachage Cryptographique et Contrôle d'IntégritéSécurité

Calculez instantanément les empreintes SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak et CRC32 localement dans votre navigateur avec l'API Web Crypto 100% sécurisée.

Ouvrir l'outil→
Débogueur et Vérificateur de Signature JSON Web Token (JWT)Sécurité

Décodez, inspectez et vérifiez les signatures HMAC (HS256/384/512) et RSA (RS256/384/512) 100% localement dans votre navigateur via Web Crypto API.

Ouvrir l'outil→