Gerador de Registros DNS CAA e Validador de Políticas

Gerador de Registros DNS CAA e Validador de Políticas

Crie registros DNS CAA em conformidade com a RFC 8659 para restringir a emissão de certificados SSL/TLS exclusivamente a autoridades confiáveis (Let's Encrypt, DigiCert, Sectigo).

Predefinições:
Configuração e Parâmetros CAA
Bloqueio Total de Emissão (Bloquear Todas as CAs)

Gera um registro vazio (issue ";") impedindo qualquer autoridade certificadora de emitir certificados para este domínio.

Let's Encrypt(letsencrypt.org)
Directives: 2•Domain: example.com
Classificação de segurança:Standard Protection
; ==============================================================================
; DNS CAA (Certification Authority Authorization) Resource Records
; Domain: example.com.
; RFC 8659 (obsoletes RFC 6844) / RFC 8657 (ACME Extensions)
; Generated 100% Client-Side with ToolsAA CAA Record Generator
; ==============================================================================

$ORIGIN example.com.
$TTL 3600

; Authorizes Let's Encrypt (letsencrypt.org) to issue standard certificates
example.com.             3600   IN  CAA  0  issue     "letsencrypt.org"

; Security contact for automated incident violation alerts via email
example.com.             3600   IN  CAA  0  iodef     "mailto:[email protected]"
Lines: 17•Bytes: 712 B
RFC 8659 Compliant
CAs Autorizadas
Let's Encrypt

Apenas emissores designados podem assinar certificados SSL/TLS válidos.

Política Wildcard
Herda padrão

Protegido contra emissão de wildcards não autorizados e sequestro de subdomínios.

Relatório de Violações
Alertas ativos (iodef)

Notificações automáticas para tentativas de certificados não autorizados.

Controle Estrito de Emissão RFC 8659

Impeça que autoridades certificadoras não autorizadas emitam certificados SSL/TLS fraudulentos para seus domínios e subdomínios, autorizando explicitamente emissores confiáveis.

Segregação de Wildcards e Bloqueio Total

Isole a emissão de certificados wildcard usando tags issuewild ou aplique um bloqueio total (issue ";") para proteger permanentemente domínios confidenciais.

Despacho Automático de Incidentes (iodef)

Receba alertas imediatos por e-mail ou webhook HTTP POST sempre que uma solicitação não autorizada for rejeitada por uma CA compatível durante as verificações prévias.

Referência técnica e guia de arquitetura

Gerador de Registros DNS CAA e Validador de Políticas — Guia de referência

Crie registros DNS CAA em conformidade com a RFC 8659 para restringir a emissão de certificados SSL/TLS exclusivamente a autoridades confiáveis (Let's Encrypt, DigiCert, Sectigo).

Parâmetros principais e controles

flagsinteiro (0-255)

Byte de sinalizador de 8 bits sem sinal. O bit 0 representa o Issuer Critical Flag (128). Se 0, as ACs podem ignorar tags não reconhecidas; se 128, a AC deve abortar a emissão se a tag ou parâmetro não for compatível.

Padrão: 0
tagenum (issue | issuewild | iodef)

Diretiva de autorização: 'issue' autoriza a emissão de certificados comuns/SAN, 'issuewild' gerencia certificados curinga (wildcard) e 'iodef' define endpoints para envio de relatórios de incidentes.

Padrão: issue
valuestring

Identificador canônico da AC autorizada (ex.: 'letsencrypt.org', 'digicert.com'), URI de relatório ('mailto:[email protected]') ou ';' para proibir expressamente qualquer emissão.

Padrão: letsencrypt.org
accountUristring (parâmetro opcional)

Vinculação restrita de conta ACME (ex.: accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/123456) para impedir que outras contas ACME emitam certificados para seu domínio.

ttlnúmero (segundos)

Tempo de vida em cache DNS (TTL) em segundos nos servidores de resolução de nomes.

Padrão: 3600

Dicas profissionais e melhores práticas

Se o seu ambiente não emprega

Se o seu ambiente não emprega certificados wildcard (*.example.com), inclua um registro '0 issuewild ";"'. Mesmo que os registros 'issue' autorizem uma AC, o ponto e vírgula em issuewild impede taxativamente qualquer emissão de certificados curinga.

ACs modernas como a Let's Encrypt

ACs modernas como a Let's Encrypt suportam o parâmetro 'accounturi'. Ao configurar '0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/ID"', você garante que somente a sua automação autorizada possa emitir certificados, mesmo que a validação de domínio (DCV) seja interceptada.

Publique um registro 'iodef' com

Publique um registro 'iodef' com 'mailto:[email protected]' ou um endpoint HTTPS. ACs que cumprem a RFC 8659 enviarão automaticamente relatórios de incidentes estruturados sempre que houver tentativas indevidas de emissão.

As autoridades certificadoras sobem os

As autoridades certificadoras sobem os níveis de DNS a partir de subdomínios filhos até o domínio raiz (apex) até encontrarem registros CAA. Políticas configuradas em example.com são herdadas por todos os subdomínios, exceto se houver sobrescrita explícita.

Problemas comuns e solução de problemas

Renovação automatizada ACME falha com o erro 'CAA record does not permit issuance'.

Verifique se a sua zona DNS possui um registro 'issue' com o identificador canônico da autoridade (ex.: 'letsencrypt.org'). Verifique também se a validação DNSSEC está íntegra, pois falhas de DNSSEC forçam ACs em conformidade com a RFC 8659 a retornar SERVFAIL e recusar a emissão.

Configurar o sinalizador (flag) como 128 causa rejeição do pedido de certificado.

O flag 128 define a diretiva como crítica. Caso você utilize parâmetros personalizados não suportados pela AC de destino, a RFC 8659 exige estritamente a recusa do certificado. Altere o flag para 0 ou valide os parâmetros aceitos pela autoridade.

O painel do provedor de DNS apresenta erro de formato ao tentar salvar o registro CAA.

Os formatos variam: plataformas como Cloudflare e Route 53 possuem campos separados para Flag, Tag e Value, enquanto servidores BIND utilizam uma única linha. Evite colocar aspas extras se a interface web já fizer o escape automático.

Perguntas frequentes (FAQ)

O que é um registro DNS CAA e por que a checagem é obrigatória para as autoridades certificadoras?▼

O registro DNS CAA (Certification Authority Authorization, RFC 8659) permite que os titulares de um domínio declarem quais Autoridades Certificadoras (ACs) têm permissão para emitir certificados SSL/TLS para seus domínios. Desde 8 de setembro de 2017, as diretrizes do CA/Browser Forum tornaram a verificação de registros CAA obrigatória para todas as ACs públicas antes da emissão.

Como impedir totalmente a emissão de certificados SSL/TLS em um domínio não utilizado?▼

Publique dois registros CAA com ponto e vírgula no campo de valor: '0 issue ";"' e '0 issuewild ";"'. Autoridades compatíveis interpretam o ponto e vírgula como uma ordem inequívoca de proibição absoluta de emissão de certificados para aquele domínio.

É possível autorizar múltiplas autoridades certificadoras simultaneamente?▼

Sim. É possível publicar múltiplos registros CAA no mesmo domínio. Por exemplo, criar '0 issue "letsencrypt.org"' e '0 issue "digicert.com"' autoriza tanto a Let's Encrypt quanto a DigiCert, bloqueando todas as outras ACs do mercado.

Como funciona a herança de CAA (Tree Climbing) em subdomínios?▼

Ao avaliar um subdomínio como api.app.example.com, a autoridade certificadora consulta primeiro esse FQDN exato. Não encontrando registros CAA, consulta app.example.com e, em seguida, example.com. O primeiro conjunto de registros CAA encontrado determina a política válida. Caso nenhum registro seja encontrado até o topo, qualquer AC pode emitir certificados.

Qual é a diferença técnica entre as tags 'issue' e 'issuewild'?▼

A tag 'issue' autoriza a emissão de certificados padrão (nome único/SAN) e também de certificados curinga por padrão. Porém, se houver uma tag 'issuewild' explícita na zona DNS, ela terá precedência total sobre a tag 'issue' para solicitações de certificados curinga (*.example.com), permitindo segregar as permissões de forma granular.

Ferramentas e utilitários relacionados

Todas as ferramentas →
Guia do Desenvolvedor: Gerador de Registros DNS DKIM TXT e SeletoresSegurança

Gere registros DNS DKIM TXT compatíveis com a RFC 6376 com seletor, formatação de chave pública (v=DKIM1; k=rsa; p=...), divisão de 255 caracteres e validação.

Abrir ferramenta→
Guia do Desenvolvedor: Gerador de Políticas MTA-STS e Registros DNS TLS-RPTSegurança

Documentação técnica completa e boas práticas para geração de arquivos de política RFC 8461 MTA-STS, registros DNS TXT _mta-sts e relatórios RFC 8460 TLS-RPT.

Abrir ferramenta→
Decodificador e Inspetor de Segurança de Tokens JWTSegurança

Utilitário para desenvolvedores para decodificar JSON Web Tokens no navegador, inspecionar claims RFC 7519 e OIDC, auditar prazos de expiração e verificar assinaturas HMAC localmente.

Abrir ferramenta→
Gerador Criptográfico de Senhas e Frases-ChaveSegurança

Gere senhas seguras de alta entropia, frases-passe memoráveis (Diceware), códigos PIN e tokens de API com a Web Crypto API CSPRNG nativa em conformidade com o NIST SP 800-63B.

Abrir ferramenta→
Gerador de Hashes Criptográficos e Verificador de ChecksumSegurança

Calcule instantaneamente hashes SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak e CRC32 localmente no navegador com segurança Web Crypto API 100% privada.

Abrir ferramenta→
Depurador e Verificador de Assinaturas JSON Web Token (JWT)Segurança

Decodifique, inspecione e verifique assinaturas HMAC (HS256/384/512) e RSA (RS256/384/512) 100% localmente no navegador via Web Crypto API.

Abrir ferramenta→