DNS Certification Authority Authorization

Chaque enregistrement de ressource CAA est constitué d'indicateurs réunis sur un octet, d'une étiquette et d'une valeur. Les indicateurs permettent d'influer sur l'interprétation de l'enregistrement et l'étiquette indique quel type d'information est contenu dans le champ "valeur".

Actuellement, un seul indicateur est défini: le issuer critical est représenté par le bit le plus significatif de l'octet. S'il est activé (c'est-à-dire que l'entier résultant est égal ou supérieur à 128) l'autorité de certification qui n'est pas à même de comprendre ou de mettre en œuvre l'étiquette de cet enregistrement doit refuser de délivrer un certificat pour le domaine. Ceci est similaire au fonctionnement des extensions critiques dans les certificats X509.

Outre l'octet-indicateur, trois étiquettes sont définies:

issue

autorise une autorité (via son nom de domaine, spécifié dans le champ "valeur") à délivrer des certificats pour le domaine sur lequel l'enregistrement pointe,

issuewild

est similaire à issue et vise les émissions de certificats wildcard,

iodef

indique un moyen pour les autorités de signaler une demande de certificat ou un souci avec celle-ci.

Dans sa forme la plus simple, l'enregistrement ressemble en général à l'exemple ci-dessous. L'autorité ExampleNet (et seulement elle) est autorisée à émettre des certificats pour le nom de domaine example.com, ainsi que pour www.example.com et www.subdomain.example.com grâce au mécanisme hiérarchique de vérification[2]:

example.com.   CAA 0 issue "ca.example.net"

L'exemple ci-dessous est volontairement d'une complexité inutile afin de souligner certains comportements éventuellement fâcheux :

• l'indicateur à 128 sur iodef implique qu'une autorité n'est autorisée à certifier que si elle sait gérer l'étiquette iodef,
• les autorités de certification Wikipedia et Wikimedia sont autorisées à émettre des certificats pour example.com et, seulement si elles savent gérer l'étiquette oups, à en émettre aussi pour www.example.com,
• l'autorité Creative Commons peut émettre un certificat wildcard *.example.com mais ne peut y inclure example.com (elle pourra s'en plaindre auprès de webmaster@example.com),
• personne n'est autorisé à certifier nocerts.example.com mais cela n'a pas d'effet sur le certificat wildcard qui l'englobera tout de même.

example.com.         CAA  0   issue     "wikipedia.example.net"
                     CAA  0   issue     "wikimedia.example.net"
                     CAA  0   issuewild "creative-commons.example.net"
                     CAA  128 iodef     "mailto:webmaster@example.com"
www.example.com.     CAA  128 oups      "typo"
nocerts.example.com. CAA  0   issue     ";"

Les enregistrements de ressource (RR) CAA sont pris en charge par le serveur DNS BIND (versions 9.10.1B et ultérieures)[3], le NSD (depuis la version 4.0.1)[4], le serveur Knot DNS (depuis la version 2.2.0)[5] et PowerDNS (depuis la version 4.0.0)[6].

• DNS - based Authentication of Named Entities
• HTTP Public Key Pinning
• Liste des enregistrements DNS