CAA 레코드 빌더 (DNS 인증 기관 권한 제한)

보호하려는 같은 도메인. CAA 조회는 요청 이름에서 apex까지 위로 올라갑니다 — api.example.com 인증서 요청은 api.example.com, 그 다음 example.com, 그 다음 루트 순으로 조회. 대부분 apex 한 곳에 CAA 세트 하나만 두고 모든 서브도메인을 커버합니다. 서브도메인별 CAA는 거기서 다른 정책을 원할 때만 필요.

네 — issue 레코드가 있고 issuewild 레코드가 없으면 issue 가 와일드카드도 제한합니다. 그러나 issuewild 레코드가 하나라도 있으면 와일드카드에 대해 그게 우선. 가장 안전한 패턴은 일반·와일드카드 모두 원할 때 둘 다 명시하거나, 와일드카드가 절대 필요 없으면 issue 만 추가. 일반은 허용하면서 와일드카드는 거부할 때 issuewild 에 ; 추가가 일반적.

비트 7 (값 128) 이 issuer-critical 플래그. 알 수 없는 태그에 켜져 있으면 CA는 발급을 거절해야 함. 현재는 issue, issuewild, iodef 만 정의되어 있어 critical은 주로 미래 호환성에 영향. 일반 설정에선 끄세요 (flags = 0). 모든 CA가 이해해야 한다고 명시적으로 지정할 태그에만 128 사용.

Baseline Requirements에 따르면 CA는 발급 시점에 CAA를 확인하고, 이전 값의 캐시 TTL은 최대 8 시간. 그래서 새 레코드가 모든 CA에 완전히 적용되는 데 최대 8 시간. 초기 설정 시 캐시된 음성 값이 발급을 막지 않도록 TTL을 5-60 분으로 두고 나중에 늘리세요.

존이 DNSSEC 서명되어 있으면 CA는 서명을 검증해야 하고, 서명되지 않은 응답을 누락으로 취급. 잘못 설정된 DNSSEC가 CAA 검사를 깨뜨려 인증서 갱신을 막을 수 있습니다. CAA 강제에 의존하기 전에 dnsviz.net 같은 도구로 존을 검증하세요.