Wie diese Prüfung funktioniert
Diese Prüfung fragt DNS und Registrierung deiner Domain ab und klettert dabei die Domainkette hoch (von app.deinedomain.de zu deinedomain.de), weil diese Daten auf der registrierbaren Domain liegen. Sie schaut auf drei Dinge. CAA: Gibt es auf keiner Ebene CAA-Einträge, niedriger Schweregrad. DNSSEC: Sie fragt über DNS over HTTPS nach DS-Einträgen; gibt es auf keiner Ebene welche, niedriger Schweregrad. Ablauf: Sie ermittelt das Ablaufdatum über RDAP, den Nachfolger von whois; bleiben 7 Tage oder weniger, hoch; 30 oder weniger, mittel; 60 oder weniger, niedrig. Veröffentlicht die Registry das Datum nicht oder schlägt eine Abfrage fehl, gibt es keinen Befund: Im Zweifel wird nichts erfunden.
Warum das wichtig ist
Alle drei Punkte schützen die Domain selbst, die unter allem anderen liegt. Ohne CAA kann jede der über hundert Zertifizierungsstellen der Welt ein gültiges Zertifikat für deine Domain ausstellen; mit CAA nur die, die du autorisierst, was eine betrügerische Ausstellung erkennbar macht. Ohne DNSSEC sind die DNS-Antworten deiner Domain unsigniert, und ein Angreifer, der den Cache eines Resolvers vergiftet, kann deine Nutzer auf einen anderen Server schicken, ohne dass etwas auffällt. Und der Ablauf ist das dümmste und endgültigste Risiko: Eine abgelaufene Domain fällt komplett aus (Web, Mail, API), und nach der Gnadenfrist kann sie jemand anderes registrieren. Das passiert jedes Jahr großen Unternehmen wegen einer abgelaufenen Kreditkarte.
So behebst du es
CAA
deinedomain.de. CAA 0 issue "letsencrypt.org"
deinedomain.de. CAA 0 issuewild ";"
deinedomain.de. CAA 0 iodef "mailto:security@deinedomain.de"Autorisiere die Stelle, die deine Zertifikate ausstellt. Nutzt du Vercel oder Netlify, ist es Let's Encrypt; nutzt du Cloudflare, schau in dessen Dokumentation nach der Liste der verwendeten Stellen und trage sie alle ein; kaufst du Zertifikate, die deines Anbieters. Ein CAA, das deine tatsächliche Stelle nicht enthält, lässt die nächste Erneuerung still scheitern, also kontrolliere die erste Erneuerung nach dem Hinzufügen. issuewild ";" verbietet Wildcards, wenn du keine nutzt, und iodef sagt, wohin ein nicht autorisierter Ausstellungsversuch gemeldet wird.
DNSSEC
Aktiviert wird es an zwei Stellen. Zuerst beim DNS-Anbieter (Cloudflare, Route 53, der Registrar selbst): meist ein Knopf, der die Zone signiert und dir einen DS-Eintrag zeigt. Dann wird dieser DS beim Registrar der Domain veröffentlicht, der ihn an die TLD-Registry weitergibt. Liegen DNS und Registrierung am selben Ort, ist es ein einziger Klick. Eine Warnung: Wechselst du eines Tages den DNS-Anbieter, entferne den DS, bevor du die Zone umziehst, sonst löst die Domain nicht mehr auf.
Ablauf
Aktiviere die automatische Verlängerung beim Registrar, stell sicher, dass die hinterlegte Karte nicht vor der Domain abläuft, und halte die Kontakt-E-Mail gültig, dort kommen die Hinweise an. Ist es die Domain deines Geschäfts, verlängere um mehrere Jahre und aktiviere die Transfersperre. Scanaris warnt dich per E-Mail 30, 14 und 3 Tage vor dem Ablauf, genau wie bei Zertifikaten.
Prüf, ob es behoben ist
dig +short CAA deinedomain.de
dig +short DS deinedomain.de
curl -s https://rdap.org/domain/deinedomain.de | grep -oE '"eventAction":"expiration","eventDate":"[^"]+"'Erwartet: mindestens eine issue-Zeile im ersten, eine oder mehrere Zeilen im zweiten und ein fernes Ablaufdatum im dritten. DNS-Änderungen brauchen Minuten bis Stunden; der DS kann bis zu einem Tag brauchen, bis er bei der TLD erscheint.
Häufige Fragen
Kann DNSSEC meine Seite kaputt machen?
Nur bei Fehlkonfiguration: Ein DS, der nicht zu den Schlüsseln der Zone passt, lässt validierende Resolver deine Domain ablehnen. Deshalb aktivierst du es am besten bei einem Anbieter, der die Schlüssel für dich verwaltet, und bestätigst mit dem Befehl oben und einem externen Validator, dass alles zusammenpasst, bevor du es als erledigt betrachtest.
Meine Domain läuft in einem Jahr ab. Warum erscheint nichts?
Weil alles in Ordnung ist. Der Befund erscheint erst bei 60 Tagen oder weniger. Für die Ruhe aktiviere die automatische Verlängerung jetzt, solange es nicht drängt.
Ersetzt CAA ein gutes Zertifikat?
Nein, das sind verschiedene Dinge. CAA begrenzt, wer ausstellen darf; die Qualität deines Zertifikats und Protokolls misst TLS-Zertifikat. Und die Mailkonfiguration derselben Domain prüft E-Mail-Authentifizierung.