Jak działa ta kontrola
Ta kontrola odpytuje DNS i rejestrację Twojej domeny, wspinając się po łańcuchu domen (z app.twojadomena.pl na twojadomena.pl), bo te dane żyją na domenie rejestrowalnej. Patrzy na trzy rzeczy. CAA: jeśli na żadnym poziomie nie ma rekordów CAA, waga niska. DNSSEC: pyta o rekordy DS przez DNS over HTTPS; jeśli nie ma ich na żadnym poziomie, waga niska. Wygaśnięcie: sprawdza datę wygaśnięcia przez RDAP, następcę whois; jeśli zostało 7 dni lub mniej, wysoka; 30 lub mniej, średnia; 60 lub mniej, niska. Jeśli rejestr nie publikuje daty albo zapytanie zawiedzie, nie ma ustalenia: w razie wątpliwości nic nie jest wymyślane.
Dlaczego to ważne
Te trzy punkty chronią samą domenę, która leży pod wszystkim innym. Bez CAA każdy z ponad stu urzędów certyfikacji na świecie może wystawić ważny certyfikat dla Twojej domeny; z CAA tylko te, które autoryzujesz, co czyni oszukańcze wystawienie wykrywalnym. Bez DNSSEC odpowiedzi DNS Twojej domeny nie są podpisane i atakujący, który zatruje cache resolvera, może wysłać Twoich użytkowników na inny serwer, a nic tego nie zdradzi. A wygaśnięcie to najgłupsze i najbardziej ostateczne ryzyko: wygasła domena pada w całości (strona, poczta, API), a po okresie karencji może ją zarejestrować ktoś inny. Zdarza się to dużym firmom co roku przez wygasłą kartę.
Jak to naprawić
CAA
twojadomena.pl. CAA 0 issue "letsencrypt.org"
twojadomena.pl. CAA 0 issuewild ";"
twojadomena.pl. CAA 0 iodef "mailto:security@twojadomena.pl"Autoryzuj urząd, który wystawia Twoje certyfikaty. Jeśli używasz Vercel lub Netlify, to Let's Encrypt; jeśli Cloudflare, sprawdź w jego dokumentacji listę używanych urzędów i dodaj wszystkie; jeśli kupujesz certyfikaty, urząd Twojego dostawcy. CAA niezawierające Twojego faktycznego urzędu sprawia, że następne odnowienie cicho się nie uda, więc sprawdź pierwsze odnowienie po dodaniu. issuewild ";" zabrania certyfikatów wieloznacznych, jeśli ich nie używasz, a iodef wskazuje, gdzie zgłosić próbę nieautoryzowanego wystawienia.
DNSSEC
Włącza się w dwóch miejscach. Najpierw u dostawcy DNS (Cloudflare, Route 53, sam rejestrator): zwykle to przycisk, który podpisuje strefę i pokazuje rekord DS. Potem ten DS publikuje się u rejestratora domeny, który przekazuje go do rejestru TLD. Jeśli DNS i rejestracja są w tym samym miejscu, to jedno kliknięcie. Ostrzeżenie: jeśli kiedyś zmienisz dostawcę DNS, usuń DS przed przeniesieniem strefy, inaczej domena przestanie się rozwiązywać.
Wygaśnięcie
Włącz automatyczne odnawianie u rejestratora, sprawdź, czy podpięta karta nie wygasa przed domeną, i utrzymuj ważny adres kontaktowy, bo tam przychodzą powiadomienia. Jeśli to domena Twojej firmy, odnów na kilka lat i włącz blokadę transferu. Scanaris powiadamia Cię mailem 30, 14 i 3 dni przed wygaśnięciem, tak jak przy certyfikatach.
Sprawdź, czy naprawione
dig +short CAA twojadomena.pl
dig +short DS twojadomena.pl
curl -s https://rdap.org/domain/twojadomena.pl | grep -oE '"eventAction":"expiration","eventDate":"[^"]+"'Oczekiwane: co najmniej jedna linia issue w pierwszym, jedna lub więcej linii w drugim, i odległa data wygaśnięcia w trzecim. Zmiany DNS zajmują minuty do godzin; DS może potrzebować do doby, żeby pojawić się w TLD.
Często zadawane pytania
Czy DNSSEC może zepsuć moją stronę?
Tylko przy złej konfiguracji: DS niepasujący do kluczy strefy sprawia, że walidujące resolvery odrzucają Twoją domenę. Dlatego lepiej włączyć go u dostawcy, który zarządza kluczami za Ciebie, i potwierdzić powyższym poleceniem oraz zewnętrznym walidatorem, że wszystko się zgadza, zanim uznasz sprawę za załatwioną.
Moja domena wygasa za rok. Dlaczego nic się nie pojawia?
Bo jest w porządku. Ustalenie pojawia się dopiero przy 60 dniach lub mniej. Dla spokoju włącz automatyczne odnawianie teraz, kiedy nie jest pilne.
Czy CAA zastępuje dobry certyfikat?
Nie, to różne rzeczy. CAA ogranicza, kto może wystawiać; jakość certyfikatu i protokołu, które masz, mierzy certyfikat TLS. A konfigurację poczty tej samej domeny sprawdza uwierzytelnianie e-mail.