CAA는 사이트 소유자가 도메인 이름을 포함한 인증서를 발급할 수 있는 CA (인증 기관)를 지정할 수 있도록 하는 DNS 레코드 유형입니다.
CA가 의도하지 않은 인증서 오용의 위험을 줄이기 위해 RFC 6844에 의해 2013년에 표준화 되었으며, 기본적으로 모든 공용 CA는 공용 DNS의 모든 도메인 이름에 대한 인증서를 발급할 수 있습니다
다음의 경우, 해당 도메인 또는 하위 도메인에 대한 인증서 발급하는 것이 금지됩니다.
1. CA가 CAA레코드를 가지고 있는 도메인에 대한 인증서를 받은 경우
2. CA가 허가된 발급자로 나열되지 않은 경우
CA에서 CAA레코드를 확인 및 검사하지만, CAA를 사용하는 것은 도메인 소유주에게는 선택사항입니다.
구현하려는 경우 여러 CA를 지정할 수 있으며, 다음은 CA에 대한 처리 규칙입니다.
◆ CAA 레코드 없음(No CAA record) : CA 발급가능
◆ CAA 레코드를 포함한 CA(CAA record includes CA) : CA 발급가능
◆ CAA레코드이지만 CA는 포함하지 않음(CAA record, but does not include CA) : CA발급 불가능
◎ issue : CA가 인증서를 발급할 수 있도록 허용( Issuewild가 제한하지 않는 한 와일드 카드 인증서 포함)
◎ Issuewild : CA가 와일드카드 인증서를 발급 할 수 있지만, 와일드카드가 아니면 발급이 불가능
빠른 검사를 통해, https://crt.sh/를 사용하여 도메인에 발급된 인증서를 쿼리합니다.
그러면 해당 도메인의 발급 CA 목록을 반환 할 수 있습니다.