Recherche CAA

Voir quelles autorités peuvent émettre les certificats d'un domaine

Guide

Une recherche CAA révèle quelles autorités de certification sont habilitées à émettre des certificats TLS pour un domaine, et lesquelles en sont explicitement exclues.

À quoi sert vraiment un enregistrement CAA

CAA (Certification Authority Authorization) est un type d'enregistrement DNS défini par la RFC 8659. Il permet au titulaire d'un domaine de publier une liste des autorités de certification autorisées à émettre des certificats pour ce domaine. Toute AC conforme aux exigences de base du CA/Browser Forum doit vérifier la présence d'un enregistrement CAA avant émission, et refuser d'émettre si elle n'y figure pas.

Ce mécanisme inverse le modèle de confiance historique. Sans enregistrement CAA, n'importe laquelle des quelques centaines d'AC publiquement reconnues peut émettre un certificat valide pour un domaine, et le titulaire ne le découvre souvent qu'après coup via les journaux de certificate transparency. Un enregistrement CAA transforme cela en liste blanche appliquée au moment même de l'émission.

  • CAA n'a rien d'un simple avis : toute AC conforme est contractuellement tenue de le respecter
  • L'absence d'enregistrement CAA n'est pas une erreur - elle signifie que toute AC peut émettre
  • CAA ne restreint que l'émission ; cela n'a aucun effet sur les certificats déjà délivrés

Les trois balises : issue, issuewild, iodef

Un enregistrement CAA comporte trois parties : un indicateur, une balise et une valeur. L'indicateur vaut 0 (informatif) ou 128 (critique - une AC incapable de traiter la balise doit alors refuser l'émission plutôt que l'ignorer ; en pratique la quasi-totalité des enregistrements utilisent 0). La balise prend l'une de ces trois valeurs.

BaliseContrôleExemple de valeur
issueCertificats non-wildcard pour le domaine et ses sous-domaines"letsencrypt.org"
issuewildCertificats wildcard uniquement (prioritaire sur issue pour les wildcards)"digicert.com"
iodefAdresse où l'AC signale une tentative d'émission non autorisée"mailto:securite@exemple.fr"

Exemple concret

Un domaine qui souhaite réserver l'émission de certificats standards à Let's Encrypt, celle des wildcards à DigiCert, et être notifié en cas de tentative hors politique, publierait ces trois enregistrements CAA à la racine de sa zone :

  • exemple.fr. CAA 0 issue "letsencrypt.org"
  • exemple.fr. CAA 0 issuewild "digicert.com"
  • exemple.fr. CAA 0 iodef "mailto:securite@exemple.fr"

Lire le résultat de la recherche

L'outil interroge directement le type d'enregistrement CAA et affiche une ligne par enregistrement trouvé, chacune avec le nom interrogé (le domaine) et une valeur combinant l'indicateur et la balise - par exemple "0 letsencrypt.org" pour un enregistrement issue non critique, ou "128 sectigo.com" si l'indicateur critique est positionné. Si le domaine ne publie aucun enregistrement CAA, le résultat est vide : c'est un état valide, simplement permissif, pas un échec de la recherche.

Un enregistrement dont la valeur reste vide après l'indicateur (du type "0 ") reflète en général une ligne CAA où le champ AC a été laissé vierge dans la zone, ce que la plupart des validateurs considèrent comme une syntaxe invalide - à corriger chez le registrar ou l'hébergeur DNS plutôt qu'à laisser en l'état.

L'intérêt de CAA au-delà de la conformité

La vérification CAA est obligatoire pour les AC depuis septembre 2017 dans les exigences de base du CA/Browser Forum, et la RFC 8659 a remplacé l'ancienne RFC 6844 en 2019 pour préciser la spécification. Pour un titulaire de domaine en France comme ailleurs, le bénéfice concret est de réduire la surface d'attaque : si des identifiants chez un registrar tiers ou un compte revendeur compromis servent à demander un certificat frauduleux auprès d'une AC hors liste, la demande est rejetée avant même l'émission - sans outil de détection ni surveillance de certificate transparency après coup.

CAA ne remplace ni la surveillance par certificate transparency ni HSTS ; c'est un contrôle préventif qui agit en amont, au moment même où le certificat serait autrement délivré.

Questions fréquentes

L'absence d'enregistrement CAA signifie-t-elle que mon domaine est mal configuré ?

Non. CAA est facultatif selon la RFC 8659. Un domaine sans enregistrement CAA autorise simplement toute AC publiquement reconnue à émettre pour lui, ce qui était le comportement par défaut du web avant l'existence de CAA. En ajouter un est un renforcement, pas un prérequis pour obtenir un certificat valide.

Puis-je autoriser plusieurs autorités de certification à la fois ?

Oui. Publiez plusieurs enregistrements issue, un par identifiant d'AC, et une AC est autorisée dès qu'un seul enregistrement la mentionne. Rien ne limite le nombre de balises issue ou issuewild sur un domaine.

Quel identifiant d'AC mettre dans la valeur ?

Le nom de domaine que l'AC publie pour la correspondance CAA - par exemple "letsencrypt.org", "digicert.com", "sectigo.com" ou "pki.goog" pour Google Trust Services. Chaque AC documente son identifiant exact ; une erreur de saisie bloque cette AC alors même que l'intention était de l'autoriser.

La balise issuewild remplace-t-elle issue, ou s'y ajoute-t-elle ?

Elle restreint spécifiquement les certificats wildcard. Si un domaine autorise l'AC A via issue et l'AC B via issuewild, l'AC A peut toujours émettre des certificats classiques mais pas de wildcard - seule l'AC B le peut. En l'absence de balise issuewild, les balises issue s'appliquent aussi aux wildcards.

Pourquoi un certificat a-t-il été émis pour mon domaine malgré mon enregistrement CAA ?

CAA est vérifié par l'AC émettrice au moment de la signature, pas appliqué par le DNS lui-même. Si l'enregistrement a été ajouté après l'émission, un certificat existant reste valide jusqu'à expiration ou révocation. Vérifiez aussi que l'enregistrement se trouve sur le nom exact ou un domaine parent, car la recherche CAA remonte l'arborescence DNS depuis le nom demandé jusqu'au premier ancêtre porteur d'un enregistrement.

CAA fonctionne-t-il sur les sous-domaines ou seulement sur le domaine racine ?

CAA s'applique par nom d'hôte avec un mécanisme d'héritage. Si sub.exemple.fr ne publie aucun enregistrement CAA, l'AC vérifie exemple.fr, puis le niveau supérieur, jusqu'à en trouver un ou atteindre la racine. Un sous-domaine peut aussi publier son propre enregistrement CAA pour remplacer celui du parent sur ce nom précis.

Outils liés