CAA und DANE kurz erklärt
Beide Verfahren nutzen das DNS, um Zertifikate abzusichern, aber aus unterschiedlichen Richtungen. CAA sagt den Zertifizierungsstellen, wer ausstellen darf. DANE sagt den Mailservern, welchem Zertifikat sie vertrauen sollen.
CAA: Wer darf Zertifikate ausstellen?
Seit 2017 müssen alle öffentlichen CAs vor der Ausstellung den CAA-Eintrag der Domain prüfen. Steht dort nur letsencrypt.org, lehnen alle anderen CAs Anträge ab. Fehlt der Eintrag, darf jede CA ausstellen. Gesucht wird vom angefragten Namen aus nach oben. Ein Eintrag bei beispiel.de gilt also auch für www.beispiel.de, solange die Subdomain keinen eigenen hat.
issue: CAs für normale Zertifikate.issuewildgilt nur für Wildcards und ersetzt dafürissue.iodef: Adresse, an die CAs abgelehnte Anträge melden können.accounturiundvalidationmethods: Bei Let's Encrypt lässt sich die Ausstellung auf ein bestimmtes Konto oder auf die DNS-Challenge beschränken.
Nutzt du Dienste, die selbst Zertifikate für deine Domain holen (Cloudflare, Microsoft 365, Shopify, Hosting-Anbieter), müssen deren CAs im CAA stehen, sonst scheitert dort die Verlängerung. Welche CAs bisher ausgestellt haben, zeigt die Zertifikats-Suche.
DANE: Zertifikate per DNSSEC festnageln
Mailserver verschlüsseln untereinander mit STARTTLS, prüfen das Zertifikat aber normalerweise nicht. Ein Angreifer kann die Verschlüsselung deshalb unbemerkt abschalten. DANE löst das: Ein TLSA-Eintrag unter _25._tcp.mx.beispiel.de sagt, welches Zertifikat oder welcher Schlüssel gilt, und DNSSEC schützt diesen Eintrag vor Fälschung. In Deutschland prüfen viele große Anbieter DANE, etwa Web.de, GMX, Posteo und mailbox.org.
Zertifikatswechsel ohne Ausfall
- Neues Zertifikat besorgen, aber noch nicht einspielen.
- Den TLSA-Eintrag für das neue Zertifikat zusätzlich zum alten veröffentlichen (Generator, Feld „Zertifikat mit Kette“).
- Mindestens zwei TTL abwarten, meist reichen einige Stunden.
- Neues Zertifikat auf dem Mailserver einspielen und hier prüfen.
- Alten TLSA-Eintrag entfernen.
Einfacher wird es mit 3 1 1 und gleichbleibendem Schlüssel (z. B. certbot --reuse-key): Dann ändert sich der Eintrag beim Verlängern gar nicht.
FAQ
Brauche ich einen CAA-Eintrag?
Er ist nicht Pflicht, aber sinnvoll und kostet nichts. Er verhindert, dass eine CA, mit der du nicht arbeitest, ein Zertifikat für deine Domain ausstellt, etwa nach einem Social-Engineering-Angriff.
Mein Anbieter kann CAA nicht eintragen. Was nun?
Die meisten DNS-Anbieter unterstützen CAA inzwischen. Falls nicht, bleibt die Domain ohne CAA. Das ist der Normalzustand und bedeutet nur, dass jede CA ausstellen darf.
Warum zeigt die Prüfung DNSSEC als inaktiv an?
Die Zone ist nicht signiert oder die Signaturkette zur Root ist unterbrochen (DS-Eintrag beim Registrar fehlt). Für CAA ist das kein Problem, DANE funktioniert ohne DNSSEC aber nicht.
Welche TLSA-Einträge soll ich nehmen?
Für Mailserver empfiehlt sich die Kombination 3 1 1 (Schlüssel des Server-Zertifikats) und 2 1 1 (Schlüssel der ausstellenden CA). Der Generator berechnet beide aus dem Zertifikat.
Werden meine Daten gespeichert?
Nein. Die DNS-Abfragen laufen über den Server von hollop.net per DNS-over-HTTPS (Google, ersatzweise Cloudflare), das Zertifikat wird wie im SSL-Check abgerufen. Gespeichert wird nichts.