CAA y DANE en resumen
Ambos usan el DNS para proteger certificados, pero desde direcciones distintas. CAA indica a las autoridades de certificación quién puede emitir. DANE indica a los servidores de correo en qué certificado confiar.
CAA: ¿quién puede emitir certificados?
Desde 2017, toda CA pública debe comprobar el registro CAA del dominio antes de emitir. Si solo figura letsencrypt.org, las demás CA rechazan la solicitud. Sin registro, cualquier CA puede emitir. La búsqueda sube desde el nombre solicitado, así que un registro en ejemplo.es vale también para www.ejemplo.es salvo que el subdominio tenga el suyo.
issue: CA para certificados normales.issuewildsolo afecta a los comodines y sustituye aissuepara ellos.iodef: dirección donde las CA pueden avisar de solicitudes rechazadas.accounturiyvalidationmethods: con Let's Encrypt se puede limitar la emisión a una cuenta o al reto DNS.
Si usas servicios que obtienen certificados para tu dominio por su cuenta (Cloudflare, Microsoft 365, Shopify, proveedores de hosting), sus CA deben figurar en CAA o la renovación fallará allí. La búsqueda de certificados muestra qué CA han emitido hasta ahora.
DANE: fijar certificados con DNSSEC
Los servidores de correo cifran entre sí con STARTTLS, pero normalmente no comprueban el certificado. Un atacante puede, por tanto, desactivar el cifrado sin que se note. DANE lo resuelve: un registro TLSA en _25._tcp.mx.ejemplo.es indica qué certificado o clave es válido, y DNSSEC lo protege contra falsificaciones. Muchos grandes proveedores comprueban DANE, sobre todo en Alemania y los Países Bajos.
Cambiar de certificado sin cortes
- Obtener el certificado nuevo, pero sin instalarlo todavía.
- Publicar el registro TLSA del certificado nuevo además del antiguo (generador, campo «certificado con cadena»).
- Esperar al menos dos TTL; normalmente bastan unas horas.
- Instalar el certificado nuevo en el servidor de correo y comprobarlo aquí.
- Eliminar el registro TLSA antiguo.
Es más sencillo con 3 1 1 y una clave que no cambia (p. ej. certbot --reuse-key): así el registro no cambia al renovar.
FAQ
¿Necesito un registro CAA?
No es obligatorio, pero es útil y gratuito. Impide que una CA con la que no trabajas emita un certificado para tu dominio, por ejemplo tras un ataque de ingeniería social.
Mi proveedor no permite CAA. ¿Y ahora?
La mayoría de los proveedores DNS ya admiten CAA. Si no, el dominio se queda sin CAA. Es el estado normal y solo significa que cualquier CA puede emitir.
¿Por qué la comprobación muestra DNSSEC inactivo?
La zona no está firmada o la cadena de confianza hasta la raíz está rota (falta el registro DS en el registrador). Para CAA no es un problema, pero DANE no funciona sin DNSSEC.
¿Qué registros TLSA uso?
Para servidores de correo se recomienda la combinación 3 1 1 (clave del certificado del servidor) y 2 1 1 (clave de la CA emisora). El generador calcula ambos a partir del certificado.
¿Se guardan mis datos?
No. Las consultas DNS pasan por el servidor de hollop.net mediante DNS over HTTPS (Google y, si falla, Cloudflare); el certificado se obtiene como en el comprobador SSL. No se guarda nada.