CAA et DANE en bref
Les deux utilisent le DNS pour protéger les certificats, mais dans des directions différentes. CAA indique aux autorités de certification qui peut émettre. DANE indique aux serveurs mail à quel certificat se fier.
CAA : qui peut émettre des certificats ?
Depuis 2017, toute AC publique doit vérifier l’enregistrement CAA du domaine avant d’émettre. S’il ne mentionne que letsencrypt.org, toutes les autres AC refusent. Sans enregistrement, toute AC peut émettre. La recherche remonte à partir du nom demandé : un enregistrement sur exemple.fr s’applique donc aussi à www.exemple.fr, sauf si le sous-domaine a le sien.
issue: AC pour les certificats normaux.issuewildne concerne que les jokers et remplaceissuepour eux.iodef: adresse où les AC peuvent signaler les demandes refusées.accounturietvalidationmethods: avec Let's Encrypt, on peut limiter l’émission à un compte ou au défi DNS.
Si tu utilises des services qui obtiennent eux-mêmes des certificats pour ton domaine (Cloudflare, Microsoft 365, Shopify, hébergeurs), leurs AC doivent figurer dans CAA, sinon le renouvellement échoue chez eux. La recherche de certificats montre quelles AC ont émis jusqu’ici.
DANE : épingler les certificats via DNSSEC
Les serveurs mail chiffrent entre eux avec STARTTLS mais ne vérifient généralement pas le certificat. Un attaquant peut donc désactiver le chiffrement sans qu’on le remarque. DANE règle cela : un enregistrement TLSA sous _25._tcp.mx.exemple.fr indique quel certificat ou quelle clé est valide, et DNSSEC le protège contre la falsification. De nombreux grands fournisseurs vérifient DANE, surtout en Allemagne et aux Pays-Bas.
Changer de certificat sans interruption
- Obtenir le nouveau certificat sans encore l’installer.
- Publier l’enregistrement TLSA du nouveau certificat en plus de l’ancien (générateur, champ « certificat avec chaîne »).
- Attendre au moins deux TTL ; quelques heures suffisent généralement.
- Installer le nouveau certificat sur le serveur mail et vérifier ici.
- Supprimer l’ancien enregistrement TLSA.
C’est plus simple avec 3 1 1 et une clé inchangée (p. ex. certbot --reuse-key) : l’enregistrement ne change alors pas au renouvellement.
FAQ
Ai-je besoin d’un enregistrement CAA ?
Ce n’est pas obligatoire, mais utile et gratuit. Il empêche une AC avec laquelle tu ne travailles pas d’émettre un certificat pour ton domaine, p. ex. après une attaque d’ingénierie sociale.
Mon fournisseur ne permet pas CAA. Que faire ?
La plupart des fournisseurs DNS gèrent CAA aujourd’hui. Sinon, le domaine reste sans CAA. C’est l’état normal, cela signifie seulement que toute AC peut émettre.
Pourquoi la vérification indique-t-elle DNSSEC inactif ?
La zone n’est pas signée ou la chaîne de confiance vers la racine est rompue (enregistrement DS manquant chez le registraire). Ce n’est pas un problème pour CAA, mais DANE ne fonctionne pas sans DNSSEC.
Quels enregistrements TLSA choisir ?
Pour les serveurs mail, la combinaison 3 1 1 (clé du certificat serveur) et 2 1 1 (clé de l’AC émettrice) est recommandée. Le générateur calcule les deux à partir du certificat.
Mes données sont-elles stockées ?
Non. Les requêtes DNS passent par le serveur hollop.net en DNS over HTTPS (Google, à défaut Cloudflare) ; le certificat est récupéré comme dans la vérification SSL. Rien n’est stocké.