Il record CAA indica quali Certification Authority sono autorizzate a emettere certificati TLS per un dominio. Una configurazione errata può impedire il rinnovo o l’emissione di AutoSSL, certificati wildcard e servizi CDN.
Questa guida approfondisce record CAA con una procedura progressiva e reversibile. Non inviare password, codici 2FA, token, chiavi private o file di configurazione completi nei ticket.
Che cosa significa
Le CA devono controllare i record CAA prima dell’emissione. In assenza di CAA, qualsiasi CA conforme alle regole generali può procedere; in presenza di record, soltanto quelle autorizzate.
I record sono ereditati dai livelli superiori finché non viene trovata una configurazione CAA specifica sul nome richiesto.
Come riconoscere il problema
- AutoSSL non riesce a emettere.
- Cloudflare o altro provider segnala CAA.
- Il certificato wildcard fallisce.
- Il dominio usa record CAA copiati da un altro servizio.
- Il rinnovo smette dopo modifica DNS.
Cause più frequenti
1. CA non autorizzata
Il valore issue non include l’autorità usata dal servizio. Verifica questa ipotesi usando il messaggio completo e i dati dell’orario interessato, senza basarti soltanto sul testo mostrato dal browser o dall’applicazione.
2. Wildcard non autorizzato
issuewild limita separatamente i certificati wildcard. Verifica questa ipotesi usando il messaggio completo e i dati dell’orario interessato, senza basarti soltanto sul testo mostrato dal browser o dall’applicazione.
3. Record su livello superiore
Una policy ereditata blocca il sottodominio. Verifica questa ipotesi usando il messaggio completo e i dati dell’orario interessato, senza basarti soltanto sul testo mostrato dal browser o dall’applicazione.
4. Sintassi errata
Flag, tag o valore non rispettano il formato. Verifica questa ipotesi usando il messaggio completo e i dati dell’orario interessato, senza basarti soltanto sul testo mostrato dal browser o dall’applicazione.
5. Provider multipli
AutoSSL, CDN e piattaforme SaaS usano CA differenti. Verifica questa ipotesi usando il messaggio completo e i dati dell’orario interessato, senza basarti soltanto sul testo mostrato dal browser o dall’applicazione.
6. DNSSEC o propagazione
La CA riceve una risposta non valida o precedente. Verifica questa ipotesi usando il messaggio completo e i dati dell’orario interessato, senza basarti soltanto sul testo mostrato dal browser o dall’applicazione.
Diagnosi passo per passo
- Elenca i certificati necessari. Origine, CDN, wildcard e servizi esterni. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
- Identifica le CA. Consulta la documentazione ufficiale di ogni provider. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
- Interroga CAA. Usa `dig dominio.tld CAA +short`. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
- Controlla livelli superiori. Verifica dominio e sottodominio. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
- Esamina issue e issuewild. Distingui certificati normali e wildcard. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
- Controlla DNSSEC. La risposta deve essere validabile. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
- Ripeti da resolver pubblici. Verifica coerenza e TTL. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
Metodo sicuro di intervento
Prima di modificare la configurazione, registra lo stato iniziale: indirizzo o funzione coinvolta, messaggio completo, data e ora, ultima modifica nota e risultato da un secondo dispositivo, rete o strumento. Una diagnosi ripetibile è più utile di molti tentativi eseguiti contemporaneamente.
Applica una sola correzione alla volta e conserva una copia dei file, dei record o dei valori precedenti. Dopo ogni intervento ripeti esattamente il test originale e controlla i log relativi allo stesso intervallo temporale. Se il risultato cambia, annota quale modifica lo ha prodotto.
Evita disattivazioni globali di firewall, WAF, TLS, cache o sistemi di sicurezza. Quando serve una eccezione, deve essere limitata all’URL, al parametro, al processo o al servizio realmente interessato.
Procedura di risoluzione
- Autorizza le CA necessarie. Aggiungi record distinti con tag issue. Dopo la modifica ripeti lo stesso test, controlla il log e verifica che non siano comparsi effetti collaterali.
- Configura issuewild. Solo quando usi certificati wildcard. Dopo la modifica ripeti lo stesso test, controlla il log e verifica che non siano comparsi effetti collaterali.
- Rimuovi policy obsolete. Dopo aver verificato che non servano più. Dopo la modifica ripeti lo stesso test, controlla il log e verifica che non siano comparsi effetti collaterali.
- Mantieni sintassi corretta. Usa flag 0 salvo indicazioni specifiche. Dopo la modifica ripeti lo stesso test, controlla il log e verifica che non siano comparsi effetti collaterali.
- Coordina con CDN e AutoSSL. Evita di autorizzare una sola CA quando i servizi ne usano più di una. Dopo la modifica ripeti lo stesso test, controlla il log e verifica che non siano comparsi effetti collaterali.
- Attendi il TTL. Dopo aver corretto la zona autoritativa. Dopo la modifica ripeti lo stesso test, controlla il log e verifica che non siano comparsi effetti collaterali.
- Rilancia l’emissione. Solo quando i resolver restituiscono il nuovo valore. Dopo la modifica ripeti lo stesso test, controlla il log e verifica che non siano comparsi effetti collaterali.
Controlli finali
- CAA visibili dai resolver.
- AutoSSL completa.
- Certificato CDN valido.
- Wildcard autorizzato quando necessario.
- DNSSEC senza errori.
Prevenzione
- Documenta CA usate.
- Controlla CAA prima di migrazioni.
- Monitora rinnovi.
- Rimuovi provider dismessi.
- Evita record copiati senza verifica.
Errori da evitare
- Non autorizzare CA casuali.
- Non usare issuewild pensando che copra tutto.
- Non dimenticare l’ereditarietà.
- Non modificare CAA durante un rinnovo senza piano.
- Non confondere CAA e certificato installato.
Come documentare la verifica
Conserva una breve nota con configurazione iniziale, risultato di ogni controllo e modifica applicata. Inserisci sempre data e ora, perché cache, log, code, rate limit e processi pianificati possono cambiare nel tempo. Questa documentazione facilita il rollback e permette all’assistenza di evitare verifiche già eseguite.
Quando confronti due test, usa le stesse condizioni: stesso URL o destinatario, stesso file, stesso client e stessa rete quando possibile. Se cambi più variabili, il risultato non permette di individuare con certezza la causa.
Controllo incrociato
Dopo la correzione esegui almeno un controllo indipendente. Per un sito confronta browser, risposta HTTP e log; per DNS interroga autoritativo e resolver pubblico; per la posta confronta Webmail, intestazioni e Track Delivery; per PHP verifica il valore effettivamente applicato al dominio. Un solo indicatore può essere influenzato da cache o configurazioni locali.
Se il problema ricompare, evita ulteriori modifiche e raccogli nuovamente i dati. La ricorrenza può indicare un processo pianificato, un limite raggiunto, una dipendenza esterna o una configurazione che viene rigenerata automaticamente.
Quando contattare l’assistenza Xlogic
Apri un ticket quando il problema persiste dopo i controlli di base, coinvolge più servizi oppure richiede log e configurazioni non disponibili nel pannello. Indica:
- dominio
- record CAA attuali
- servizio certificato
- errore emissione
- resolver e orario
Non inviare credenziali. Per iniziare la diagnosi sono sufficienti dati tecnici, orari, URL, codici e messaggi di errore.
Fonti tecniche ufficiali
Domande frequenti su record CAA
Il record CAA è obbligatorio?
No, ma se presente limita le CA autorizzate e deve essere mantenuto correttamente.
issuewild sostituisce issue?
No. Gestisce specificamente i certificati wildcard.
CAA blocca un certificato già installato?
Non invalida quello esistente, ma può impedire rinnovo o nuova emissione.
Un sottodominio eredita CAA?
Sì, finché non viene trovata una policy CAA più specifica.
Posso autorizzare più CA?
Sì, pubblicando più record CAA appropriati.