一条 CAA 记录，能挡住不该签发的证书

域名解析里除了常见的几条记录，还有一类平时没人看，却直接决定谁能给这个域名签证书。它叫 CAA，配好了是一道门闩，配错了就是一次故障。

它管什么

CAA 记录写在 DNS 里，用来声明哪些证书颁发机构可以为该域名签发证书。机构在签发前必须查询，不在名单里的申请应当被拒绝。技术规范是 RFC 8659，逻辑很简单：域名所有者先说清楚“只认这几家”。

三种常见标签

issue 指定允许签发的机构；issuewild 单独控制通配符证书，写了就以它为准，没写就沿用 issue 的名单；iodef 提供一个接收违规签发报告的地址。三者可以只写一部分，但 issuewild 是覆盖而不是补充：想让通配符只交给某一家签，必须单独写一条；反过来，写一条空的 issuewild，就等于禁止签发通配符。

查找会逐级向上

查询从完整域名开始，一级一级往上找，遇到第一条 CAA 记录就停下来。这意味着子域上的记录会覆盖主域，反过来，主域上的记录管不到已经单独配置的子域。多个子域分属不同团队维护时，这一层最容易出岔子。

配置顺序很重要

先把当前在用的机构全部列全，确认签发正常，再逐步收紧。直接写一条只允许某家机构的记录，CDN 托管证书、邮件服务、监控探针的自动签发可能当场失败，而且报错信息往往指向证书而不是解析。

和托管证书的关系

用 CDN 或云平台托管证书时，实际签发方可能是平台的合作机构。收紧之前先问清楚签发主体，不要按自己买证书的那家来写。这一条问一次，能省掉后面几个小时的排查。

TTL 与回退

记录改动后要等缓存过期才生效。调整期把 TTL 调短，出问题时能快速回退。改动当天别同时做解析迁移或证书更换，两件事叠在一起，故障现象会互相掩盖。

它的边界

CAA 挡不住已经失控的机构，也不能替代签发日志审计。它的价值在于把“谁能签”写成明文，让误签发多一道拦阻，也让资产清单多一份可核对的依据。

小结

CAA 是一条低成本、高收益的记录：写清楚授权范围、控制好查找层级、留出回退余地。配之前先盘点，配之后要验证。冉冉科技在做域名与解析托管时，会先确认站点实际使用的签发渠道，再建议是否收紧。

关于冉冉科技

江苏冉冉信息科技有限公司（品牌“冉冉科技”）成立于2017年，位于江苏省常州市新北区，是一家从事互联网信息服务、电子商务应用与企业应用系统开发的技术服务企业。公司业务涵盖网站建设、网页设计、SEO优化、竞价包年、域名注册、虚拟主机、企业邮箱、整合营销及企业形象策划等，以“只做有效果的网络营销”为服务主张，累计完成三千余起网站建设与服务。