CAA-записи в 2026 году: кто защищает домен от чужого сертификата

Запись CAA в DNS перечисляет удостоверяющие центры, которым разрешено выпускать сертификаты для домена. Центр обязан проверить её перед выпуском: если его там нет — он отказывает.

Смысл в том, чтобы чужой центр не выпустил сертификат на ваш домен — по ошибке, по поддельной заявке или после компрометации почты администратора. Без CAA такую заявку не остановит ничто, кроме внутренних процедур самого центра.

Запись бесплатна и ставится один раз. Тем не менее она остаётся редкой, и ниже видно, насколько.

27 августа 2026 года мы запросили запись CAA у доменов, которые пользователи приводили в наши инструменты, по 150 на зону. Запрос — dig CAA к публичному резолверу, по регистрируемому имени:

В зоне .ru запись нашлась у двух доменов из ста двадцати пяти — в шесть раз реже, чем в .com, и в одиннадцать раз реже, чем в .org.

Оговорка о выборке: это домены, которые кто-то решил проверить, а не случайный срез зоны. Сравнение зон между собой корректно — они набраны одинаково; уровень по .ru как оценку «всего Рунета» брать нельзя. Отказов при измерении было по одному на зону, они исключены из счёта.

Отдельно мы измеряли подписание домена DNSSEC — совершенно другую защиту, но тоже живущую в DNS и тоже зависящую от регистратора. Результат совпал по направлению:

Два независимых измерения, разные записи, разные механизмы — и одинаковый разрыв. Это уже не совпадение, а свойство: у российских доменов проседает защита именно на уровне DNS, а не на уровне сервера. По TLS, напомним, .ru идёт вровень с .com.

Объяснение, согласующееся с обоими замерами: и DS, и CAA ставятся через панель регистратора. Где поля для них нет — владелец физически не может завершить настройку, сколько бы он о ней ни знал. Настройка TLS от регистратора не зависит, и там отставания нет.

Среди доменов, где запись есть, чаще всего разрешают: в .org — Let’s Encrypt (33 упоминания), Google Trust Services (20), DigiCert (19); в .com — Let’s Encrypt (14), DigiCert (12), Google Trust Services (10); в .net — Let’s Encrypt (22), Google Trust Services (13).

По .ru состав не приводим: записи всего у двух доменов, и любые доли на такой основе были бы бессмысленны.

Домен обычно перечисляет несколько центров сразу — отсюда сумма упоминаний больше числа доменов.

1. Проверьте, есть ли запись у вас. Она видна в проверке DNS вместе с остальными записями домена.
2. Поставьте её, если панель регистратора позволяет. Минимальный вид — одна строка, разрешающая тот центр, которым вы пользуетесь. Перечислите все, включая резервный: домен, разрешивший только один центр, не получит сертификат от другого в спешке.
3. Не забудьте про поддомены. Проверка идёт вверх по дереву, поэтому запись на втором уровне действует и ниже — но если для поддомена нужен другой центр, ему потребуется собственная запись.
4. Заодно посмотрите DNSSEC. Обе записи ставятся в одном месте и по одной причине; если панель умеет одну, обычно умеет и вторую.