CAA violation: сертификат не авторизован
CAA (Certificate Authority Authorization) violation — DNS CAA-запись домена не разрешает указанному CA выпускать cert. Let's Encrypt, DigiCert и другие CAs проверяют CAA перед issuance. Если CAA указывает "только digicert.com", а вы запрашиваете у Let's Encrypt — refuse. Исправление: добавить CA в CAA или убрать CAA запись.
Ниже: причины, исправление, FAQ.
Причины ошибки
- DNS CAA разрешает только конкретный CA (e.g. digicert.com), а вы используете Let's Encrypt
- CAA wildcard (
issuewild) не разрешает CA для wildcard certs - iodef CAA с неверным email — CA не может уведомить
- CAA с
;в value — syntax error, эффективно "no CA allowed" - Propagation не завершился — старая CAA всё ещё cached
Пошаговое исправление
- Проверьте текущий CAA: Enterno DNS → тип CAA
- Добавьте CA в CAA:
example.com. IN CAA 0 issue "letsencrypt.org" - Для wildcard:
example.com. IN CAA 0 issuewild "letsencrypt.org" - Полный пример: CAA research
- Wait 24 часа после CAA обновления (propagation)
Смежные SSL-ошибки
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
Мне НЕ нужен CAA — что делать?
Удалите все CAA records. Тогда любой CA может issue. CAA опционален — по умолчанию никаких ограничений.
Кто проверяет CAA?
CA перед issuance (обязательно для public CA с 2017). Browsers не проверяют CAA.
iodef CAA — обязателен?
Нет. iodef — email для уведомления при попытке мiss-issuance. Полезно, но опционально.
Как проверить CAA?
<a href="/dns">Enterno DNS</a> → CAA type. Или <code>dig CAA example.com</code>.