El registro DNS del tipo CAA (Certification Authority Authorization) es un registro de seguridad que te permite designar qué entidades certificadores están autorizadas para emitir certificados digitales para tu nombre de dominio.
Es un tipo de registro relativamente reciente, ya que aunque existe desde 2013 (RFC 6844) su uso es obligatorio desde Septiembre de 2017. Por lo tanto, todas las entidades certificadoras estarían obligadas a revisar si existe este registro antes de poder emitir un certificado SSL para un dominio concreto.
En Webempresa usamos la entidades certificadoras Let’s Encrypt y ZeroSSL para la emisión de los certificados gratuitos que os ofrecemos; además también facilitamos certificados de seguridad de Sectigo. Los registros de tipo CAA adecuados para permitir a estas entidades emitir certificados para tu dominio, serían los siguientes:
midominio.xxx. 3600 IN CAA 0 issue "sectigo.com"
midominio.xxx. 3600 IN CAA 0 issue "letsencrypt.org"
midominio.xxx. 3600 IN CAA 0 issuewild "sectigo.com"
midominio.xxx. 3600 IN CAA 0 issuewild "letsencrypt.org"
Donde «midominio.xxx.» sería el nombre de tu dominio.
Solo las entidades certificadoras designadas en los registros CAA podrán emitir certificados para ese dominio, pero en el caso de no existir ningún registro CAA se entiende que no existen restricciones y por lo tanto cualquier entidad certificadora podrá emitir certificados para dicho dominio.
Si tienes creados los registros CAA que te indicamos, pero no consigues solicitar el certificado de seguridad para tu dominio, tienes dos opciones:
- Eliminar todos los registros de tipo CAA para que cualquier entidad pueda emitir certificados digitales para tú dominio.
- Asegurarte que los registros están correctamente creados. Dispones de validadores online como por ejemplo caatest.co.uk.
Una vez que hayas llevado a cabo alguno de los puntos anteriores, puedes seguir estos pasos para solicitar nuevamente el certificado:
-
- Vaciar en Google la cache DNS de tu dominio, indicando registro CAA para hacer un «Flush Cache» a través de su herramienta https://dns.google/cache . Es importante hacer esto para actualizar la información DNS de tu dominio, ya que Let’s Encrypt, ZeroSSL y Sectigo validan tus DNS utilizando el servicio de Google.
-
- Validar que la configuración del CAA que has realizado es la correcta en caatest.co.uk
- Por último, solicitar de nuevo el certificado. Para los certificados gratuitos, accede al panel de control de tu alojamiento con nosotros (WePanel) y dirígete a la sección de Seguridad > SSL/TLS. A continuación haz clic en el botón a la derecha de tu dominio y luego en Solicitar certificado SSL gratuito.
Si tu certificado es de Sectigo de pago, y lo estás contratando en WebEmpresa, puedes retomar el proceso en el punto en que lo dejaste a través del panel de SSL. según comentamos en esta guía.
Siguiendo estos pasos, deberías poder obtener tu certificado en poco tiempo.
Como siempre, si tienes cualquier inconveniente no dudes en consultar con soporte.
