CAA kaydı nedir; ACME ile sertifika alırken neden önemlidir?

Kısa cevap

CAA (Certification Authority Authorization) kaydı bir domain için hangi CA'ların sertifika üretebileceğini bildirir (RFC 8659); ör. example.com. CAA 0 issue "letsencrypt.org". CA sertifika üretmeden önce bu kaydı denetler: domain'de CAA kaydı varsa ve CA listede yoksa sertifika üretilmez; hiç CAA kaydı yoksa her CA üretebilir. TR7'de ACME ile sertifika alınırken sertifika formundaki Acme.sh Server seçimine göre altta bir bilgi kutusu, CAA kaydında bulunması gereken CA'yı gösterir: letsencrypt için letsencrypt.org, zerossl için sectigo.com, google için pki.goog, sslcom için ssl.com. Domain'in DNS'i TR7 GTM'deyse CAA, Record Type listesinden seçilerek kayıt olarak da yayımlanır.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Certificates & PKI → SSL/TLS Certificates → Add → ACME.SH	Acme.sh Server altındaki bilgi kutusu	Seçilen ACME sunucusu için CAA kaydında olması gereken CA adını gösterme
GTM → GTM Services → servis adı → Records → Add	Record Type = CAA; değer Record hücresine metin olarak (ör. 0 issue "letsencrypt.org")	CAA kaydını GTM'deki zone'da yayımlama
Load Balancer → Profiles → Health Checks (DNS)	DNS Record Type = CAA	DNS sunucusunu CAA sorgusuyla denetleme
GTM → GTM Services → servis adı → Dashboard → Query Types	CAA Queries paneli	CA'ların ve diğer istemcilerin CAA sorgularını izleme

CAA Kaydının Yapısı

Parça	Örnek	Anlamı
Flags	0	128 kritik bayrak; tanınmayan etiketli kritik kayıtta CA üretim yapmaz
Tag	issue / issuewild / iodef	Tek ad sertifikası / wildcard sertifika / ihlal bildirim adresi
Value	"letsencrypt.org"	İzin verilen CA'nın domain'i ya da bildirim adresi

• Wildcard sertifika için issuewild etiketi varsa yalnızca o etiket dikkate alınır; yoksa issue geçerli olur.
• ACME ile wildcard sertifika DNS-01 doğrulaması ister; doğrulama metni TXT kaydıyla yayımlanır (ACME'de HTTP-01 ile DNS-01 arasındaki fark nedir; wildcard için neden DNS-01 gerekir?).

Sık Karıştırılan Noktalar

• "CAA kaydı sertifikayı daha güvenli yapar." CAA yalnızca hangi CA'nın sertifika üretebileceğini sınırlar; sertifikanın kendisini değiştirmez.
• "Bilgi kutusu CAA kaydının zorunlu olduğunu söylüyor." Bilgi kutusu, domain'de CAA kaydı varsa içinde bulunması gereken CA'yı gösterir; CAA kaydı hiç yoksa her CA sertifika üretebilir.
• "ACME başarısız olduysa CAA kaydı eklemek gerekir." CAA kaydı olmayan domain'de her CA sertifika üretebildiği için CAA eklemek gerekmez. CAA, domain'de seçilen CA'yı içermeyen bir CAA kaydı bulunduğunda üretimi engeller; bu durumda mevcut kayda seçilen ACME sunucusunun CA adı eklenir.

Dokümantasyonda nasıl yapılır

• SSL/TLS Certificates · Acme.sh Server
• Records · Desteklenen DNS kayıt türleri
• Health Checks · DNS Record Type

İlgili sorular

• Let's Encrypt / ACME ile otomatik sertifika alabilir miyim?
• ACME protokolü ve Let's Encrypt nedir?
• ACME'de HTTP-01 ile DNS-01 arasındaki fark nedir; wildcard için neden DNS-01 gerekir?