什么是CAA记录

CAA记录指定可为域名签发TLS证书的认证机构。

在NetKarte中确认

在DNS Lookup输入证书对应的主机名，选择CAA，完成认证后搜索。通配符证书也应输入不含*.前缀的域名。

NetKarte分别显示Flag、Tag、Value和TTL。

注意事项

仅在查询名称下没有CAA，不能确定证书签发不受限制。认证机构的检查还涉及父级名称和别名。NetKarte显示查询目标的CAA响应，不会重现证书签发时的完整检查流程。CAA本身不能保证证书或网站整体安全。

不要混淆issue与issuewild

假设结果分别包含一条 issue 和 issuewild，应分别阅读普通与通配符证书的签发政策。Tag、Value、Flag必须属于同一记录。iodef 涉及报告目标，不是签发机构名称。

签发失败时，查询目标的CAA并对照认证机构要求的值。不要仅凭本次结果删除政策，还需检查适用的父级名称、别名及认证机构的错误说明。