Transparencia de certificados y CAA: mira quién emite certificados para tu dominio
Qué muestran los registros de transparencia de certificados, cómo detectar un emisor o un comodín inesperado y cómo escribir un registro CAA que nombre solo a tus CA.
Todo certificado TLS de confianza pública se escribe en registros abiertos de solo anexado (transparencia de certificados, RFC 9162). Cualquiera puede consultarlos, así que puedes ver cada certificado que cualquier CA haya emitido para tu dominio, incluidos los que no pediste.
Qué muestran los registros
Por cada certificado, los registros muestran los nombres que cubre, la CA que lo emitió y las fechas de validez. Buscar tu dominio y sus subdominios da todo tu historial de certificados y también deja ver subdominios que quizá olvidaste: un nombre en un certificado es público, así que no pongas secretos en los nombres de host.
Qué buscar
Un emisor que nunca usas. Si todos tus certificados vienen de una o dos CA y aparece una tercera, alguien pidió un certificado para tu nombre: un colega con una herramienta nueva u otra persona.
Un certificado comodín (*.example.com). Es válido para todos los subdominios, así que vale más para un atacante que uno de nombre único. Los comodines son normales en algunas plataformas; lo importante es que conozcas cada uno.
Un certificado de una CA que tu registro CAA no incluye. O el registro era distinto cuando se emitió el certificado, o la CA cometió un error. Lo primero exige revisar quién puede cambiar tu DNS; lo segundo, avisar a la CA.
No todo emisor nuevo es un cambio. Algunas plataformas de alojamiento rotan entre varias CA, así que un emisor nuevo de una plataforma así es lo esperado.
Qué hacer con uno que no esperabas
Averigua quién lo pidió: un colega, un proveedor, una herramienta. Si nadie lo hizo, pide a la CA que lo revoque e infórmale de que la solicitud no estaba autorizada; después endurece tu registro CAA para que esa CA ya no pueda emitir para ti.
Escribir un registro CAA
Un registro CAA lista las CA que pueden emitir para un dominio. Sin él, cualquier CA puede. Cada CA publica su propio identificador, como letsencrypt.org o digicert.com.
example.com. 3600 IN CAA 0 issue "letsencrypt.org"
example.com. 3600 IN CAA 0 issuewild ";"
example.com. 3600 IN CAA 0 iodef "mailto:security@example.com"issue nombra las CA autorizadas a emitir certificados normales. issuewild controla los comodines por separado, y un punto y coma como valor los prohíbe. iodef da a las CA una dirección para avisarte de solicitudes rechazadas. Un registro CAA se aplica al nombre y a sus subdominios, salvo que un subdominio tenga el suyo.
Antes de publicar, lista las CA de las que vinieron realmente tus certificados en el último año, incluidas las que usan por ti tu alojamiento, tu CDN y tu proveedor de correo; si omites una, su próxima renovación falla. El monitor de ProbeKit propone un registro CAA a partir de las CA que de verdad emiten para ti, tras una verificación nueva de lo que está publicado. Empieza con un TTL corto y observa la próxima renovación.
Preguntas frecuentes
- ¿Los registros de transparencia de certificados exponen datos privados?
- Listan nombres y emisores, no claves ni tráfico. Los nombres de host en los certificados son públicos, así que evita poner información sensible en ellos.
- ¿Un registro CAA detiene a los atacantes?
- Impide que las CA honestas emitan para otra persona con tu nombre. No detiene a un atacante que controla tu DNS ni a una CA que ignora la regla. Los registros son la forma de enterarte.
- ¿Necesito un registro CAA?
- Es opcional y una protección barata. Publícalo cuando sepas qué CA usas.
- ¿Cuánto tarda un certificado nuevo en aparecer en los registros?
- Normalmente menos de un día. ProbeKit lee los registros una vez al día y lista una sola vez los certificados que ya existían, sin alertar.
Pruébalo con tu propia configuración:
Consultar tu registro CAA