CAA 记录怎么配？授权指定 CA 签发 SSL 证书、防止错误签发

先说结论：CAA 记录用来授权指定证书颁发机构（CA）为你的域名签发 SSL 证书，防止证书被错误签发。配好后，只有你授权的 CA 能给你的域名签证书，其余 CA 会因这条记录而拒签。本文讲清它的格式和添加方法（官方说明见添加 CAA 记录：授权指定 CA 签发 SSL）。

CAA 记录是干什么的

CAA（Certification Authority Authorization，证书颁发机构授权）记录，作用是告诉各 CA「只有谁可以给我的域名签 SSL 证书」。如果你只信任某一家 CA，配了 CAA 记录后，其他 CA 看到这条记录就不会再给你的域名签发证书，从而避免证书被错误签发。

CAA 记录的记录值怎么写

CAA 记录的目标值格式为 flag tag value，三段用一个空格隔开，例如 0 issue bt.cn。各段含义如下：

参数	说明
flag	目前取值 0–128，用于标志认证机构；默认填 0，表示证书颁发机构无法识别本条信息时直接忽略
tag	取值 issue、issuewild、iodef
value	不包含 |、""、、、<> 和中文字符的字符串

tag 字段三种取值的区别：

• issue：授权 CA 颁发任意类型的域名证书
• issuewild：授权 CA 颁发主机名的通配符证书
• iodef：让 CA 可以把违规的颁发记录 URL 发送到你指定的电子邮箱

怎么在宝塔后台添加 CAA 记录

1. 登录宝塔域名管理后台，进入「域名列表」页面，找到需要设置 CAA 记录的域名，点击「解析」按钮。

   

2. 点击「添加记录」，填写记录信息：

   

3. 按以下要点填写各字段：

   • 主机记录：填子域名。例如给 www.example.com 添加解析，就填 www；只想给 example.com 本身添加解析，就选 @。
   • 记录类型：选择「CAA」。
   • 线路类型：选择「默认」，否则会导致部分 CA 机构无法进行认证。
   • 记录值：按 flag tag value 格式填写，例如 0 issue bt.cn；多个 CAA 字段可以加到同一个域名的 DNS 记录中。
   • 权重：不需要填写。
   • MX 优先级：不需要填写。
   • TTL：为缓存时间，数值越小，修改记录各地生效越快，默认为 600 秒。

4. 点击「确定」，完成添加。

说明：操作过程中如果出现问题，请联系客服。