Enregistrements CAA : une protection simple qui verrouille l'émission SSL

Un enregistrement CAA (Certification Authority Authorization) est une entrée DNS qui indique précisément quelles autorités de certification sont autorisées à émettre des certificats SSL/TLS pour votre domaine. Publiez-en un, et toute autorité de certification (AC) respectueuse des règles est tenue de refuser une demande de certificat émanant de quiconque d'autre — comblant une faille que la plupart des propriétaires de domaine ignoraient.

Depuis septembre 2017, le CA/Browser Forum impose à toutes les autorités de certification publiquement approuvées de vérifier les enregistrements CAA avant toute émission. Cette seule ligne de DNS transforme « des dizaines d'AC peuvent se porter garantes de mon domaine » en « seulement celles que j'ai nommées ». Ce guide explique ce que font les enregistrements CAA, l'attaque subtile qu'ils bloquent et comment les ajouter sans casser vos renouvellements.

Ce que font les enregistrements CAA

Un enregistrement CAA se trouve dans la zone DNS de votre domaine, aux côtés de vos enregistrements A, MX et TXT. Son rôle est précis : il publie la liste des autorités de certification que vous avez autorisées à émettre des certificats TLS/SSL pour le domaine, et toute AC qui respecte les règles doit lire cette liste avant de signer un certificat.

Le détail essentiel est le moment où la vérification a lieu. Un enregistrement CAA est lu par l'AC au moment où un certificat est demandé ou renouvelé — et non par les navigateurs de vos visiteurs lorsqu'ils se connectent. C'est un contrôle sur l'émission, pas sur le trafic en direct. Cela signifie qu'en ajouter un n'a aucun effet sur les certificats que vous détenez déjà et ne peut pas casser un site qui fonctionne ; il régit uniquement qui pourra créer de nouveaux certificats à l'avenir.

La vérification n'est plus facultative. Avant que le CA/Browser Forum ne la rende obligatoire, la prise en charge de CAA était rare et largement ignorée. Aujourd'hui, le respect de votre enregistrement CAA fait partie des exigences de base que toute AC approuvée s'engage à suivre.

Le vecteur d'attaque négligé que ferment les enregistrements CAA

Votre navigateur fait confiance à des dizaines d'autorités de certification racines. Sans enregistrement CAA, n'importe laquelle d'entre elles peut émettre un certificat valide et approuvé par le navigateur pour votre domaine — et vos visiteurs verraient le cadenas dans tous les cas. La sécurité de votre certificat n'est jamais plus solide que l'AC la plus faible de tout le pool de confiance.

Ce n'est pas hypothétique. En 2011, l'autorité néerlandaise DigiNotar a été compromise et utilisée pour émettre des certificats frauduleux pour des domaines majeurs, qui ont ensuite servi à intercepter du trafic chiffré. D'autres AC ont émis des certificats par erreur à cause de bogues de validation ou d'ingénierie sociale. Dans chaque cas, le propriétaire du domaine n'avait rien fait de mal — la faiblesse se trouvait dans une AC avec laquelle il n'avait jamais choisi de travailler.

Un enregistrement CAA réduit cette surface d'attaque, de « toutes les AC de la planète » à la ou aux deux que vous utilisez réellement. Si un attaquant trompe ou compromet une autorité sans rapport, cette autorité est désormais tenue de lire votre enregistrement CAA, de constater qu'elle n'y figure pas et de refuser. CAA ne rend pas l'émission erronée impossible, mais il en supprime le chemin le plus facile.

Anatomie d'un enregistrement CAA

Un enregistrement CAA comporte trois parties : un octet d'indicateur (flag), une balise (tag) et une valeur. Vous utiliserez trois balises :

• issue — autorise une AC à émettre des certificats pour le domaine et ses sous-domaines. Une valeur typique est letsencrypt.org.
• issuewild — s'applique spécifiquement aux certificats génériques (wildcard) tels que *.example.com, et prime sur issue pour les certificats génériques lorsqu'elle est présente.
• iodef — une adresse (mailto: ou https://) à laquelle une AC doit signaler une émission non autorisée bloquée ou tentée, afin que vous soyez réellement informé d'une attaque.

Un jeu typique se lit ainsi : 0 issue "letsencrypt.org", 0 issuewild "letsencrypt.org" et 0 iodef "mailto:[email protected]". Le 0 en tête est l'indicateur ; le fixer à 128 marque la balise comme « critique », ce qui signifie qu'une AC qui ne la comprend pas doit refuser d'émettre plutôt que de poursuivre.

Deux valeurs spéciales méritent d'être connues. Une valeur issue vide — issue ";" — interdit toute émission, ce qui est idéal pour un domaine parqué qui ne devrait jamais avoir de certificat. Et vous pouvez autoriser plusieurs AC simplement en ajoutant d'autres enregistrements issue, un par autorité.

Verrouiller l'AC, le compte et la méthode

CAA peut aller plus loin que simplement nommer une AC. Une spécification ultérieure ajoute des paramètres qui vous permettent de lier l'émission à un compte et à une méthode de validation précis auprès de cette autorité :

• accounturi — verrouille l'émission sur un seul compte ACME, de sorte que même une personne utilisant la même AC ne peut pas obtenir de certificat sous un autre compte.
• validationmethods — restreint les types de défi acceptés, par exemple uniquement dns-01, bloquant la validation HTTP plus facile à usurper.

Un enregistrement renforcé pourrait se lire ainsi : 0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/12345; validationmethods=dns-01". La prise en charge de ces paramètres varie selon l'AC ; testez donc avant d'en dépendre.

Comment ajouter des enregistrements CAA à votre domaine

1. Faites l'inventaire de vos AC. Dressez la liste de toutes les autorités qui émettent des certificats pour vous — votre CDN (Cloudflare, Fastly), votre hébergeur ou répartiteur de charge (AWS utilise amazon.com, Google utilise pki.goog) et tous les certificats manuels (Let's Encrypt, DigiCert, Sectigo, GlobalSign). Oubliez-en une et ses renouvellements échoueront silencieusement.
2. Ajoutez les enregistrements chez votre fournisseur DNS à l'aide des balises issue, issuewild et iodef ci-dessus. La plupart des panneaux de configuration proposent un type d'enregistrement CAA dédié ; quelques-uns exigent le format brut.
3. Vérifiez. Interrogez-le vous-même avec dig CAA yourdomain.com, ou utilisez un outil public de test CAA, puis confirmez qu'un renouvellement de certificat réussit toujours.

L'ensemble de la modification se résume à quelques lignes DNS, ne coûte rien et peut être annulé instantanément en supprimant les enregistrements — l'un des gains de sécurité les moins coûteux que vous ferez jamais.

Les erreurs qui cassent discrètement les renouvellements

• Oublier une AC de CDN ou de plateforme. L'échec classique : vous verrouillez le domaine sur Let's Encrypt, puis le certificat de votre CDN ne peut pas se renouveler parce que son autorité n'a jamais été autorisée.
• Ignorer les certificats génériques. Si vous dépendez de certificats *.example.com mais ne définissez que issue, certaines configurations bloquent tout de même le certificat générique. Ajoutez explicitement issuewild.
• Les surprises de sous-domaines. Les vérifications CAA remontent du nom d'hôte exact vers les domaines parents, de sorte qu'un enregistrement sur example.com couvre api.example.com à moins qu'un enregistrement plus spécifique ne le remplace. Planifiez la hiérarchie délibérément.
• Négliger DNSSEC. Un attaquant capable d'usurper votre DNS pourrait retirer l'enregistrement CAA avant qu'une AC ne le lise. Signer votre zone avec DNSSEC protège l'intégrité de l'enregistrement et rend l'ensemble du contrôle digne de confiance.

La place de CAA dans votre pile de sécurité de domaine

Un enregistrement CAA n'est qu'une couche. Il s'associe naturellement aux contrôles qui protègent le domaine lui-même : la double authentification par application (jamais par SMS) sur votre compte de bureau d'enregistrement, un verrou de bureau d'enregistrement contre les transferts non autorisés, un verrou de registre pour les noms de grande valeur, DNSSEC pour signer votre zone et une adresse e-mail de récupération sur un domaine distinct. CAA protège qui peut certifier votre nom ; ces mesures protègent qui peut le déplacer ou le réorienter.

Tout cela suppose de gérer le DNS sur une plateforme à la hauteur. Pour un enregistrement à prix coûtant, Porkbun (environ 11 $) et Cloudflare (à peu près au prix de gros) sont les choix les moins chers et les plus polyvalents. Lorsque vous voulez aussi un nom premium et propice à une marque, Atom.com est une excellente option : c'est une place de marché organisée où chaque annonce est accompagnée d'une estimation IA gratuite, d'une vérification de marque USPTO, d'un séquestre sécurisé et d'un logo conçu par des professionnels — et Atom fournit également des services de bureau d'enregistrement, afin que vous puissiez enregistrer un domaine disponible, définir les serveurs de noms, gérer la redirection et activer DNSSEC sur la même plateforme. Que vous enregistriez un nouveau domaine ou en acquériez un propice à une marque, ajoutez l'enregistrement CAA dès le premier jour. Cela prend quelques minutes, ne coûte rien et n'expire jamais.

Questions fréquentes

Les enregistrements CAA rendent-ils mon site plus sûr pour les visiteurs ?

Indirectement. CAA est appliqué au moment de l'émission du certificat, et non lorsqu'un visiteur se connecte, de sorte que les navigateurs ne le lisent jamais. Sa valeur réside dans le fait d'empêcher qu'un certificat soit émis pour votre domaine par une autorité que vous n'avez jamais approuvée — ce qui stoppe toute une catégorie d'attaques d'usurpation et d'interception du trafic avant même qu'elles ne commencent.

L'ajout d'un enregistrement CAA cassera-t-il mon certificat SSL existant ?

Non. CAA n'est vérifié que lorsqu'un nouveau certificat est demandé ou renouvelé, de sorte que les certificats que vous détenez déjà continuent de fonctionner. Le seul risque est l'échec d'un futur renouvellement si vous avez oublié d'autoriser une AC que vous utilisez réellement ; faites donc l'inventaire de toutes les autorités — y compris votre CDN et votre hébergeur — avant de publier l'enregistrement.

Quelles autorités de certification dois-je lister dans mon enregistrement CAA ?

Dressez la liste de toutes les autorités qui émettent des certificats pour vous. Les valeurs courantes sont letsencrypt.org, digicert.com, sectigo.com, globalsign.com, pki.goog pour Google et amazon.com pour AWS. Consultez votre certificat actuel ainsi que la documentation de votre hébergeur ou de votre fournisseur CDN, et incluez toute AC de secours vers laquelle vous pourriez basculer plus tard.

Un enregistrement CAA remplace-t-il DNSSEC ou un verrou de bureau d'enregistrement ?

Non — ils protègent des choses différentes. CAA contrôle qui peut émettre des certificats ; DNSSEC protège l'intégrité de vos réponses DNS, y compris l'enregistrement CAA lui-même ; les verrous de bureau d'enregistrement et de registre empêchent les transferts non autorisés. Utilisez-les ensemble comme des couches plutôt que de considérer l'un comme un substitut aux autres.

Où ajouter un enregistrement CAA, et cela coûte-t-il quelque chose ?

Vous l'ajoutez là où le DNS de votre domaine est géré — votre bureau d'enregistrement ou votre fournisseur DNS — sous forme d'enregistrement de type CAA. C'est gratuit et cela prend quelques minutes. Les bureaux d'enregistrement à prix coûtant comme Porkbun et Cloudflare le gèrent bien, et Atom.com est un bon choix lorsque vous voulez aussi un nom premium et propice à une marque, avec estimation, vérification de marque, séquestre et gestion DNS sur une seule plateforme.