Cómo agregar registros de autorización de la autoridad de certificación en Google Domains

Agregue otra capa de protección a su presencia en línea. Cree un registro DNS CAA para especificar qué proveedor puede emitir certificados para su dominio.

A partir de septiembre de 2017, ahora tiene una forma adicional de proteger su sitio web. Puede crear registros de sistema de nombres de dominio (DNS) de autorización de autoridad de certificación (CAA) para identificar quién puede emitir certificados SSL para su dominio. Una vez configurado, el sistema puede verificar que el proveedor de certificados especificado en el registro DNS de CAA coincida con el origen del certificado del sitio. El tipo de registro DNS de CAA está diseñado para limitar la capacidad de los malos actores de emitir certificados no autorizados para dominios.

Debe leer el informe de seguridad

Antes de agregar registros CAA, debe configurar una autoridad de certificación para su dominio (esto es parte del proceso para crear conexiones HTTPS). ¿No estás seguro si tienes esto configurado? Si lo hace, verá un candado junto a la URL del sitio web cuando lo visite. Por ejemplo, en Chrome, el candado se vuelve verde cuando se produce una conexión HTTPS. (Consulte «5 mejores prácticas para cambiar su sitio a HTTPS para obtener más seguridad» para obtener más detalles. Para agregar un certificado, consulte con su proveedor de alojamiento. Muchos proveedores le permitirán agregar un certificado gratis).

A continuación, debe poder crear registros DNS CAA. La mayoría del software DNS, como BIND y Windows Server 2016, ya admiten registros CAA. Algunos proveedores, como Digital Ocean, Gandi y Linode, admiten el tipo de registro CAA.

Google Domains le permite agregar registros CAA. Eso es todo.

1. Identifique a su proveedor de certificados

Primero, obtenga el nombre de dominio oficial utilizado por su autoridad de certificación. Por ejemplo, como uso Let’s Encrypt, el dominio es Letsencrypt.org. (Consulte Let’s Encrypt para obtener más información sobre CAA:

2. Seleccione el nombre de dominio para comprobar

La configuración más común y sencilla es verificar el CAA de su dominio principal (p. ej., example.com). Pero puede crear registros CAA para subdominios, como sitioseguro.ejemplo.com.

SSLMate proporciona una herramienta CAA Record Helper (consulte para ayudarlo a crear entradas CAA. Puede ayudarlo a identificar y modificar registros CAA existentes, o generar automáticamente los valores necesarios para crear otros nuevos. Por ejemplo, si quiero proteger Tecnopedia .com, puedo ingresar ese nombre en el campo de nombre de dominio y seleccionar «Generar política automáticamente». La herramienta detecta mi proveedor de certificados y genera valores de política de muestra.

3. Agregar registro

A continuación, inicie sesión en su administrador de dominio para agregar un registro CAA. Si usa Google Domains, inicie sesión en su cuenta y seleccione su dominio, luego seleccione la opción Editar registros DNS. Tome la información de la política creada anteriormente e ingrésela en los campos correspondientes. En mi caso, escribí: wolberworks.com.En el campo Dominio, seleccione CAA como el tipo de registro del menú desplegable, luego 0 números de «letscrypt.org» y seleccione «Agregar» para guardar el registro. Luego, espero a que se actualice el registro en el Sistema de Nombres de Dominio.

4. Revisa tu trabajo

Para verificar que el nuevo registro CAA funciona, puede ejecutar una prueba con otra herramienta: ingrese el nombre de dominio para el que creó el registro CAA en el campo «Nombre de host». Alternativamente, marque «No mostrar resultados a bordo» para mantener privados los resultados de su prueba. Luego envíe el dominio para ejecutar una serie de pruebas.

Los resultados muestran diversa información sobre su dominio. Busque la frase «Se encontró la política de autorización de la autoridad de certificación (CAA) de DNS para este dominio». Debajo de los resultados, debería ver su proveedor de certificados en Detalles de CAA de DNS.

protección cuidadosa

Como ocurre con la mayoría de las medidas de seguridad, aún pueden surgir problemas. Las fallas de seguridad en su proveedor de certificados o registrador de dominio podrían crear problemas. Un atacante experimentado aún puede proporcionar datos de DNS falsos con el fin de suplantar la identidad.

Piense en los registros CAA como una forma de aplicar una capa adicional de protección a la presencia en línea de su organización. Si se ha tomado el tiempo de obtener un certificado para su sitio, tómese el tiempo para crear un registro CAA también.

¿Ha creado un registro CAA para su sitio web? ¿Cómo va tu configuración? Si no, ¿por qué? Házmelo saber en los comentarios o en Twitter (@awolber).