CAA和CNAME

Question

我的DNS供应商不允许我为已经定义了CNAME记录的主机名创建CAA记录。我知道当使用CNAME时，规范不允许其他记录类型(除了一些与DNSSEC相关的例外)，但是这似乎不正确……

不过..。为CNAME别名提供CAA记录的最佳方法是什么？

Answer 1

CAA记录应该遵循CNAMEs，因此您需要为CNAME记录的目标提供CAA记录。

引用https://letsencrypt.org/docs/caa/

CAA验证遵循CNAME，就像所有其他DNS请求一样。如果www.community.example.com是web1.example.net的CNAME，CA将首先为www.community.example.com请求CAA记录，然后看到该域名有CNAME而不是CAA记录，则将为web1.example.net请求CAA记录。请注意，如果域名有CNAME记录，则不允许根据DNS标准拥有任何其他记录。

试图“规避”这一点是没有帮助的，因为即使您创建了一个与CNAME并行的非法CAA记录，遵循该规范的客户也会忽略它。