Este artículo describe en detalle los registros DNS de tipo CAA, SSHFP y TLSA. Encontrará una guía general sobre los registros DNS y su configuración en la administración de clientes en el artículo DNS – Registros del dominio.
En este artículo conocerá:
- Para qué sirven los registros de tipo CAA
- Cómo funciona el registro de tipo HTTPS
- Cómo funciona el registro de tipo SSHFP
- Cómo funciona el registro de tipo TLSA
- Preguntas frecuentes
Registros de tipo CAA
El registro Certification Authority Authorization (CAA) permite determinar qué autoridades de certificación (CA) están autorizadas a emitir un certificado SSL para el dominio. Una variante del registro también permite definir una regla sobre cómo y a quién notificará la CA emisora el evento en que alguien intente emitir un certificado para el dominio mediante una autoridad de certificación que el registro no autoriza.
Si un dominio o subdominio no tiene configurado ningún registro CAA, cualquier CA puede emitirle un certificado sin restricciones. Además, es posible que una autoridad de certificación no admita los registros CAA; en ese caso, se comporta igual que si no existieran.
Los registros CAA configurados para el dominio principal también se aplican a todos los subdominios que no tengan configurado un registro CAA propio con reglas distintas.
Introducción de registros de tipo CAA
Encontrará una guía general para configurar registros DNS en la administración de clientes en el artículo DNS – Registros del dominio.
Si el dominio utiliza otros servidores DNS, los cambios automáticos o manuales de los registros en WEDOS no se reflejarán en su comportamiento.
Los datos de un registro CAA constan de estas partes:
- Flag: número positivo con valor 0-255 ⧉ (normalmente 0)
- Tag: define la propiedad del registro CAA
- Value: valor asignado a la etiqueta
Las etiquetas admitidas son:
- issue: autoriza a la CA definida a emitir cualquier tipo de certificado
- issuewild: autoriza a la CA definida a emitir únicamente certificados wildcard
- iodef: especifica la URL a la que la CA emisora notificará el incumplimiento de las reglas definidas por CAA para el dominio en cuestión
Al rellenar un registro de tipo CAA, siga estas reglas:
- Asigne a cada registro exactamente una regla tag-value.
- Si necesita asignar varias reglas a un mismo registro, repártalas en registros independientes.
- Escriba los valores de las etiquetas (value) entre comillas.
Un registro de tipo CAA genérico tiene, por tanto, este aspecto:
Name TTL Type Data
(nombre del dominio o subdominio) 300 CAA 0 (flag) "(valor)"
Ejemplos de registros de tipo CAA
Ejemplo: El dominio permite la emisión de certificados de letsencrypt.org. Si otra autoridad intenta emitir un certificado, enviará una notificación por correo electrónico a info@wds-test.cz.
Registro de tipo HTTPS
El registro de tipo HTTPS ayuda a los clientes a encontrar una conexión segura, entre otras cosas proporcionando información sobre los protocolos y puertos admitidos.
Formato del registro HTTPS
El registro DNS de tipo HTTPS (RFC 9460 ⧉) contiene la prioridad, el destino (si difiere del dominio) y otros parámetros (por ejemplo, las versiones de HTTP admitidas o las sugerencias de direcciones IP).
Registro de tipo SSHFP
Al establecer una conexión con un servidor mediante el protocolo SSH, la autenticación se realiza verificando la identidad del servidor mediante claves. La seguridad de la conexión depende, por tanto, de la comparación de la huella proporcionada por el servidor con la huella esperada de la clave pública del servidor.
El registro DNS de tipo SSHFP (RFC 4255 ⧉) ofrece a los clientes SSH una nueva forma de autenticación, comparando la huella proporcionada por el servidor con la huella almacenada en la zona DNS del dominio. En la comparación deben coincidir todos los parámetros del registro SSHFP: los algoritmos utilizados para generar la clave y su huella, y la propia huella de la clave.
Využití DNS SSHFP má smysl pouze v případě, že je tento záznam podepsán technologií DNSSEC a nemůže tedy být podvržen.
Formato del registro SSHFP
SSHFP záznam sestává ze tří částí: čísla algoritmu použitého pro vygenerování klíče, čísla algoritmu pro vygenerování otisku a samotného otisku veřejného klíče serveru.
Registro de tipo TLSA
El registro DNS de tipo TLSA (RFC 6698 ⧉) determina el certificado del servicio para una combinación de datos: FQDN, protocolo y puerto. Mediante un registro TLSA es posible, por tanto, comprobar si el certificado ha sido alterado en el camino entre el destinatario y el remitente.
Formato del registro TLSA
El registro de tipo TLSA tiene una forma específica tanto en el nombre como en los datos. El nombre simbólico de un registro SRV suele tener la forma _puerto._protocolo, p. ej. _443._tcp.
Samotná data TLSA záznamu obsahují tři parametry a následně binární data pro asociaci certifikátu: číslo přiřazení certifikátu doménovému názvu, číslo selektoru, číslo typu porovnávání certifikátu z řetězce proti datům v TLSA záznamu a nakonec data pro porovnávání s poskytnutým certifikátem.
Preguntas frecuentes
¿Es imprescindible configurar registros CAA, SSHFP y TLSA en un dominio?
No, la mayoría de los dominios funcionan sin problemas incluso sin estos registros.