Cet article décrit en détail les enregistrements DNS de type CAA, SSHFP et TLSA. Vous trouverez un guide général sur les enregistrements DNS et leur configuration dans l’administration client dans l’article DNS – Enregistrements du domaine.
Dans cet article, vous découvrirez :
- À quoi servent les enregistrements de type CAA
- Comment fonctionne l’enregistrement de type HTTPS
- Comment fonctionne l’enregistrement de type SSHFP
- Comment fonctionne l’enregistrement de type TLSA
- Foire aux questions
Enregistrements de type CAA
L’enregistrement Certification Authority Authorization (CAA) permet de définir quelles autorités de certification (CA) sont autorisées à émettre un certificat SSL pour le domaine. Une variante de l’enregistrement permet aussi de définir une règle indiquant comment et à qui l’autorité émettrice doit signaler qu’une autorité de certification non autorisée par l’enregistrement a tenté d’émettre un certificat pour le domaine.
Si aucun enregistrement CAA n’est défini pour un domaine ou un sous-domaine, n’importe quelle autorité de certification peut émettre un certificat pour celui-ci, sans restriction. Une autorité de certification peut également ne pas prendre en charge les enregistrements CAA ; dans ce cas, elle se comporte comme s’ils n’existaient pas.
Les enregistrements CAA définis pour le domaine principal s’appliquent également à tous les sous-domaines qui n’ont pas leur propre enregistrement CAA avec des règles différentes.
Saisie des enregistrements de type CAA
Vous trouverez un guide général sur la configuration des enregistrements DNS dans l’administration client dans l’article DNS – Enregistrements du domaine.
Si le domaine utilise d’autres serveurs DNS, les modifications automatiques ou manuelles des enregistrements WEDOS n’auront aucun effet sur son comportement.
Les données d’un enregistrement CAA se composent des éléments suivants :
- Flag: nombre positif de valeur comprise entre 0 et 255 ⧉ (généralement 0)
- Tag: définit la propriété de l’enregistrement CAA
- Value: valeur attribuée au tag
Les tags pris en charge sont :
- issue: autorise l’autorité de certification définie à émettre tout type de certificat
- issuewild: autorise l’autorité de certification définie à émettre uniquement des certificats wildcard
- iodef: indique l’URL à laquelle l’autorité émettrice signalera toute violation des règles définies par les enregistrements CAA pour le domaine concerné
Lorsque vous renseignez un enregistrement de type CAA, respectez les règles suivantes :
- Attribuez à chaque enregistrement exactement une règle tag-value.
- Si vous avez besoin de définir plusieurs règles, répartissez-les dans des enregistrements distincts.
- Écrivez les valeurs des tags (value) entre guillemets.
Un enregistrement de type CAA générique se présente donc ainsi :
Name TTL Type Data
(nom du domaine ou du sous-domaine) 300 CAA 0 (flag) "(valeur)"
Exemples d’enregistrements de type CAA
Exemple : Le domaine autorise l’émission de certificats par letsencrypt.org. Si une autre autorité tente d’émettre un certificat, elle enverra une notification par e-mail à info@wds-test.cz.
Enregistrement de type HTTPS
L’enregistrement de type HTTPS aide les clients à trouver une connexion sécurisée, notamment en fournissant des informations sur les protocoles et les ports pris en charge.
Format de l’enregistrement HTTPS
L’enregistrement DNS de type HTTPS (RFC 9460 ⧉) contient une priorité, une cible (si elle diffère du domaine) et d’autres paramètres (par exemple les versions HTTP prises en charge, les indications d’adresses IP).
Enregistrement de type SSHFP
Lors de l’établissement d’une connexion à un serveur via le protocole SSH, l’authentification s’effectue en vérifiant l’identité du serveur à l’aide de clés. La sécurité de la connexion dépend donc de la comparaison entre l’empreinte fournie par le serveur et l’empreinte attendue de la clé publique du serveur.
L’enregistrement DNS de type SSHFP (RFC 4255 ⧉) offre aux clients SSH une nouvelle méthode d’authentification : la comparaison de l’empreinte fournie par le serveur avec celle stockée dans la zone DNS du domaine. Lors de la comparaison, tous les paramètres de l’enregistrement SSHFP doivent correspondre : les algorithmes utilisés pour générer la clé et son empreinte, ainsi que l’empreinte de la clé elle-même.
L’utilisation de SSHFP DNS n’a de sens que si cet enregistrement est signé avec la technologie DNSSEC et ne peut donc pas être falsifié.
Format de l’enregistrement SSHFP
Un enregistrement SSHFP se compose de trois parties : le numéro de l’algorithme utilisé pour générer la clé, le numéro de l’algorithme utilisé pour générer l’empreinte et l’empreinte de la clé publique du serveur elle-même.
Enregistrement de type TLSA
L’enregistrement DNS de type TLSA (RFC 6698 ⧉) détermine le certificat d’un service pour une combinaison de données : FQDN, protocole et port. Grâce à un enregistrement TLSA, il est donc possible de vérifier que le certificat n’a pas été modifié entre le destinataire et l’expéditeur.
Format de l’enregistrement TLSA
Un enregistrement de type TLSA a une forme spécifique, tant pour le nom que pour les données. Le nom symbolique d’un enregistrement SRV a généralement la forme _port._protocole, par exemple _443._tcp.
Les données de l’enregistrement TLSA contiennent trois paramètres, suivis des données binaires d’association du certificat : le numéro d’association du certificat au nom de domaine, le numéro du sélecteur, le numéro du type de comparaison du certificat de la chaîne avec les données de l’enregistrement TLSA et, enfin, les données à comparer avec le certificat fourni.
Foire aux questions
La configuration des enregistrements CAA, SSHFP et TLSA est-elle indispensable pour un domaine ?
Non, la plupart des domaines fonctionnent sans problème même sans ces enregistrements.