CAA 记录生成器

CAA 记录生成器用来生成告诉证书颁发机构“谁可以给我的域名签证书”的 DNS 记录。勾选你使用的 CA，决定通配符证书怎么处理，再按你的 DNS 服务商格式复制结果。工具在浏览器里运行。

怎么用

1. 填域名和主机记录（@ 表示域名本身，也可以填子域名前缀）。
2. 勾选允许签发的 CA，其他 CA 的标识可以写在下面的文本框里。
3. 选择通配符策略：与上面相同、禁止通配符、或只允许指定的 CA。
4. 可选：填 iodef 报告地址（mailto: 或 https:）和 Let's Encrypt 的 accounturi。
5. 把 BIND 记录，或 Cloudflare、阿里云、DNSPod 的填写内容复制到 DNS 控制台。

生成结果示例：

example.com.    3600    IN  CAA 0 issue "letsencrypt.org"
example.com.    3600    IN  CAA 0 issuewild ";"
example.com.    3600    IN  CAA 0 iodef "mailto:security@example.com"

在国内 DNS 控制台怎么填

• 阿里云云解析：添加记录，记录类型选 CAA，主机记录填 @，记录值填 0 issue "letsencrypt.org" 这样的完整内容，每条一行记录。
• DNSPod（腾讯云）：同样选 CAA 类型，主机记录 @，记录值填完整的 0 issue "letsencrypt.org"。
• 每个允许的 CA 各加一条 issue 记录。

规则怎么组合

• issue 列出可以签发所有证书的 CA，多条 issue 表示其中任何一家都可以。
• 有 issuewild 时，通配符证书改为按 issuewild 判断；issuewild ";" 表示完全禁止通配符证书。
• 一条 CAA 记录都没有时，任何 CA 都可以签。主域名上的记录也管住没有自己记录的子域名。

发布之前

1. 用 CT 日志查询找出这个域名的所有证书，记下每一家签发 CA，别漏了 CDN 和云厂商托管的证书。
2. 发布记录，等过了 TTL，再用 CAA 记录查询确认。
3. 续期报 CAA 错误时，参考 CAA 记录导致无法签发。