Como configurar um registro CAA para restringir quais autoridades podem emitir SSL para o seu domínio

O registro CAA funciona como uma lista de convidados: você publica no DNS do seu domínio uma regra dizendo "só a autoridade X pode emitir certificado aqui". Se alguém tentar emitir um SSL para o seu domínio usando outra autoridade que não está na lista, o pedido é recusado automaticamente.

💡 Por que isso importa? Reduz bastante o risco de alguém conseguir, por erro humano ou falha de verificação em alguma CA por aí, emitir um certificado SSL fraudulento para o seu domínio. É uma trava extra de segurança, simples de configurar e que não custa nada.

Antes de começar: qual autoridade você usa?

Primeiro você precisa saber quem emite os certificados SSL do seu domínio hoje. Se você usa o SSL gratuito que já vem com a hospedagem cPanel da GeHost, normalmente a autoridade é a Let's Encrypt. Se tiver dúvida sobre qual certificado está ativo no seu domínio, dá uma olhada na tela de SSL/TLS do seu painel cPanel, ou fale com o nosso suporte antes de restringir — assim você não corre o risco de travar a renovação do seu próprio certificado por engano.

Passo a passo: criando o registro CAA

1. Acesse o cPanel com seu usuário e senha, pelo endereço que você recebeu na entrega da sua hospedagem.
2. No painel inicial, procure o grupo de ferramentas de Domínios e clique em Editor de Zona de DNS (também pode aparecer como "Zone Editor").
3. Localize o domínio que você quer proteger na lista e clique em Gerenciar.
4. Procure a opção de adicionar um novo registro e selecione o tipo CAA. Se essa opção não aparecer diretamente na sua tela, entre em contato com nosso suporte — ele te orienta certinho de acordo com a versão do seu painel.
5. Preencha os campos do registro CAA. De forma geral, um registro CAA tem 3 partes:
   • Flag: normalmente 0 (deixe como está, salvo orientação diferente).
   • Tag: costuma ser issue (autoriza emissão de certificado comum) ou issuewild (autoriza emissão de certificado curinga, tipo *.seudominio.com).
   • Valor: o endereço da autoridade certificadora autorizada. Por exemplo, para autorizar a Let's Encrypt, o valor costuma ser letsencrypt.org.
6. Salve o registro e aguarde a propagação de DNS (pode levar algumas horas, já que cada domínio tem um tempo de cache — TTL — próprio).

Um exemplo prático

Se o seu domínio usa apenas SSL emitido automaticamente pela hospedagem (via Let's Encrypt), um registro CAA simples autorizando só essa autoridade já cumpre o papel de "trancar a porta" para as demais. Assim, mesmo que alguém mal-intencionado tente emitir um certificado para o seu domínio em outra autoridade certificadora, o pedido será negado.

⚠️ Atenção redobrada: se você usa mais de um serviço para emitir SSL (por exemplo, um certificado da hospedagem e outro de um serviço externo, tipo um CDN), você precisa incluir todas as autoridades que realmente usa na sua lista de registros CAA. Se esquecer uma, a emissão ou renovação daquele certificado específico vai falhar.

Como conferir se deu certo

Depois que o registro propagar, você pode confirmar que ele está ativo consultando o DNS do seu domínio (existem ferramentas gratuitas de consulta de DNS na internet que mostram os registros CAA publicados). Se tudo estiver certo, você verá a(s) autoridade(s) que autorizou listada(s) ali.

Precisa de ajuda?

Configurar o registro CAA errado pode, sim, bloquear a emissão ou renovação do próprio SSL do seu domínio — por isso, se tiver qualquer dúvida na hora de preencher os campos, é sempre mais seguro chamar o nosso suporte antes de salvar. A gente te ajuda a configurar do jeito certo, sem sustos. 🙂