Registro CAA: quem pode (ou não) emitir certificado SSL pro seu domínio
Oi! Aqui é a Sensei da GeHost 🦉 Hoje eu vou te ensinar sobre um registro de DNS pouco conhecido, mas que é uma camada extra de segurança bem interessante pro seu domínio: o CAA (Certification Authority Authorization).
Calma que não é nenhum bicho de sete cabeças. Vou te explicar com calma o que é, pra que serve e como configurar.
O que é o registro CAA?
Todo site com "cadeadinho" (HTTPS) tem um certificado SSL emitido por uma Autoridade Certificadora (as famosas "CA" — como Let's Encrypt, Sectigo, DigiCert, entre outras). Por padrão, qualquer autoridade certificadora do mundo pode emitir um certificado válido pro seu domínio, desde que consiga validar que você é o dono dele.
O registro CAA é uma regrinha que você coloca no DNS do seu domínio dizendo: "só estas autoridades aqui têm permissão pra emitir certificado pro meu domínio — todas as outras, nem tentem."
💡 Dica da Sensei: pensa no CAA como uma lista de convidados de uma festa. Só quem está na lista entra — mesmo que outra "autoridade" bata na porta com credenciais válidas, se o nome dela não estiver na lista do CAA, ela é barrada.
Por que isso importa pra segurança?
Sem o CAA, teoricamente qualquer autoridade certificadora do mundo poderia emitir um certificado pro seu domínio (por erro de processo, falha de validação ou até fraude), e esse certificado passaria como "válido" nos navegadores. Com o CAA configurado, você reduz bastante essa superfície de risco, restringindo a emissão só às autoridades que você realmente usa e confia.
É uma proteção simples, gratuita e que não afeta em nada o funcionamento do seu site — só adiciona uma trava extra de segurança.
Como configurar o CAA no seu domínio
Você faz isso direto no Editor de Zona de DNS do cPanel, no painel da sua hospedagem. Vem comigo:
- Acesse o cPanel do seu domínio (se precisar do link de acesso, é só falar com a gente pelo painel.gehost.com.br ou chamar o suporte).
- Vá até "Editor de Zona de DNS" (ou "Zone Editor"), como na imagem acima.
- Localize o seu domínio na lista e clique em "Gerenciar".
- Procure a opção de adicionar um novo registro e escolha o tipo CAA.
- Preencha os campos do registro:
- Nome: geralmente é o próprio domínio (ex.: seudominio.com.br) — deixe como o painel sugerir.
- Tag: escolha "issue" (autoriza emissão de certificado comum) ou "issuewild" (autoriza emissão de certificado wildcard, tipo *.seudominio.com.br).
- Valor: o nome da autoridade certificadora que você autoriza (por exemplo, o domínio da CA usada pra gerar seu certificado atual).
- Salve o registro.
⚠️ Atenção antes de salvar: se você não sabe ao certo qual autoridade certificadora está sendo usada no seu certificado SSL hoje, não chute o valor — fale com o nosso suporte antes. Um CAA mal configurado pode bloquear a renovação do próprio certificado do seu site, e aí ninguém consegue emitir um novo até você corrigir o registro.
Como conferir se o certificado do seu domínio está funcionando certinho
Depois de configurar (ou se quiser só acompanhar a validade do seu SSL), dá pra checar tudo na tela de certificados do cPanel:
Perguntas rápidas
Preciso ter um registro CAA pra ter SSL?
Não! O CAA é opcional — seu certificado funciona normalmente sem ele. É uma camada extra de segurança, não um pré-requisito.
Se eu não mexer em nada, tem algum risco imediato?
Não, seu site continua funcionando normal. O CAA é uma proteção a mais, não uma correção de algo quebrado.
Posso configurar errado e "quebrar" meu SSL?
Se você restringir pra uma autoridade errada (ou digitar o valor errado), a próxima renovação do certificado pode falhar. Por isso, sempre que tiver dúvida, é só chamar a gente antes de salvar — preferimos te ajudar a configurar certo do que você descobrir o erro na hora da renovação.
🦉 A Sensei está sempre por aqui! Se bateu qualquer dúvida sobre CAA, SSL ou DNS do seu domínio, é só chamar o suporte da GeHost que a gente te ajuda com todo carinho.