Como usar registros CAA para controlar quais autoridades podem emitir SSL pro meu domínio

Registros CAA: quem pode emitir SSL para o seu domínio? 🔐

Oi! Aqui é a Sensei da GeHost 👋 Hoje vou te ensinar sobre um registro de DNS que pouca gente conhece, mas que é uma camada extra de segurança super importante: o CAA (Certification Authority Authorization). Com ele, você decide exatamente quais empresas (autoridades certificadoras) podem emitir um certificado SSL para o seu domínio — e bloqueia todas as outras. Vamos com calma que não é nada complicado!

O que é um registro CAA, afinal?

Todo certificado SSL (aquele cadeadinho verde que deixa seu site em https://) é emitido por uma Autoridade Certificadora (CA) — empresas como Let's Encrypt, Sectigo, DigiCert, entre outras. Sem um registro CAA no seu DNS, qualquer CA do mundo pode, em tese, emitir um certificado para o seu domínio.

O registro CAA funciona como uma "lista de convidados": você publica no DNS do seu domínio quais CAs têm permissão de emitir certificado para ele. Se alguém tentar emitir um SSL pelo seu domínio usando uma CA que não está na sua lista, o pedido é recusado automaticamente — isso é uma exigência do próprio setor, seguida por todas as autoridades sérias.

💡 Dica da Sensei: pensa no CAA como uma trava extra na porta da frente. Não impede 100% de todo tipo de ataque, mas fecha uma brecha real: reduz o risco de alguém conseguir emitir um certificado indevido em nome do seu domínio.

Preciso configurar isso?

Não é obrigatório — se você não configurar nenhum CAA, o funcionamento do seu site e do SSL continua normal. Mas se você quer um nível extra de controle e segurança (recomendado principalmente para domínios de empresas, lojas virtuais e sites com dados sensíveis), vale muito a pena configurar.

Passo a passo: como adicionar o registro CAA

1. Acesse o cPanel da sua hospedagem (pelo painel.gehost.com.br ou pelo link de acesso que você recebeu por e-mail).
2. No painel inicial, procure o grupo "Domínios" e clique em "Editor de Zona DNS" (ou "Zone Editor").
3. Selecione o domínio que você quer proteger.
4. Clique em "+ Registro CAA" (ou "Adicionar Registro" e escolha o tipo CAA).
5. Preencha os campos:
   • Nome: geralmente o próprio domínio (ex.: seudominio.com.);
   • Flag: normalmente 0;
   • Tag: escolha issue (autoriza a CA a emitir certificado comum) ou issuewild (autoriza emissão de certificado wildcard);
   • Valor: o domínio da autoridade certificadora que você quer autorizar (ex.: letsencrypt.org, se for usar o SSL grátis do cPanel).
6. Salve o registro. Pronto — a partir daí, só a(s) CA(s) que você listou podem emitir SSL para o seu domínio.

Se você quiser autorizar mais de uma autoridade, é só repetir o processo e criar um registro CAA para cada uma.

Como conferir se meu SSL continua funcionando certinho

Depois de configurar o CAA, dá uma olhada no seu certificado ativo pela tela SSL/TLS do cPanel, pra confirmar que está tudo emitido e válido.

⚠️ Atenção: se você já usa um SSL automático (o famoso AutoSSL do cPanel) e for configurar o CAA, não esqueça de incluir a CA que o AutoSSL usa na sua lista. Se você bloquear sem querer a CA certa, o próximo processo de renovação do certificado pode falhar e seu site correr o risco de ficar sem o cadeado do https. Na dúvida sobre qual CA emite o seu SSL atual, fale com o nosso suporte antes de mexer — é rapidinho conferir com a gente.

Erros comuns pra evitar

• Esquecer o ponto final no nome do domínio em alguns formatos de registro (ex.: seudominio.com.) — o cPanel geralmente já resolve isso pra você, mas fique de olho se for editar manualmente.
• Colocar uma tag errada: se você usa certificado wildcard (que cobre subdomínios, tipo *.seudominio.com), lembre de configurar também a tag issuewild, não só a issue.
• Autorizar uma CA e esquecer de renovar depois se um dia você trocar de fornecedor de SSL — sempre que mudar de certificado, revise o CAA também.

Ficou com dúvida?

Sem problema nenhum! DNS pode parecer um bicho de sete cabeças no começo, mas é assunto do dia a dia por aqui 😊 Se preferir, nosso time consegue te ajudar a configurar o CAA certinho — é só abrir um chamado pelo painel.gehost.com.br que a gente cuida disso com você.