Como configurar um registro CAA para restringir quais autoridades podem emitir SSL pro domínio

O que é um registro CAA e por que ele importa

Olá! Aqui é a Sensei da GeHost 🧡 Hoje vamos falar de um registro de DNS que poucos clientes conhecem, mas que é uma camada extra de segurança bem simples de ativar: o CAA (Certification Authority Authorization).

Na prática, o CAA é uma "lista de convidados" do seu domínio: ele diz ao mundo inteiro quais autoridades certificadoras (CAs) têm permissão para emitir um certificado SSL para o seu domínio. Se uma autoridade que não está nessa lista tentar emitir um certificado em seu nome — por engano ou por má-fé — o pedido deve ser recusado.

Por que isso importa? Sem um registro CAA, qualquer autoridade certificadora confiável pode, em teoria, emitir um SSL para o seu domínio. O CAA reduz esse risco e é um reforço de segurança recomendado, especialmente para domínios usados em sistemas sensíveis (e-mail, login de clientes, pagamentos etc.).

Antes de começar

• Você vai editar a Zona de DNS do domínio, então é importante ter cuidado: um valor digitado errado pode bloquear a emissão de certificados válidos.
• Se o seu domínio já usa SSL emitido por uma autoridade específica (por exemplo, Let's Encrypt, que é a mais comum), é essa autoridade que você deve autorizar primeiro.
• Na dúvida sobre qual autoridade emite o SSL do seu site hoje, dá uma olhada no seu certificado atual em SSL/TLS no cPanel, ou fale com o nosso suporte antes de mudar qualquer coisa.

Passo a passo: criando o registro CAA pelo cPanel

1. Acesse o cPanel da sua hospedagem (login e senha ficam disponíveis no seu painel do cliente).

   

2. Na tela inicial do cPanel, procure a seção de Domínios e clique em Editor de Zona de DNS (em inglês, "Zone Editor").

3. Localize o domínio que você quer proteger e clique em Gerenciar.

   

4. Clique em Adicionar Registro (ou "+ Add Record") e selecione o tipo CAA na lista de tipos de registro.

5. Preencha os campos do registro:

   • Nome: deixe como o próprio domínio (ex.: seudominio.com.br.).
   • TTL: pode manter o valor padrão sugerido pelo cPanel.
   • Tag: use issue para autorizar a emissão de certificados "normais", ou issuewild se quiser controlar especificamente certificados curinga (wildcard).
   • Valor: o domínio da autoridade certificadora que você autoriza a emitir SSL para o seu domínio. Exemplo mais comum: letsencrypt.org.

6. Clique em Salvar (ou "Add Record"/"Save Record") para gravar o registro na zona.

Quer autorizar mais de uma autoridade?

Sem problema! Basta repetir o passo de adicionar registro CAA quantas vezes forem necessárias, uma linha para cada autoridade que você confia. Só uma autoridade listada em pelo menos um registro issue conseguirá emitir certificado para o domínio.

Dica da Sensei: se você não sabe ao certo qual(is) autoridade(s) usar, o mais seguro é não mexer no CAA até confirmar com o suporte da GeHost — assim você evita bloquear sem querer a renovação do seu próprio certificado SSL.

Como conferir se o registro foi aplicado

As alterações de DNS podem levar algum tempo para se propagar totalmente pela internet. Se quiser confirmar que o registro CAA já está ativo, você pode usar uma ferramenta pública de consulta de DNS (basta pesquisar por "consulta CAA" no seu buscador preferido) e digitar o seu domínio.

Precisa de ajuda?

Se tiver qualquer dúvida na hora de configurar — ou não tiver certeza de qual autoridade autorizar — é só chamar nosso suporte pelo painel do cliente. A gente te ajuda com todo carinho para garantir que o seu domínio fique protegido sem correr o risco de deixar seu SSL fora do ar. 🧡