✨ CAA Record Generator - Generate DNS CAA

Generate CAA DNS records in your browser — control which certificate authorities may issue for your domain.

📐 工作原理与说明

域名去掉开头的连续点号与尾部空白；域名为空时清空输出。按勾选依次生成记录：勾选的 CA 各生成一条「标志位 + issue + 该 CA 的签发域名」，开启事件报告时再生成一条「标志位 + iodef + mailto: 加邮箱地址」（邮箱为空时用默认安全邮箱）。一条都没勾选时提示请至少选择一个 CA。最终每行按「域名 + 两个空格 + CAA + 两个空格 + 记录内容」拼接，记录之间以换行连接，并统计生成的记录条数

生成 DNS CAA 记录，限定哪些证书颁发机构可为该域名签发证书。

作用：RFC 6844 定义，用于降低证书被错误签发的风险。
格式：<flags> <tag> <value>，flags 通常为 0。
标签：issue 允许签发普通证书、issuewild 管通配符、iodef 指定违规上报地址。
生效：查询沿 CNAME 链向上回溯；若域名及其父级均无 CAA 记录，则任何 CA 都可签发。

域名

签发标志

允许的 CA： Google Trust Services Let's Encrypt DigiCert Sectigo/Comodo

添加 iodef（违规报告邮箱）

💡 CAA（Certification Authority Authorization）限制哪些 CA 可为你的域名签发证书。添加后证书签发机构会检查该记录。

📚 深度解析：CAA 记录生成器

💡 常见使用场景

限制哪些 CA 可签发本域证书，防误签发。

证书签发前自检：上线前生成一条 issue 记录限定只允许自家 CA，配合 issuewild 限制通配证书，降低子域名被冒签的风险。

生成

`example.com. CAA 0 issue "letsencrypt.org"` 仅允许 Let's Encrypt 签发。

❓ 常见问题（FAQ）

CAA 会影响现有证书吗？

不影响已签发，仅约束未来签发。

CAA 记录会阻断所有证书签发吗？

只阻断未被授权的 CA。CAA 是「白名单」而非黑名单：没有记录时任何 CA 都可签发；一旦添加 issue 记录，只有列出的 CA 能签发。若需监控，可加 iodef 记录让 CA 把违规签发尝试报告到你指定的邮箱或 URL。

Item

Formula / Note

Source / Standard

Purpose

declares which CAs may issue certificates for the domain

RFC 8659

CAA 记录生成器

✨ CAA Record Generator - Generate DNS CAA

📚 深度解析：CAA 记录生成器

💡 常见使用场景

❓ 常见问题（FAQ）

Formula & Standard References

🔗 相关工具

🔗 相关工具