DNS CAA Record: Cara Membatasi Penerbitan Sertifikat SSL/TLS

Sertifikat TLS membantu memastikan koneksi ke situs menggunakan identitas domain yang benar. Namun, pemilik domain juga perlu memikirkan siapa yang boleh menerbitkan sertifikat untuk domain tersebut. DNS Certification Authority Authorization (CAA) menyediakan cara untuk menyatakan otoritas sertifikat mana yang diizinkan menerbitkan sertifikat bagi sebuah nama domain. Pengaturan ini tidak menggantikan HTTPS atau pemantauan sertifikat, tetapi dapat menjadi lapisan pencegahan tambahan.

Apa itu DNS CAA record?

CAA adalah jenis record DNS yang memberi petunjuk kepada Certificate Authority (CA) mengenai penerbitan sertifikat. Sebelum menerbitkan sertifikat publik, CA yang mengikuti aturan industri harus memeriksa kebijakan CAA yang berlaku untuk nama domain tersebut. Jika record membatasi penerbit yang diizinkan, CA yang tidak tercantum seharusnya tidak menerbitkan sertifikat untuk nama itu.

Misalnya, sebuah organisasi hanya menggunakan satu penyedia sertifikat. Dengan CAA, organisasi dapat menyatakan CA mana yang diizinkan, sehingga permintaan penerbitan dari CA lain dapat ditolak ketika pemeriksaan CAA dilakukan. Ini mengurangi peluang penerbitan yang tidak diinginkan, tetapi tidak otomatis mencegah semua jenis penyalahgunaan domain atau pengambilalihan akun CA.

Bagaimana CAA bekerja?

Ketika ada permintaan sertifikat, CA memeriksa record CAA untuk nama domain yang akan dimasukkan ke sertifikat. Jika tidak ada kebijakan pada nama tersebut, CA akan menelusuri hierarki DNS sesuai aturan yang berlaku, termasuk kebijakan pada nama induk. Jika kebijakan ditemukan, CA membandingkan identitasnya dengan penerbit yang diizinkan. Hasil pemeriksaan ini menjadi salah satu bagian dari proses validasi sebelum sertifikat diterbitkan.

Perubahan DNS tidak selalu terlihat seketika karena resolver dapat menyimpan jawaban sesuai nilai TTL. Karena itu, rencanakan perubahan CAA dengan memperhitungkan cache DNS, sistem otomatisasi sertifikat, serta kebutuhan subdomain yang berbeda.

Memahami tag CAA yang umum

• issue: menentukan CA yang boleh menerbitkan sertifikat biasa untuk nama domain.
• issuewild: menentukan CA yang boleh menerbitkan sertifikat wildcard. Jika digunakan, kebijakan ini mengatur penerbitan wildcard secara terpisah.
• iodef: memberikan alamat pelaporan untuk informasi pelanggaran kebijakan, jika CA mendukung mekanisme pelaporan tersebut. Format URI yang diterima bergantung pada implementasi.

CAA juga memiliki flag dan parameter opsional. Untuk konfigurasi dasar, fokuslah pada nilai penerbit yang benar dan pastikan sintaksnya sesuai dengan panel DNS yang digunakan. Nama CA harus mengikuti nilai yang didokumentasikan oleh CA itu sendiri, bukan sekadar nama merek yang terlihat di situs webnya.

Contoh konfigurasi CAA

Berikut contoh ilustratif jika domain hanya menggunakan Let’s Encrypt. Masukkan record melalui pengelola DNS dengan nama host yang sesuai—sering kali ditulis sebagai @ untuk domain utama:

example.com. 3600 IN CAA 0 issue "letsencrypt.org"
example.com. 3600 IN CAA 0 issuewild "letsencrypt.org"
example.com. 3600 IN CAA 0 iodef "mailto:[email protected]"

Ganti example.com dengan domain sendiri dan gunakan alamat pelaporan yang benar-benar dipantau. Contoh ini bukan konfigurasi universal: jika layanan lain menerbitkan sertifikat untuk subdomain, CA tersebut juga perlu dipertimbangkan. Jangan menyalin record tanpa memeriksa panduan resmi penyedia sertifikat dan DNS.

Langkah aman menerapkan CAA

1. Inventarisasi sertifikat. Catat CA yang digunakan untuk domain utama, subdomain, wildcard, CDN, panel hosting, dan layanan email atau aplikasi yang memerlukan TLS.
2. Periksa otomatisasi. Pastikan proses penerbitan dan perpanjangan sertifikat tidak bergantung pada CA lain yang akan terblokir oleh kebijakan.
3. Tambahkan record. Buat nilai issue dan, bila perlu, issuewild untuk setiap CA yang memang berwenang.
4. Verifikasi DNS. Periksa jawaban dari resolver publik dan otoritatif, lalu tunggu propagasi sesuai TTL. Perhatikan bahwa panel DNS dapat menggunakan format kolom yang berbeda.
5. Uji proses perpanjangan. Jalankan pemeriksaan pada lingkungan yang aman dan pastikan pemantauan masa berlaku sertifikat tetap aktif.
6. Dokumentasikan perubahan. Simpan alasan, pemilik kebijakan, daftar CA yang diizinkan, dan prosedur pemulihan jika penyedia sertifikat berubah.

Cara memeriksa record CAA

Di terminal yang menyediakan utilitas DNS, jalankan dig CAA namadomain.example atau gunakan nslookup -type=CAA namadomain.example jika versi alat mendukung tipe tersebut. Periksa pula nameserver otoritatif untuk membedakan record yang sudah tersimpan di zona dari jawaban resolver yang mungkin masih berasal dari cache. Jika hasilnya kosong, jangan langsung menyimpulkan ada kesalahan: bisa jadi domain memang belum memiliki CAA dan kebijakan diwarisi dari nama induk.

Batasan yang perlu dipahami

CAA bukan pengganti DNSSEC, keamanan akun registrar, kontrol akses DNS, atau pemantauan sertifikat. CAA juga tidak mencabut sertifikat yang sudah terbit dan tidak menghentikan sertifikat internal atau sertifikat dari sistem yang tidak tunduk pada kebijakan CA publik. Salah konfigurasi dapat menghambat penerbitan maupun perpanjangan sertifikat yang sah, sehingga perubahan harus disertai pengujian.

Untuk pengawasan tambahan, kombinasikan CAA dengan pemantauan panduan keamanan API serta artikel tentang Certificate Transparency yang membantu menemukan sertifikat publik yang diterbitkan untuk domain. Keduanya memiliki fungsi berbeda: CAA membatasi penerbit yang diizinkan, sedangkan pemantauan transparansi membantu mendeteksi sertifikat yang muncul.

Kesimpulan

DNS CAA adalah kontrol sederhana yang layak dipertimbangkan oleh pemilik domain yang ingin memperjelas CA mana yang boleh menerbitkan sertifikat TLS. Kunci keberhasilannya bukan sekadar menambahkan satu record, melainkan menginventarisasi seluruh penerbit yang sah, menangani sertifikat wildcard dengan benar, memverifikasi DNS, dan menguji perpanjangan otomatis. Terapkan secara bertahap, dokumentasikan kebijakan, dan tetap gunakan lapisan keamanan domain lainnya.

Referensi: RFC 8659: DNS Certification Authority Authorization dan dokumentasi CAA Let’s Encrypt.