Wie prüfe ich CAA-Einträge?

Fügen Sie hier den Hostnamen ein. Die Prüfung liest CAA am Namen und dann an jeder übergeordneten Domain, bis sie einen Eintrag findet, so wie eine CA, und listet die CAs, die ausstellen dürfen.

Was passiert, wenn eine Domain keinen CAA-Eintrag hat?

Dann darf jede öffentlich vertrauenswürdige CA Zertifikate für sie ausstellen. CAA ist optional; die meisten Domains veröffentlichen keinen.

Was ist der Unterschied zwischen issue und issuewild?

issue gilt für normale Zertifikate, issuewild für Wildcard-Zertifikate wie *.example.com. Gibt es kein issuewild-Tag, gilt die issue-Liste auch für Wildcards.

Warum ist meine Zertifikatsanfrage an der CAA-Prüfung gescheitert?

Die Domain oder eine übergeordnete Domain hat einen CAA-Eintrag, der Ihre CA nicht nennt. Fügen Sie die Kennung der CA einem issue-Eintrag hinzu (oder issuewild für eine Wildcard), warten Sie die TTL des alten Eintrags ab und versuchen Sie es erneut.

Wirkt sich ein CAA-Eintrag auf E-Mails aus?

Nein. CAA regelt nur, wer TLS-Zertifikate ausstellen darf. Die Zustellung von E-Mails hängt von MX, SPF, DKIM und DMARC ab.

Ist die CAA-Prüfung kostenlos?

Ja. 100 Hostnamen pro Durchlauf ohne Konto und 500 nach einer kostenlosen Anmeldung mit Google, ohne Karte.

CAA-Einträge prüfen: Welche Zertifizierungsstellen dürfen für diese Domain ausstellen?

Kurz gesagt: Fügen Sie Domains oder Hostnamen ein und sehen Sie für jeden den CAA-Eintrag, den eine CA verwenden würde (den eigenen oder den einer übergeordneten Domain), die erlaubten CAs für normale und Wildcard-Zertifikate und wohin Ablehnungen gemeldet werden. Grenze: Es liest DNS über einen einzigen Resolver, bewertet die Parameter accounturi und validationmethods nicht (es zeigt sie wie veröffentlicht) und prüft nicht, welche Zertifikate es bereits gibt.

Eine Prüfung von CAA-Einträgen zeigt, welche Zertifizierungsstellen eine Domain für ihre SSL-Zertifikate zulässt. Fügen Sie einen Hostnamen oder bis zu 100 ein (500 nach einer Anmeldung mit Google): Jeder wird so nachgeschlagen, wie es eine CA tun muss, am Namen und dann an jeder übergeordneten Domain, bis ein CAA-Eintrag gefunden ist, und Sie erhalten die erlaubten CAs für normale und Wildcard-Zertifikate, oder Any CA, wenn es keinen gibt.

Domains or host names, one per line (up to 100)

Upload a CSV or TXT fileCAA records read from DNS, walking up to the parent domain like a CA does; nothing is sent to the domain. 100 hosts a run, or 500 when you sign in.

Das Tool ist dasselbe wie auf der englischen Seite: Schaltflächen und Ergebnisse erscheinen auf Englisch. Aktualisiert am 5. November 2026

So prüfen Sie die CAA-Einträge einer Domain

Fügen Sie Domains oder Hostnamen ein, einen pro Zeile: bis zu 100 pro Durchlauf, oder 500 nach einer kostenlosen Anmeldung mit Google. www.example.com und example.com werden getrennt geprüft, weil jeder einen eigenen CAA haben kann.
Klicken Sie auf Check CAA records. Jeder Name wird im DNS nachgeschlagen, dann seine übergeordnete Domain und so weiter, bis zum ersten Namen mit CAA-Einträgen.
Lesen Sie das Ergebnis: Restricted (mit den genannten CAs), Any CA can issue oder No CA can issue, dazu, woher der Eintrag stammt, und die Rohdaten.
Sie bestellen ein Zertifikat? Prüfen Sie vorher, ob die Kennung Ihrer CA, etwa letsencrypt.org oder pki.goog, in der issue-Liste (oder issuewild) steht.

Was ist ein CAA-Eintrag?

Ein CAA-Eintrag (Certification Authority Authorization) ist ein DNS-Eintrag, der die Zertifizierungsstellen nennt, die Zertifikate für eine Domain ausstellen dürfen, definiert in RFC 8659. Das Tag issue listet CAs für normale Zertifikate, issuewild CAs für Wildcard-Zertifikate, und iodef nennt eine Adresse, an die eine CA eine abgelehnte Anfrage melden kann. Der Wert „;“ lässt keine CA zu.

Seit September 2017 muss jede öffentlich vertrauenswürdige CA vor der Ausstellung CAA prüfen, nach den Baseline Requirements des CA/Browser Forum (Abschnitt 3.2.2.8). Nennt der Eintrag die CA nicht, muss sie ablehnen.

Warum zeigt eine Subdomain den CAA-Eintrag der übergeordneten Domain?

Weil CAs ihn so lesen. Abschnitt 3 von RFC 8659 besagt, dass die CA zuerst am exakten Namen nach CAA sucht; gibt es dort keinen, versucht sie die übergeordnete Domain, dann deren übergeordnete, und verwendet den ersten Satz von Einträgen, den sie findet. Ein CAA-Eintrag auf example.com gilt also für shop.example.com, sofern shop.example.com keinen eigenen veröffentlicht. Die Prüfung geht denselben Weg und zeigt den Namen, von dem der Eintrag stammt.

Gibt es im ganzen Baum keinen CAA-Eintrag, darf jede öffentlich vertrauenswürdige CA ausstellen. Das ist der Standard, und die meisten Domains haben keinen.

Welche CAA-Kennung verwendet meine CA?

Jede CA veröffentlicht die Domainnamen, die sie anerkennt, in ihren Richtliniendokumenten, und Mozillas CCADB sammelt sie. Häufige Kennungen: letsencrypt.org für Let's Encrypt, pki.goog für Google Trust Services, digicert.com für DigiCert, sectigo.com für Sectigo, amazon.com für Amazon, globalsign.com für GlobalSign und ssl.com für SSL.com. Die Prüfung benennt die bekannten und zeigt jede andere Kennung genau wie veröffentlicht.

Manche Anbieter stellen über mehr als eine CA aus; ein CDN, das automatisch verlängert, braucht unter Umständen zwei oder drei Kennungen in der Liste. Lesen Sie die Dokumentation Ihres Anbieters, bevor Sie CAA einschränken, sonst können Verlängerungen scheitern. Die Massenprüfung von SSL-Zertifikaten zeigt, welche CA jedes aktive Zertifikat tatsächlich ausgestellt hat und wann es abläuft.

Häufige Fragen

Wie prüfe ich CAA-Einträge?: Fügen Sie hier den Hostnamen ein. Die Prüfung liest CAA am Namen und dann an jeder übergeordneten Domain, bis sie einen Eintrag findet, so wie eine CA, und listet die CAs, die ausstellen dürfen.
Was passiert, wenn eine Domain keinen CAA-Eintrag hat?: Dann darf jede öffentlich vertrauenswürdige CA Zertifikate für sie ausstellen. CAA ist optional; die meisten Domains veröffentlichen keinen.
Was ist der Unterschied zwischen issue und issuewild?: issue gilt für normale Zertifikate, issuewild für Wildcard-Zertifikate wie *.example.com. Gibt es kein issuewild-Tag, gilt die issue-Liste auch für Wildcards.
Warum ist meine Zertifikatsanfrage an der CAA-Prüfung gescheitert?: Die Domain oder eine übergeordnete Domain hat einen CAA-Eintrag, der Ihre CA nicht nennt. Fügen Sie die Kennung der CA einem issue-Eintrag hinzu (oder issuewild für eine Wildcard), warten Sie die TTL des alten Eintrags ab und versuchen Sie es erneut.
Wirkt sich ein CAA-Eintrag auf E-Mails aus?: Nein. CAA regelt nur, wer TLS-Zertifikate ausstellen darf. Die Zustellung von E-Mails hängt von MX, SPF, DKIM und DMARC ab.
Ist die CAA-Prüfung kostenlos?: Ja. 100 Hostnamen pro Durchlauf ohne Konto und 500 nach einer kostenlosen Anmeldung mit Google, ohne Karte.

Eine ganze Liste prüfen? Die ersten 100 Adressen sind kostenlos.

Melden Sie sich mit Google an, fügen Sie die Adressen ein oder laden Sie eine CSV-Datei hoch. Jede Adresse erhält eine echte SMTP-Postfachprüfung, mit Ergebnissen zum Herunterladen. Keine Kreditkarte.

Catch-all-Domains und Server, die nicht antworten, werden als riskant ausgewiesen, niemals als gültig.

Mit der Anmeldung akzeptieren Sie die Nutzungsbedingungen und die Datenschutzerklärung (auf Englisch). Terms · Privacy