Que se passe-t-il si un domaine n’a pas d’enregistrement CAA ?

Toute AC publiquement reconnue peut émettre des certificats pour lui. Le CAA est facultatif ; la plupart des domaines n’en publient pas.

Quelle différence entre issue et issuewild ?

issue couvre les certificats ordinaires ; issuewild couvre les certificats wildcard comme *.example.com. Sans balise issuewild, la liste issue s’applique aussi aux wildcards.

Pourquoi ma demande de certificat a-t-elle échoué au contrôle CAA ?

Le domaine, ou l’un de ses parents, a un enregistrement CAA qui ne liste pas votre AC. Ajoutez l’identifiant de l’AC à un enregistrement issue (ou issuewild pour un wildcard), attendez le TTL de l’ancien enregistrement et réessayez.

Un enregistrement CAA a-t-il un effet sur les e-mails ?

Non. Le CAA ne contrôle que qui peut émettre des certificats TLS. La livraison des e-mails dépend de MX, SPF, DKIM et DMARC.

Le vérificateur CAA est-il gratuit ?

Oui. 100 noms d’hôte par passe sans compte et 500 après une connexion gratuite avec Google, sans carte.

Vérificateur d’enregistrements CAA : quelles autorités de certification peuvent émettre pour ce domaine ?

En bref : Collez des domaines ou des noms d’hôte et voyez, pour chacun, l’enregistrement CAA qu’une AC utiliserait (le sien ou celui d’un parent), les AC autorisées pour les certificats ordinaires et wildcard, et où les refus sont signalés. Limite : Il lit le DNS via un seul résolveur, n’évalue pas les paramètres accounturi et validationmethods (il les affiche tels que publiés) et ne vérifie pas quels certificats existent déjà.

Un vérificateur d’enregistrements CAA montre quelles autorités de certification un domaine autorise à émettre ses certificats SSL. Collez un nom d’hôte ou jusqu’à 100 (500 après connexion avec Google) : chacun est consulté comme une AC doit le faire, sur le nom puis sur chaque parent jusqu’à trouver un enregistrement CAA, et vous obtenez les AC autorisées pour les certificats ordinaires et wildcard, ou Any CA quand il n’y en a aucun.

Domains or host names, one per line (up to 100)

Upload a CSV or TXT fileCAA records read from DNS, walking up to the parent domain like a CA does; nothing is sent to the domain. 100 hosts a run, or 500 when you sign in.

L’outil est le même que sur la version anglaise : ses boutons et le motif de chaque résultat s’affichent en anglais (valid = valide, invalid = invalide, risky = risqué). Mis à jour le 5 novembre 2026 par l’équipe SimpleVerifier

Comment consulter les enregistrements CAA d’un domaine

Collez des domaines ou des noms d’hôte, un par ligne : jusqu’à 100 par passe, ou 500 après une connexion gratuite avec Google. www.example.com et example.com sont vérifiés séparément, car chacun peut avoir son propre CAA.
Cliquez sur Check CAA records. Chaque nom est consulté dans le DNS, puis son parent, et ainsi de suite, jusqu’au premier nom qui a des enregistrements CAA.
Lisez le résultat : Restricted (avec les AC nommées), Any CA can issue ou No CA can issue, plus l’origine de l’enregistrement et les enregistrements bruts.
Vous commandez un certificat ? Vérifiez d’abord que l’identifiant de votre AC, comme letsencrypt.org ou pki.goog, figure dans la liste issue (ou issuewild).

Qu’est-ce qu’un enregistrement CAA ?

Un enregistrement CAA (Certification Authority Authorization) est un enregistrement DNS qui nomme les autorités de certification autorisées à émettre des certificats pour un domaine, défini dans la RFC 8659. La balise issue liste les AC pour les certificats ordinaires, issuewild les AC pour les certificats wildcard, et iodef donne une adresse où une AC peut signaler une demande refusée. La valeur « ; » n’autorise aucune AC.

Depuis septembre 2017, toute AC publiquement reconnue doit vérifier le CAA avant d’émettre, selon les Baseline Requirements du CA/Browser Forum (section 3.2.2.8). Si l’enregistrement ne nomme pas l’AC, elle doit refuser.

Pourquoi un sous-domaine affiche-t-il l’enregistrement CAA de son parent ?

Parce que c’est ainsi que les AC le lisent. La section 3 de la RFC 8659 indique que l’AC cherche d’abord un CAA sur le nom exact ; s’il n’y en a pas, elle essaie le parent, puis le parent du parent, et utilise le premier ensemble d’enregistrements trouvé. Un enregistrement CAA sur example.com couvre donc shop.example.com, sauf si shop.example.com publie le sien. Le vérificateur suit le même parcours et affiche le nom d’où vient l’enregistrement.

Aucun enregistrement CAA dans toute l’arborescence signifie que toute AC publiquement reconnue peut émettre. C’est le cas par défaut, et la plupart des domaines n’en ont aucun.

Quel identifiant CAA mon AC utilise-t-elle ?

Chaque AC publie dans ses documents de politique les noms de domaine qu’elle reconnaît, et la CCADB de Mozilla les rassemble. Les plus courants : letsencrypt.org pour Let's Encrypt, pki.goog pour Google Trust Services, digicert.com pour DigiCert, sectigo.com pour Sectigo, amazon.com pour Amazon, globalsign.com pour GlobalSign et ssl.com pour SSL.com. Le vérificateur nomme ceux qu’il connaît et affiche tout autre identifiant exactement tel que publié.

Certains hébergeurs émettent via plusieurs AC ; un CDN qui renouvelle automatiquement peut avoir besoin de deux ou trois identifiants dans la liste. Lisez la documentation de votre fournisseur avant de restreindre le CAA, sinon les renouvellements peuvent échouer. Le vérificateur de certificats SSL en masse montre quelle AC a réellement émis chaque certificat en ligne et quand il expire.

Questions fréquentes

Comment vérifier les enregistrements CAA ?: Collez ici le nom d’hôte. Le vérificateur lit le CAA sur le nom puis sur chaque parent jusqu’à trouver un enregistrement, comme le fait une AC, et liste les AC autorisées à émettre.
Que se passe-t-il si un domaine n’a pas d’enregistrement CAA ?: Toute AC publiquement reconnue peut émettre des certificats pour lui. Le CAA est facultatif ; la plupart des domaines n’en publient pas.
Quelle différence entre issue et issuewild ?: issue couvre les certificats ordinaires ; issuewild couvre les certificats wildcard comme *.example.com. Sans balise issuewild, la liste issue s’applique aussi aux wildcards.
Pourquoi ma demande de certificat a-t-elle échoué au contrôle CAA ?: Le domaine, ou l’un de ses parents, a un enregistrement CAA qui ne liste pas votre AC. Ajoutez l’identifiant de l’AC à un enregistrement issue (ou issuewild pour un wildcard), attendez le TTL de l’ancien enregistrement et réessayez.
Un enregistrement CAA a-t-il un effet sur les e-mails ?: Non. Le CAA ne contrôle que qui peut émettre des certificats TLS. La livraison des e-mails dépend de MX, SPF, DKIM et DMARC.
Le vérificateur CAA est-il gratuit ?: Oui. 100 noms d’hôte par passe sans compte et 500 après une connexion gratuite avec Google, sans carte.

Vous avez une liste ? Les 100 premières adresses sont gratuites.

Connectez-vous avec Google, collez vos adresses ou déposez un CSV : chaque adresse passe le même contrôle SMTP de la boîte aux lettres, avec un fichier à télécharger. Sans carte bancaire.

Les domaines catch-all et les serveurs qui refusent de répondre reviennent risqués, jamais valides.

En continuant, vous acceptez nos conditions d’utilisation et notre politique de confidentialité (en anglais). Terms · Privacy