O que acontece se um domínio não tem registro CAA?

Qualquer CA publicamente confiável pode emitir certificados para ele. O CAA é opcional; a maioria dos domínios não publica um.

Qual a diferença entre issue e issuewild?

issue cobre certificados comuns; issuewild cobre certificados curinga como *.example.com. Se não houver tag issuewild, a lista issue vale também para curingas.

Por que meu pedido de certificado falhou na verificação CAA?

O domínio, ou um domínio pai dele, tem um registro CAA que não lista a sua CA. Adicione o identificador da CA a um registro issue (ou issuewild para um curinga), espere o TTL do registro antigo e tente de novo.

Um registro CAA afeta o e-mail?

Não. O CAA só controla quem pode emitir certificados TLS. A entrega de e-mail depende de MX, SPF, DKIM e DMARC.

O verificador de CAA é grátis?

Sim. 100 nomes de host por rodada sem conta e 500 depois de entrar grátis com o Google, sem cartão.

Verificador de registros CAA: quais autoridades certificadoras podem emitir para este domínio?

Em resumo: Cole domínios ou nomes de host e veja, para cada um, o registro CAA que uma CA usaria (o próprio ou o de um domínio pai), as CAs permitidas para certificados comuns e curinga, e para onde as recusas são reportadas. Limite: Lê o DNS por um único resolvedor, não avalia os parâmetros accounturi e validationmethods (mostra como publicados) e não verifica quais certificados já existem.

Um verificador de registros CAA mostra quais autoridades certificadoras um domínio permite para emitir seus certificados SSL. Cole um nome de host ou até 100 (500 depois de entrar com o Google): cada um é consultado como uma CA deve fazer, no nome e depois em cada domínio pai até achar um registro CAA, e você recebe as CAs permitidas para certificados comuns e curinga, ou Any CA quando não há nenhum.

Domains or host names, one per line (up to 100)

Upload a CSV or TXT fileCAA records read from DNS, walking up to the parent domain like a CA does; nothing is sent to the domain. 100 hosts a run, or 500 when you sign in.

A ferramenta é a mesma da versão em inglês: os botões e os motivos de cada resultado aparecem em inglês. Atualizado em 5 de novembro de 2026 · Equipe SimpleVerifier

Como consultar os registros CAA de um domínio

Cole domínios ou nomes de host, um por linha: até 100 por rodada, ou 500 depois de entrar grátis com o Google. www.example.com e example.com são verificados separadamente, porque cada um pode ter o próprio CAA.
Clique em Check CAA records. Cada nome é consultado no DNS, depois o domínio pai, e assim por diante, parando no primeiro nome com registros CAA.
Leia o resultado: Restricted (com as CAs nomeadas), Any CA can issue ou No CA can issue, além de onde o registro veio e dos registros brutos.
Vai pedir um certificado? Confira se o identificador da sua CA, como letsencrypt.org ou pki.goog, está na lista issue (ou issuewild) antes de fazer o pedido.

O que é um registro CAA?

Um registro CAA (Certification Authority Authorization) é um registro DNS que nomeia as autoridades certificadoras autorizadas a emitir certificados para um domínio, definido no RFC 8659. A tag issue lista as CAs para certificados comuns, issuewild lista as CAs para certificados curinga, e iodef dá um endereço para onde uma CA pode reportar um pedido recusado. O valor ";" não permite nenhuma CA.

Desde setembro de 2017, toda CA publicamente confiável precisa verificar o CAA antes de emitir, segundo os Baseline Requirements do CA/Browser Forum (seção 3.2.2.8). Se o registro não nomeia a CA, ela deve recusar.

Por que um subdomínio mostra o registro CAA do domínio pai?

Porque é assim que as CAs leem. A seção 3 do RFC 8659 diz que a CA procura CAA primeiro no nome exato; se não houver, tenta o domínio pai, depois o pai dele, e usa o primeiro conjunto de registros que encontrar. Assim, um registro CAA em example.com cobre shop.example.com, a menos que shop.example.com publique o seu. O verificador faz o mesmo percurso e mostra o nome de onde veio o registro.

Nenhum registro CAA em toda a árvore significa que qualquer CA publicamente confiável pode emitir. É o padrão, e a maioria dos domínios não tem nenhum.

Qual identificador CAA a minha CA usa?

Cada CA publica nos seus documentos de política os nomes de domínio que reconhece, e o CCADB da Mozilla os reúne. Os comuns: letsencrypt.org para Let's Encrypt, pki.goog para Google Trust Services, digicert.com para DigiCert, sectigo.com para Sectigo, amazon.com para Amazon, globalsign.com para GlobalSign e ssl.com para SSL.com. O verificador nomeia os que conhece e mostra qualquer outro identificador exatamente como publicado.

Alguns provedores emitem por mais de uma CA; uma CDN que renova automaticamente pode precisar de dois ou três identificadores na lista. Confira a documentação do seu provedor antes de restringir o CAA, ou as renovações podem falhar. O verificador de SSL em massa mostra qual CA emitiu de fato cada certificado ativo e quando ele expira.

Perguntas frequentes

Como consulto registros CAA?: Cole o nome de host aqui. O verificador lê o CAA no nome e depois em cada domínio pai até achar um registro, como uma CA faz, e lista as CAs autorizadas a emitir.
O que acontece se um domínio não tem registro CAA?: Qualquer CA publicamente confiável pode emitir certificados para ele. O CAA é opcional; a maioria dos domínios não publica um.
Qual a diferença entre issue e issuewild?: issue cobre certificados comuns; issuewild cobre certificados curinga como *.example.com. Se não houver tag issuewild, a lista issue vale também para curingas.
Por que meu pedido de certificado falhou na verificação CAA?: O domínio, ou um domínio pai dele, tem um registro CAA que não lista a sua CA. Adicione o identificador da CA a um registro issue (ou issuewild para um curinga), espere o TTL do registro antigo e tente de novo.
Um registro CAA afeta o e-mail?: Não. O CAA só controla quem pode emitir certificados TLS. A entrega de e-mail depende de MX, SPF, DKIM e DMARC.
O verificador de CAA é grátis?: Sim. 100 nomes de host por rodada sem conta e 500 depois de entrar grátis com o Google, sem cartão.

Tem uma lista? Os primeiros 100 endereços são grátis.

Entre com o Google, cole os endereços ou envie um CSV e cada um passa pela checagem SMTP real da caixa postal, com o resultado de cada linha para baixar. 100 verificações grátis, sem cartão.

Domínios catch-all e servidores que não respondem saem como arriscado, nunca como válido.

Ao continuar, você aceita os Termos de Uso e a Política de Privacidade. Terms · Privacy