Исходное сообщение
"Вступили в силу требования к удостоверяющим центрам по прове..." Отправлено opennews, 10-Сен-17 10:22
8 сентября вступило (https://mailarchive.ietf.org/arch/msg/spasm/vHL260X6Zb2C0VSw...) в силу предписание, в соответствии с которым удостоверяющие центры должны обязательно проверять CAA-записи в DNS перед генерацией сертификата. CAA (RFC-6844 (https://tools.ietf.org/html/rfc6844), Certificate Authority Authorization) позволяет владельцу домена явно определить удостоверяющий центр, через который можно генерировать сертификаты для указанного домена. Если удостоверяющий центр не перечислен в записях CAA, то он обязан блокировать выдачу сертификатов для данного домена и информировать владельца домена о попытках компрометации. Пример настройки CAA можно посмотреть в данной заметке (https://www.opennet.ru/tips/3028_ssl_https_caa_cert_dns.shtml). Автоматически сформировать DNS-записи с CAA можно через специально подготовленный web-интерфейс (https://sslmate.com/caa/). URL: https://letsencrypt.org/docs/caa/ Новость: https://www.opennet.ru/opennews/art.shtml?num=47168