Tu dominio es válido, pero el certificado SSL no se emitirá: verifica el registro CAA

Tu empresa tiene un dominio registrado, un sitio web en funcionamiento y un pedido de certificado listo para funcionar. Sin embargo, el proveedor del certificado informa que no puede emitir un certificado SSL para el nombre. El dominio no ha caducado. La dirección del sitio web está escrita correctamente. Incluso los registros DNS parecen estar presentes. ¿Qué está deteniendo el proceso?

Una posible respuesta es una pequeña configuración de DNS llamada registro CAA. CAA significa Autorización de autoridad de certificación. Indica a las autoridades certificadoras qué organizaciones pueden emitir certificados de confianza pública para un dominio. Si se utiliza correctamente, ofrece al propietario de un dominio otra forma de controlar la emisión de certificados. Si se configura incorrectamente, puede impedir que un sitio web legítimo reciba o renueve un certificado.

Para una panadería que acepta pedidos en línea, eso puede significar un retraso en el inicio del pago. Para una clínica dental, puede retrasar un nuevo portal de citas. Para una boutique que prepara una campaña de temporada, puede interrumpir el plan de trasladar a los visitantes a una nueva dirección de sitio web segura.

Este artículo explica cómo reconocer un posible problema de CAA, qué preguntarle a tu proveedor de alojamiento o certificado y cómo realizar una corrección segura. No es necesario convertirse en un especialista en DNS. Necesitas saber qué configuración se está cambiando y por qué.

Primero, comprende qué controla realmente un registro CAA

Un registro CAA se publica en el Sistema de nombres de dominio, el mismo sistema amplio que ayuda a los navegadores a encontrar sitios web y a los sistemas de correo electrónico a encontrar servidores de correo. En lugar de dirigir a los visitantes a un servidor, los registros CAA expresan una regla sobre la emisión de certificados.

Un certificado SSL permite a un navegador establecer una conexión cifrada HTTPS a un sitio web cuando se emite, instala y configura correctamente. Las autoridades de certificación públicas deben verificar la política CAA aplicable antes de emitir un certificado. Si la política no permite esa autoridad, la solicitud de certificado no puede continuar con el proceso de emisión normal.

Por ejemplo, una zapatería ficticia podría haber elegido previamente una autoridad de certificación para su sitio web. Posteriormente, la tienda cambia de proveedor de hosting y la nueva plataforma intenta obtener un certificado de otra autoridad. La antigua política de la CAA aún puede autorizar únicamente a la autoridad anterior. El nuevo proveedor puede verificar el control del dominio y aún así estar bloqueado por la regla publicada.

Esa es la distinción central: CAA controla quién puede emitir un certificado, no dónde está alojado tu sitio web. Tampoco reemplaza las comprobaciones de control de dominio que debe realizar una autoridad certificadora.

Si no se aplica ninguna política CAA restrictiva, la ausencia de un registro CAA generalmente no impide que una autoridad elegible emita un certificado después de la validación requerida. No necesitas agregar un registro CAA simplemente porque hayas registrado un dominio.

Reconoce la diferencia entre un error de emisión y una advertencia del navegador

No todos los problemas del SSL son causados por CAA. Antes de editar DNS, determina si el problema ocurre al solicitar un certificado o al usar uno que ya ha sido emitido.

Un error de emisión ocurre cuando la autoridad certificadora rechaza o no puede completar una nueva solicitud de certificado. Puede aparecer una advertencia del navegador cuando un certificado instalado ha caducado, cubre el nombre de host incorrecto, no es de confianza o el sitio web lo entrega incorrectamente. Estas situaciones pueden tener diferentes causas y diferentes remedios.

Un florista que lanza un catálogo en línea podría ver un mensaje en su panel de alojamiento que indique que la política de CAA denegó la emisión de certificados. Ésa es una pista útil. El propietario de un café que ve un mensaje en el navegador indicando que la conexión no es privada no debe asumir inmediatamente que CAA es responsable. Es posible que el certificado simplemente haya caducado o que el servidor esté presentando uno incorrecto.

Pregunta al proveedor el texto exacto del error y el nombre de host afectado. ¿El nombre fallido es example.com, www.example.com o shop.example.com? ¿El sistema informó un problema de autorización, una falla en la búsqueda de DNS, un error de validación de dominio o un error de instalación?

La respuesta determina el siguiente paso. CAA es una posible causa de problemas de emisión, no una explicación universal para cada advertencia del HTTPS. Un diagnóstico correcto evita cambiar la configuración de DNS en funcionamiento mientras el problema real sigue sin resolverse.

Descubre qué autoridad de certificación utiliza tu sitio web

El propietario de una empresa puede conocer el nombre de la empresa de alojamiento, pero no la autoridad de certificación detrás de su servicio SSL. No siempre se trata de la misma organización. Un panel de alojamiento puede solicitar certificados automáticamente a una autoridad pública, mientras que un certificado adquirido por separado puede provenir de un proveedor diferente.

Supongamos que una oficina de contabilidad compró un certificado SSL para su sitio web principal y luego agregó un sistema de citas alojado en otro lugar. El proveedor del certificado original y el emisor automatizado de la plataforma de citas pueden ser diferentes. Si la oficina tiene un registro CAA restrictivo, debe tener en cuenta ambas vías de emisión legítimas.

Pregunta al sitio web o al proveedor de certificados: "¿Qué autoridad de certificación emitirá el certificado para este nombre de host exacto?" Si el proveedor utiliza la emisión automatizada, pregunta si la autoridad puede cambiar y cómo se comunicará ese cambio. Para un pedido de certificado comercial, revisa el producto y la autoridad emisora antes de editar la política.

No adivines el identificador CAA de la autoridad a partir de su nombre comercial. Las autoridades certificadoras utilizan identificadores específicos en la política DNS. Un pequeño error ortográfico en ese identificador puede convertir un permiso previsto en un bloqueo efectivo.

Mantén un breve inventario que muestre el dominio, cada nombre de host importante, el producto o servicio del certificado, la autoridad emisora y la persona responsable de la renovación. Un restaurante con un solo sitio web puede necesitar sólo unas pocas líneas. Una empresa en crecimiento con una tienda, un portal de reservas y un inicio de sesión de cliente puede necesitar una lista más detallada.

Comprueba si tu dominio tiene una restricción CAA

La primera acción más segura es una búsqueda de DNS de solo lectura. Si tienes acceso a una herramienta DNS, solicita los registros CAA para el nombre de host afectado. Un colega técnico también puede ejecutar un comando como dig CAA example.com o dig CAA shop.example.com, reemplazando el nombre del ejemplo con el dominio real.

Un resultado simple podría verse así:

example.com.  CAA 0 issue "letsencrypt.org"

Ese ejemplo autoriza a Let's Encrypt a emitir certificados para el dominio según la política aplicable. No autoriza a ninguna otra autoridad certificadora. Si tu proveedor tiene la intención de utilizar otra autoridad, esta política puede ser la razón por la que falla el pedido.

La sintaxis exacta del registro es importante, pero la decisión empresarial es sencilla: ¿la política actual permite emitir el certificado a la autoridad que lo está intentando?

Ten cuidado con una respuesta en blanco. Puede significar que no se publica ningún registro CAA con ese nombre exacto. No significa necesariamente que no exista una política relevante. Una autoridad de certificación puede examinar los nombres principales del dominio y puede encontrar una política CAA superior en la jerarquía DNS. Algunos alias de nombres de host también pueden dar lugar a comprobaciones de políticas en sus nombres de destino.

No edites el registro simplemente porque no te resulte familiar. Registra lo que encontraste, identifica al emisor previsto y verifica el alcance de la política antes de realizar cambios.

Una política de dominio principal puede afectar un subdominio de reserva o tienda

Muchas pequeñas empresas utilizan subdominios sin pensar en ellos como decisiones de seguridad independientes. Una cafetería podría utilizar orders.example.com para la recogida en línea. Una clínica podría utilizar appointments.example.com. Un centro de formación podría utilizar courses.example.com para la inscripción.

La política CAA se puede aplicar a estos nombres de host incluso cuando el registro se creó originalmente para el dominio principal. Las autoridades certificadoras buscan la política CAA relevante de acuerdo con las reglas DNS, incluida la verificación de los nombres principales cuando sea apropiado. Por lo tanto, una política sobre example.com puede afectar la emisión de certificados para appointments.example.com.

Imagina una empresa de limpieza que ya tiene un sitio web principal seguro. Agrega un servicio de programación bajo un subdominio y ese servicio intenta emitir su propio certificado. El dominio principal sólo permite una autoridad diferente. Es posible que la plataforma de programación no active el HTTPS aunque el sitio web principal siga funcionando.

Es por eso que una empresa debe solicitar el nombra de host exacto involucrado en el error. La solución puede ser actualizar la política principal o puede ser utilizar una política con el alcance correcto para el subdominio relevante. El enfoque correcto depende del acuerdo de servicio y del objetivo de seguridad.

Evita cambios amplios que autoricen a cada emisor simplemente a hacer funcionar un nuevo servicio. Primero identifica qué autoridad necesita realmente el servicio. Luego aplique el cambio más pequeño que respalde el requisito legítimo preservando al mismo tiempo cualquier restricción intencional.

Comprende las dos configuraciones CAA más habituales

Los registros CAA suelen utilizar dos etiquetas: issue y issuewild. Sus nombres son técnicos, pero la diferencia es importante para empresas con varias direcciones de sitios web.

La etiqueta issue identifica a las autoridades certificadoras autorizadas a emitir certificados ordinarios. También rige la emisión de comodines cuando no existe una política issuewild aplicable por separado. La etiqueta issuewild se utiliza cuando el propietario del dominio desea permisos diferentes para certificados comodín, que pueden cubrir varios subdominios de primer nivel bajo el mismo nombre registrado.

Por ejemplo, una pequeña agencia de viajes puede utilizar un certificado para su sitio web público y otro para una plataforma de reservas. Un certificado comodín separado podría ser útil si la agencia tiene muchos subdominios relevantes, pero no es automáticamente necesario sólo porque existan dos nombres de host.

La presencia de un registro issuewild no significa que cada certificado deba ser un comodín. Cambia los permisos para la emisión de comodines. Una empresa que no esté segura de qué tipo de certificado solicita su proveedor debe aclararlo antes de editar la política DNS.

Múltiples registros issue pueden autorizar múltiples autoridades de certificación. Esto puede ser legítimo cuando diferentes servicios necesitan diferentes emisores. También puede resultar confuso cuando los permisos antiguos quedan atrás después de un cambio de proveedor.

El objetivo no es crear la política más larga posible. Se trata de documentar una pequeña y precisa lista de autoridades que corresponden a servicios empresariales reales.

No elimines la configuración de seguridad sólo para hacer desaparecer un error

Cuando falla un pedido de SSL, la solución más rápida puede ser eliminar todos los registros CAA. Eso puede eliminar una política restrictiva, pero también elimina el control que la empresa colocó deliberadamente allí. La respuesta más segura es comprender primero la restricción.

Considera una joyería que utiliza un proveedor de certificados para su sitio principal y una plataforma diferente para una herramienta de citas en línea. Si el registro CAA existente se estableció como parte de una revisión de seguridad, eliminarlo sin aprobación cambia la política de emisión de certificados del almacén para más de un servicio.

Pregunta quién creó originalmente el registro y por qué. Es posible que lo haya instalado una empresa de alojamiento anterior, un consultor de seguridad o el equipo técnico actual. Algunas restricciones están desactualizadas; otros son intencionales. La empresa debe distinguir entre ellos.

Si se justifica un cambio, registra el valor anterior, el valor nuevo, el motivo y la persona que lo aprobó. Realiza el cambio en la zona DNS autoritativa, no en un panel no utilizado que muestre registros similares. Luego verifica el resultado público y vuelve a intentar la solicitud de certificado mediante el flujo de trabajo adecuado.

No prometas un resultado instantáneo. Las cachés de DNS, la validación del proveedor y el proceso de emisión de certificados pueden afectar el momento en que el cambio entre en vigor. Deja tiempo para la verificación y confirma el éxito con el servicio emisor en lugar de asumir que guardar un formulario DNS completó el trabajo.

Reconoce cuándo el error se debe a una falla de DNS y no a una denegación de la política

Los mensajes de error relacionados con CAA no siempre significan que la política rechazó explícitamente una autoridad. A veces, la autoridad certificadora no puede obtener una respuesta DNS confiable y, por lo tanto, no puede determinar si se permite la emisión.

Una búsqueda de DNS puede fallar porque los servidores de nombres autoritativos no están disponibles, un firewall maneja mal un tipo de consulta o la validación de DNSSEC no funciona. En esas situaciones, cambiar la lista de autoridades permitidas puede no lograr nada. El problema es la confiabilidad o corrección de la respuesta DNS.

Una pequeña papelería online podría encontrarse con esto después de una migración de hosting. Algunos clientes pueden acceder a su nuevo sitio web, pero la autoridad certificadora recibe un error de DNS al verificar CAA. El propietario ve "CAA" en el mensaje y asume que hay una restricción que bloquea el pedido. La causa real puede ser una configuración de DNS rota que necesita una reparación diferente.

Pregunta al proveedor técnico si la respuesta fue una denegación de política, un tiempo de espera o un error como SERVFAIL. Esas distinciones importan. Si el problema es la validación de DNSSEC, es posible que los administradores de dominio y DNS responsables deban corregir la cadena de confianza de DNS. Si los servidores autoritativos no responden correctamente a determinadas consultas de registros, el operador de DNS debe corregir ese comportamiento.

No desactives DNSSEC como primera respuesta de rutina. Esto cambia un control de seguridad independiente y puede crear riesgos adicionales si se hace sin comprender la configuración actual.

Crea una lista de verificación de cambio de certificado seguro para tu empresa

Puedes mantener el proceso manejable incluso si un proveedor técnico realiza las ediciones de DNS reales. Utiliza esta lista de verificación antes de solicitar un nuevo certificado o renovar uno existente:

1. Identifica la dirección afectada. Escribe el nombre de host completo, incluido cualquier www, shop o prefijo de reserva.
2. Confirma el emisor. Pregunta qué autoridad certificadora emitirá el certificado y qué tipo de certificado se solicita.
3. Lee la política CAA actual. Verifica el nombre de host exacto y cualquier política de dominio principal relevante.
4. Revisar los servicios existentes. Determina si otros sitios web o subdominios dependen de una autoridad de certificación diferente.
5. Decide si es necesario realizar un cambio. No tener ningún registro CAA puede ser perfectamente aceptable; no agregues uno sin un propósito claro.
6. Aprobar y registrar la edición. Conserva el valor anterior y el motivo del cambio.
7. Verifica la respuesta del DNS público. Asegúrate de que la configuración autoritativa refleje la política prevista.
8. Vuelve a intentar la emisión y prueba HTTPS. Confirma que el certificado esté emitido, instalado y sé válido para el nombre de host deseado.

Una floristería con un solo sitio web puede completar esto con un representante de soporte de hosting. Un consultorio médico con un portal de citas y un sitio de información para pacientes independiente puede necesitar que su proveedor de TI coordine múltiples servicios. La lista de verificación es la misma; el número de dependencias cambia.

Si está cambiando de plataforma de alojamiento, programe la verificación del certificado antes de anunciar la nueva dirección. Es mucho más fácil resolver un problema de emisión durante una ventana de inicio controlada que después de que los clientes comiencen a ver advertencias en el navegador.

Mantén la emisión de certificados y la renovación de dominios en calendarios separados

Un dominio registrado y un certificado SSL son activos diferentes con diferentes procesos de renovación y validación. Pagar para renovar el dominio no garantiza automáticamente que un certificado se emita correctamente. La renovación de un certificado no extiende el plazo de registro del dominio.

Un hotel pequeño puede tener un registro de dominio que permanece activo durante varios años, mientras que el certificado de su sitio web se reemite con mucha más frecuencia. Es posible que el proveedor del certificado necesite verificar el dominio nuevamente cada vez que se emite un nuevo certificado. Por lo tanto, una política de CAA restrictiva o incumplida puede surgir mucho después del lanzamiento original del sitio web.

La solución práctica es un mapa de responsabilidad simple. Identifica quién paga por el dominio, quién administra el DNS autoritativo, quién administra el sitio web o el alojamiento y quién se encarga de la emisión de certificados. Una persona puede desempeñar varios roles, pero las responsabilidades aún deben ser explícitas.

Configura recordatorios antes de cambios críticos, especialmente al trasladar el sitio web a una plataforma diferente o al reemplazar un proveedor de certificados. Revisa la política de CAA como parte de ese cambio, no como una emergencia después de que falla una solicitud de certificado.

Para un pequeño minorista, el valor de esta coordinación se puede medir en la interrupción evitada. A los clientes no les importa qué registro DNS causó el problema. Les importa si la tienda carga de forma segura cuando están listos para comprar.

Cómo te ayudamos en SoxDomains con las decisiones sobre dominios y SSL

En SoxDomains, proporcionamos recursos de administración y registro de dominios junto con opciones de certificados SSL. Si tu empresa está eligiendo un nuevo nombre, comienza por comparar las opciones de registro y renovación de dominio. Si el dominio ya está registrado, identifica quién controla su DNS autoritativo y confirma que el equipo correcto pueda revisar o actualizar los registros relevantes.

Nuestros recursos de administración de dominios pueden ayudarte a organizar la parte de propiedad y DNS del proceso. Para HTTPS, nuestra página de certificado SSL explica los productos de certificado disponibles y los pasos de validación asociados con ellos. El certificado apropiado depende de los nombres de host y los requisitos comerciales, no de si existe o no un registro CAA.

Si se bloquea un pedido de certificado, recopile el nombre de host exacto, el mensaje de error, la autoridad emisora prevista y los resultados actuales de CAA antes de comunicarse con el equipo de soporte correspondiente. Esa información hace que el diagnóstico sea más preciso y reduce la posibilidad de realizar cambios innecesarios en un sitio web que funcione.

En SoxDomains te ayudamos a decidir sobre la infraestructura, sin que eso sea una razón para cambiar la configuración de DNS a ciegas. Registra y mantén el nombre que necesitas, elige el producto HTTPS adecuado y coordina la configuración técnica con el servicio que realmente opera tu sitio web.

Resuelve el problema de emisión sin crear uno nuevo

Un registro CAA es una configuración de seguridad útil cuando la empresa sabe qué autoridades certificadoras pretende utilizar. Se convierte en un problema cuando esa política se olvida durante un cambio de alojamiento, el lanzamiento de un nuevo subdominio o la renovación de un certificado.

Antes de editar cualquier cosa, identifica el nombre de host exacto y el error, confirma la autoridad de certificación deseada y lee la política de DNS aplicable. Si es necesario cambiar el registro, documenta la decisión y verifica el resultado. Si la falla es en realidad un problema de búsqueda de DNS, aborde esa causa raíz.

¿Preparando un nuevo sitio web comercial o resolviendo un pedido de SSL? Revisa las opciones de certificado SoxDomains SSL y coordina la configuración de DNS de tu dominio con el proveedor responsable de la emisión. Unas cuantas comprobaciones cuidadosas ahora pueden evitar una interrupción evitable cuando los clientes más necesitan tu sitio.