Syntax: example.com. CAA 0 issue "letsencrypt.org", CAA 0 issuewild ";" (verbietet Wildcards), CAA 0 iodef "mailto:security@example.com". CAs fragen zuerst den exakten Namen und dann jede übergeordnete Domain ab, bis sie auf CAA-Einträge stoßen; gibt es gar keine Einträge, darf jede CA ausstellen. Das Flag 128 kennzeichnet ein Tag als kritisch, und eine CA, die ein kritisches Tag nicht versteht, muss die Ausstellung verweigern.
RFC 8657 ergänzt Parameter, die die Ausstellung an ein ACME-Konto (accounturi=…) und an Validierungsmethoden (validationmethods=dns-01) binden. Die Baseline Requirements empfehlen, sie schon jetzt auszuwerten, und schreiben das ab dem 15. März 2027 vor. CAA-Prüfungen werden aus mehreren Netzwerkperspektiven bestätigt, und ein Fehlschlag der DNSSEC-Validierung muss als Verweigerung gewertet werden.
CAA begrenzt, welche CAs eine kompromittierte oder nachlässige Validierung nutzen kann; eine zugelassene CA hält es aber nicht von Fehlausstellungen ab, dafür ist das Monitoring von Certificate Transparency da. Der CAA-Eintragsgenerator erstellt passende CAA-Einträge für deine CAs.