Sintaxis: example.com. CAA 0 issue "letsencrypt.org", CAA 0 issuewild ";" (prohíbe los comodines), CAA 0 iodef "mailto:security@example.com". Las CA consultan el nombre exacto y después cada dominio padre hasta encontrar un conjunto de registros CAA; si no hay ningún registro, cualquier CA puede emitir. El indicador 128 marca una etiqueta como crítica, y una CA que no entiende una etiqueta crítica debe negarse a emitir.
El RFC 8657 añade parámetros que vinculan la emisión a una cuenta ACME (accounturi=…) y a métodos de validación (validationmethods=dns-01). Los Baseline Requirements recomiendan procesarlos ya y lo exigen a partir del 15 de marzo de 2027. Las comprobaciones de CAA se corroboran desde varias perspectivas de red, y un fallo de validación de DNSSEC debe tratarse como una negativa a emitir.
CAA limita qué CA se pueden usar con una validación comprometida o descuidada; no impide que una CA autorizada emita certificados indebidos, y para eso sirve la monitorización de Certificate Transparency. El generador de registros CAA crea un conjunto de registros para tus CA.