Syntaxe : example.com. CAA 0 issue "letsencrypt.org", CAA 0 issuewild ";" (interdit les certificats wildcard), CAA 0 iodef "mailto:security@example.com". Les AC interrogent le nom exact, puis chaque nom parent, jusqu’à trouver un ensemble d’enregistrements CAA ; en l’absence de tout enregistrement, n’importe quelle AC peut émettre. L’indicateur 128 marque une propriété comme critique, et une AC qui ne comprend pas une propriété critique doit refuser.
La RFC 8657 ajoute des paramètres qui lient l’émission à un compte ACME (accounturi=…) et à des méthodes de validation (validationmethods=dns-01). Les Baseline Requirements recommandent de les traiter dès maintenant et l’exigent à partir du 15 mars 2027. Les vérifications CAA sont corroborées depuis plusieurs perspectives réseau, et un échec de validation DNSSEC doit être traité comme un refus.
CAA restreint les AC auxquelles une validation compromise ou négligente peut avoir recours, mais n’empêche pas une AC autorisée d’émettre un certificat à tort : c’est le rôle de la surveillance de Certificate Transparency. Le générateur d’enregistrements CAA construit un ensemble d’enregistrements pour vos AC.