構文：example.com. CAA 0 issue "letsencrypt.org"、CAA 0 issuewild ";"（ワイルドカードを禁止）、CAA 0 iodef "mailto:security@example.com"。CA は、まず名前そのものを、続いて親ドメインを順に、CAA レコードセットが見つかるまで検索します。レコードがまったくなければ、どの CA でも発行できます。フラグ 128 はタグをクリティカルとしてマークし、クリティカルなタグを解釈できない CA は発行を拒否しなければなりません。
RFC 8657 は、発行を特定の ACME アカウント（accounturi=…）や検証方法（validationmethods=dns-01）に結び付けるパラメーターを追加しています。Baseline Requirements は現在これらの処理を推奨しており、2027年3月15日から義務化します。CAA の確認は複数のネットワーク視点から裏付けられ、DNSSEC の検証に失敗した場合は発行の拒否として扱わなければなりません。
CAA は、検証が突破されたり不用意に行われたりした場合に使われうる CA の範囲を限定するものであり、許可された CA による誤発行は防げません。誤発行の発見には Certificate Transparency の監視を使います。CAA レコード生成ツールを使えば、利用する CA に合わせたレコードセットを作成できます。