Sintaxe: example.com. CAA 0 issue "letsencrypt.org", CAA 0 issuewild ";" (proíbe certificados curinga), CAA 0 iodef "mailto:security@example.com". As CAs consultam o nome exato e depois cada domínio pai até encontrar um conjunto de registros CAA; se não houver nenhum registro, qualquer CA pode emitir. A flag 128 marca uma tag como crítica, e uma CA que não entende uma tag crítica deve recusar a emissão.
A RFC 8657 acrescenta parâmetros que vinculam a emissão a uma conta ACME (accounturi=…) e a métodos de validação (validationmethods=dns-01). Os Baseline Requirements recomendam processá-los desde já e passam a exigir isso a partir de 15 de março de 2027. As verificações de CAA são corroboradas a partir de múltiplas perspectivas de rede, e uma falha de validação DNSSEC deve ser tratada como recusa.
O CAA limita as CAs que uma validação comprometida ou descuidada pode usar; ele não impede que uma CA autorizada emita certificados indevidamente, e é para isso que serve o monitoramento do Certificate Transparency. O gerador de registros CAA monta um conjunto de registros para suas CAs.