Синтаксис: example.com. CAA 0 issue "letsencrypt.org", CAA 0 issuewild ";" (запрет wildcard-сертификатов), CAA 0 iodef "mailto:security@example.com". CA ищут записи сначала для точного имени, а затем для каждого родительского, пока не найдут набор CAA-записей; если записей нет совсем, выпускать сертификаты может любой CA. Флаг 128 помечает тег как критический, и CA, который не понимает критический тег, обязан отказать в выпуске.
RFC 8657 добавляет параметры, которые привязывают выпуск к аккаунту ACME (accounturi=…) и к способам проверки (validationmethods=dns-01). Базовые требования (Baseline Requirements) рекомендуют обрабатывать их уже сейчас, а с 15 марта 2027 года делают это обязательным. Результат проверки CAA подтверждают из нескольких точек сети, а ошибка проверки DNSSEC должна считаться запретом на выпуск.
CAA ограничивает круг CA, которыми можно воспользоваться при скомпрометированной или небрежной проверке; ошибочный выпуск сертификата разрешённым CA он не предотвращает — для этого нужен мониторинг Certificate Transparency. Генератор записей CAA составляет набор записей для ваших CA.