Показано: 13 из 13
Первое поле TLSA-записи.
| Значение | Аббревиатура | Описание | Ссылки |
|---|---|---|---|
0Примечание | PKIX-TA | PKIX-TA (0) — вариант использования сертификата TLSA «CA constraint». | RFC 6698 |
1 | PKIX-EE | PKIX-EE (1) — вариант использования сертификата TLSA «Service certificate constraint». | RFC 6698 |
2Примечание | DANE-TA | DANE-TA (2) — вариант использования сертификата TLSA «Trust anchor assertion». | RFC 6698 |
3Примечание | DANE-EE | DANE-EE (3) — вариант использования сертификата TLSA «Domain-issued certificate». | RFC 6698 |
255 | PrivCert | PrivCert (255) — вариант использования сертификата TLSA «Reserved for Private Use». | RFC 6698 |
| Диапазон | Статус | Описание |
|---|---|---|
| 4–254 | unassigned | Unassigned |
Источник: DNS-Based Authentication of Named Entities (DANE) Parameters (IANA), данные получены 2026-10-20. Лицензия на данные: CC0-1.0. TLSA Certificate Usages
PKIX-TA (0) требует цепочку до публичного CA и соответствие этого CA записи TLSA; для SMTP RFC 7672 не рекомендует этот тип.
Типы использования 0 и 1 добавляют ограничение через DNS поверх обычной проверки Web PKI. Для SMTP между почтовыми серверами RFC 7672, § 3.1.3 указывает, что записям TLSA не следует (SHOULD NOT) их использовать: злоумышленник, способный подделать DNS, всё равно может их заменить, а у почтовых серверов нет общего списка доверенных CA.
DANE-TA (2) закрепляет в DNS якорь доверия — обычно CA, который выпустил сертификат.
При типе использования 2 цепочка сервера должна вести к сертификату или ключу из записи TLSA, причём это не обязательно публичный CA. RFC 7672, § 3.1.2 требует, чтобы сервер отправлял якорь доверия в своей цепочке, если запись соответствует ключу, а не полному сертификату.
DANE-EE (3) закрепляет в DNS собственный сертификат или ключ сервера; имена и срок действия в сертификате не проверяются.
При типе использования 3 одна только запись TLSA привязывает ключ к имени: согласно RFC 7672, § 3.1.1, сервер считается аутентифицированным, даже если ни одно имя в сертификате не совпадает, а дату истечения срока действия сертификата необходимо (MUST) игнорировать. Распространённая запись «3 1 1» (DANE-EE, SPKI, SHA-256) переживает продление сертификата, пока ключ остаётся прежним.
Второе поле TLSA-записи.
| Значение | Аббревиатура | Описание | Ссылки |
|---|---|---|---|
0 | Cert | Cert (0) — селектор TLSA «Full certificate». | RFC 6698 |
1 | SPKI | SPKI (1) — селектор TLSA «SubjectPublicKeyInfo». | RFC 6698 |
2 | C509 | C509 (2) — селектор TLSA «C509Certificate». | RFC-ietf-cose-cbor-encoded-cert-21 |
255 | PrivSel | PrivSel (255) — селектор TLSA «Reserved for Private Use». | RFC 6698 |
| Диапазон | Статус | Описание |
|---|---|---|
| 3–254 | unassigned | Unassigned |
Источник: DNS-Based Authentication of Named Entities (DANE) Parameters (IANA), данные получены 2026-10-20. Лицензия на данные: CC0-1.0. TLSA Selectors
Третье поле TLSA-записи.
| Значение | Аббревиатура | Описание | Ссылки |
|---|---|---|---|
0 | Full | Full (0) — тип сопоставления TLSA «No hash used». | RFC 6698 |
1 | SHA2-256 | SHA2-256 (1) — тип сопоставления TLSA «256 bit hash by SHA2». | RFC 6234 |
2 | SHA2-512 | SHA2-512 (2) — тип сопоставления TLSA «512 bit hash by SHA2». | RFC 6234 |
255 | PrivMatch | PrivMatch (255) — тип сопоставления TLSA «Reserved for Private Use». | RFC 6698 |
| Диапазон | Статус | Описание |
|---|---|---|
| 3–254 | unassigned | Unassigned |
Источник: DNS-Based Authentication of Named Entities (DANE) Parameters (IANA), данные получены 2026-10-20. Лицензия на данные: CC0-1.0. TLSA Matching Types