语法：example.com. CAA 0 issue "letsencrypt.org"、CAA 0 issuewild ";"（禁止签发通配符证书）、CAA 0 iodef "mailto:security@example.com"。CA 先查询确切的名称，再逐级查询各上级域名，直到找到一组 CAA 记录；完全没有记录则表示任何 CA 都可以签发。标志 128 把标签标记为关键标签，CA 如果不理解某个关键标签，就必须拒绝签发。
RFC 8657 新增的参数可以把签发限定于某个 ACME 账户（accounturi=…）和特定的验证方法（validationmethods=dns-01）。《基线要求》目前建议处理这些参数，并自2027年3月15日起强制要求。CAA 检查需要从多个网络视角进行佐证，DNSSEC 验证失败必须视为拒绝签发。
CAA 限制的是验证环节被攻破或出现疏忽时可以利用哪些 CA；它无法阻止获准的 CA 错误签发，后者正是证书透明度监控要发现的问题。CAA 记录生成器可以为你使用的 CA 生成一组记录。