خطای CAA در صدور SSL چیست و چطور آن را برطرف کنیم؟

اگر برای سایتتان گواهی SSL درخواست کرده‌اید و پیام مربوط به CAA می‌بینید، احتمال دارد تنظیمات دامنه به شرکت صادرکننده اجازه ساخت گواهی نداده باشد. گواهی SSL به مرورگر کمک می‌کند هویت سایت را برای ارتباط امن HTTPS تأیید کند. CAA مثل فهرست مهمان‌های مجاز است: صاحب دامنه مشخص می‌کند چه شرکت‌هایی اجازه دارند برای آن گواهی صادر کنند. DNS هم سامانه‌ای است که تنظیمات عمومی دامنه، از جمله این فهرست، را در اختیار دیگران می‌گذارد. گاهی مشکل از نرسیدن پاسخ DNS است، نه ممنوع‌بودن صادرکننده. در این راهنما هر دو حالت را جدا می‌کنیم.

پیش از شروع، نام دامنه و متن کامل خطا را کنار دستتان بگذارید. در مثال‌های ما example.com نمونه است؛ هر بار آن را با دامنه خودتان عوض کنید.

در صفحه درخواست SSL یا گزارش صدور خودکار، نام Certificate Authority یا صادرکننده گواهی را پیدا کنید. برای نمونه، نامی که برای Let's Encrypt در CAA استفاده می‌شود letsencrypt.org است. این نام الزاماً با نام فروشنده هاست یکی نیست. اگر مطمئن نیستید، متن خطا و نام دامنه را برای پشتیبانی سرویس بفرستید و نام دقیق صادرکننده را بخواهید.

CAA موجود را از روی حدس پاک نکنید. ممکن است همین دامنه هم‌زمان از یک صادرکننده برای سایت و از صادرکننده‌ای دیگر برای سرویس دیگری استفاده کند.

اگر ترمینال لینوکس یا مک دارید، این دستور فقط اطلاعات DNS را می‌خواند و چیزی را تغییر نمی‌دهد:

اگر برای shop.example.com گواهی می‌خواهید، آن نام و دامنه اصلی را جداگانه امتحان کنید:

در ویندوز اگر dig ندارید، ابتدا در پنل DNS فعال رکورد CAA را ببینید. برای بررسی پاسخ عمومی نیز می‌توانید از ابزار DNS که نوع CAA را پشتیبانی می‌کند استفاده کنید یا از ارائه‌دهنده DNS بخواهید پاسخ نام سایت و دامنه اصلی را جداگانه بررسی کند. دستور Resolve-DnsName -Type CAA در بعضی نسخه‌های ویندوز پشتیبانی نمی‌شود؛ خطای آن به‌تنهایی نشانه مشکل دامنه نیست.

پاسخی شبیه 0 issue "letsencrypt.org" یعنی Let's Encrypt در آن مجموعه رکورد برای صدور معمولی مجاز است، البته پارامترهای اضافی همان رکورد هم می‌توانند روش تأیید یا حساب مجاز را محدود کنند. اگر برای زیردامنه رکورد CAA وجود نداشته باشد، صادرکننده نام‌های بالاتر را بررسی می‌کند تا به اولین مجموعه CAA برسد. اگر نام سایت از طریق CNAME به نام دیگری وصل است، بررسی CAA مقصد هم مهم است.

پاسخ خالی به‌تنهایی به معنی خرابی نیست. ممکن است واقعاً رکورد CAA در آن نام وجود نداشته باشد. اما اگر دستور خطای DNS یا timeout می‌دهد، ابتدا مشکل پاسخ‌دهی DNS را حل کنید. صادرکننده‌ای که نتواند پاسخ معتبر بگیرد، ممکن است برای احتیاط صدور را متوقف کند.

در پنلی که نیم‌سرورهای فعال دامنه به آن اشاره می‌کنند، مدیریت DNS را باز کنید. برای نمونه در cPanel معمولاً مسیر Domains → Zone Editor → Manage است. اگر مدیریت DNS شما در Cloudflare یا شرکت دیگری است، تغییر را همان‌جا انجام دهید؛ ویرایش رکورد در پنلی که مسئول DNS فعال نیست، مشکل را حل نمی‌کند.

فرض کنید خطا می‌گوید Let's Encrypt مجاز نیست و شما واقعاً می‌خواهید به آن اجازه صدور بدهید. در رکورد جدید، نوع را CAA، نام را دامنه موردنظر، پرچم را 0، برچسب را issue و مقدار را letsencrypt.org بگذارید. نام فیلدها در پنل‌های مختلف کمی فرق دارد. مقدار را دقیقاً مطابق راهنمای همان صادرکننده وارد کنید.

پیش از اضافه‌کردن رکورد به یک زیردامنه، جای رکورد فعلی را دقیق پیدا کنید: مجموعه CAA در زیردامنه می‌تواند مجوزهای دامنه بالاتر را برای همان زیردامنه و زیرمجموعه‌هایش جایگزین کند، نه اینکه خودکار با آن‌ها ترکیب شود. اگر زیردامنه CNAME است، معمولاً نمی‌توان CAA را کنار همان CNAME ساخت؛ باید تنظیم مقصد و اختیار تغییر آن را با ارائه‌دهنده بررسی کنید. بدون شناخت سرویس‌های وابسته، نام یا مقصد دیگری را تغییر ندهید.

اگر رکوردهای دیگری وجود دارند، آن‌ها را بی‌دلیل حذف نکنید. چند رکورد issue می‌توانند اجازه را به چند صادرکننده بدهند. برای گواهی ستاره‌دار مانند *.example.com، رکورد issuewild در صورت وجود تعیین‌کننده است؛ اگر وجود نداشته باشد، قواعد issue هم برای آن به کار می‌روند. اگر نمی‌دانید کدام صادرکننده برای گواهی ستاره‌دار لازم است، قبل از تغییر از پشتیبانی بپرسید.

پس از ذخیره، دستور خواندن CAA را دوباره اجرا کنید. رسیدن تغییر به همه DNSها ممکن است به زمان اعتبار پاسخ قبلی وابسته باشد. وقتی رکورد درست در پاسخ دیده شد، یک بار درخواست صدور را تکرار کنید؛ درخواست‌های پی‌درپی ممکن است به محدودیت صادرکننده برسند.

اگر هنوز خطا دارید، متن جدید را بخوانید: خطای CAA با خطای اثبات مالکیت یکی نیست. برای مشکل فایل تأیید HTTP، راهنمای رفع خطای تأیید Let's Encrypt را ببینید. اگر پیام از DNSSEC یا عدم پاسخ DNS می‌گوید، از پشتیبانی بخواهید پاسخ نیم‌سرور و وضعیت DNSSEC را بررسی کند.

برای آشنایی با تنظیمات و خدمات دامنه، صفحه ثبت دامنه را ببینید. توضیحات فنی این راهنما بر اساس مستندات Let's Encrypt درباره CAA و راهنمای Zone Editor سی‌پنل نوشته شده است.