Aller au contenu
DomainVigil
S'inscrire

Guide de référence

Qu'est-ce qu'un enregistrement CAA ?

Sans CAA, n'importe quelle autorité de certification du monde peut émettre un certificat pour votre domaine. L'enregistrement CAA restreint cette liste à celles que vous nommez, et une seule ligne suffit.

7 min de lectureMis à jour le 12 septembre 2026

En bref

Un enregistrement CAA est un enregistrement DNS qui désigne les autorités de certification autorisées à émettre un certificat pour votre domaine. Toute autorité doit le consulter avant d'émettre et refuser si son identifiant n'y figure pas. En l'absence d'enregistrement CAA, toutes les autorités sont autorisées.

À quoi sert CAA

Un navigateur fait confiance à plusieurs centaines d'autorités de certification. Chacune d'elles peut, techniquement, émettre un certificat valide pour n'importe quel domaine, y compris le vôtre. Il suffit qu'elle se laisse convaincre par une validation bâclée ou qu'elle soit compromise pour qu'un certificat parfaitement accepté par les navigateurs existe sans que vous en sachiez rien.

CAA réduit cette surface à ce que vous décidez. Vous publiez dans votre DNS le nom des autorités que vous employez ; les autres sont tenues de refuser. Le contrôle est obligatoire pour toute autorité reconnue par les navigateurs, ce qui fait de CAA l'un des rares enregistrements DNS dont le respect est imposé par une règle du secteur et non par la bonne volonté.

L'enregistrement coûte une ligne et ne se renouvelle pas. C'est, rapporté à l'effort, l'une des protections les plus rentables qu'on puisse poser sur un domaine — à la condition de penser à le mettre à jour le jour où l'on change d'hébergeur.

Un enregistrement CAA, terme par terme

Trois champs, toujours dans cet ordre. La syntaxe est courte, ce qui la rend facile à écrire de travers sans s'en apercevoir.

example.com. 3600 IN CAA 0 issue "letsencrypt.org" example.com. 3600 IN CAA 0 issuewild ";" example.com. 3600 IN CAA 0 iodef "mailto:securite@example.com"

  1. 0Le drapeau

    Un seul bit est défini, celui de valeur 128, dit critique. À zéro, une autorité qui ne comprend pas la propriété peut passer outre. À 128, elle doit refuser d'émettre plutôt que d'ignorer ce qu'elle n'a pas compris.

  2. issueLa propriété

    Ce que la ligne autorise. Trois valeurs principales : l'émission ordinaire, l'émission de certificats joker, et l'adresse à prévenir en cas de refus.

  3. "letsencrypt.org"La valeur

    L'identifiant de l'autorité, tel qu'elle le publie dans sa propre documentation. Ce n'est pas forcément son nom commercial ni le domaine de son site.

  4. ";"Le point-virgule seul

    N'autorise personne. Sur la ligne des certificats joker, il interdit toute émission de joker tout en laissant les certificats ordinaires possibles.

  5. iodefL'adresse de signalement

    Où prévenir quand une demande est refusée. L'usage est facultatif du côté des autorités : toutes ne s'en servent pas.

Les propriétés CAA et leurs valeurs

Une ligne CAA porte une propriété et une valeur. Quatre propriétés sont normalisées ; deux suffisent dans la quasi-totalité des cas.

PropriétéCe qu'elle autoriseValeurs possibles
issueL'émission de certificats pour le domaine et, à défaut d'une ligne joker, pour ses jokers.L'identifiant d'une autorité, ou un point-virgule seul pour n'autoriser personne.
issuewildL'émission des seuls certificats joker. Quand elle est présente, elle remplace la propriété d'émission ordinaire pour ce cas.Même chose : un identifiant, ou un point-virgule seul.
iodefRien. Elle indique où signaler une demande refusée.Une adresse mailto: ou une adresse https:.
issuemailL'émission de certificats de messagerie S/MIME, sujet distinct des certificats de site.Un identifiant d'autorité, ou un point-virgule seul.
Drapeau 0Une autorité qui ne comprend pas la propriété peut l'ignorer.La valeur courante, et celle à poser par défaut.
Drapeau 128Une autorité qui ne comprend pas la propriété doit refuser d'émettre.À réserver aux cas où un refus vaut mieux qu'un certificat de trop.

Plusieurs lignes issue peuvent cohabiter : chacune ajoute une autorité à la liste. Il n'existe aucune ligne qui retire une autorité déjà autorisée ailleurs.

Vérifiez sur votre domaine, tout de suite

Entrez un nom de domaine : l'outil lit son certificat en cours, son autorité émettrice et sa date d'expiration.

Sans inscription, sans e-mail à laisser. Vous pouvez coller une adresse complète : nous en extrayons le domaine.

Comment l'autorité remonte l'arbre

Le point qui surprend : l'autorité ne regarde pas seulement le nom demandé. Elle remonte les niveaux jusqu'à trouver un enregistrement, et le premier trouvé décide seul.

  1. 1

    La demande porte sur un nom précis

    Un certificat est demandé, par exemple, pour la partie publique du site.

    www.example.com

  2. 2

    L'autorité interroge ce nom exact

    Elle demande les enregistrements CAA de www.example.com. Si elle en trouve, elle s'arrête là : les niveaux supérieurs ne seront pas consultés.

  3. 3

    Sinon, elle remonte d'un cran

    Pas d'enregistrement sur le nom demandé : elle interroge le domaine parent, et ainsi de suite jusqu'à l'extension.

    www.example.com → example.com

  4. 4

    Le premier niveau qui répond décide

    C'est ce qui rend un CAA posé sur un sous-domaine plus fort que celui du domaine : il masque entièrement le niveau du dessus au lieu de s'y ajouter.

  5. 5

    Elle émet, ou elle refuse

    Si son identifiant figure dans l'enregistrement trouvé, elle émet. Sinon elle refuse, et c'est un refus net : aucun avertissement, aucun certificat.

Aucun enregistrement à aucun niveau signifie « toutes les autorités sont autorisées ». C'est l'état par défaut de la grande majorité des domaines.

Les identifiants des autorités les plus courantes

La valeur à écrire n'est pas le nom commercial de l'autorité mais l'identifiant qu'elle publie. Une erreur ici bloque l'émission sans rien expliquer.

Identifiant à écrireAutoritéCas courant
letsencrypt.orgLet's EncryptLes certificats automatiques de la plupart des hébergeurs et des serveurs autogérés.
digicert.comDigiCertCertificats commerciaux, validation étendue.
sectigo.comSectigoCertificats commerciaux revendus par de nombreux hébergeurs.
globalsign.comGlobalSignCertificats commerciaux.
pki.googGoogle Trust ServicesLes certificats émis pour les services hébergés chez Google.
buypass.comBuypassAutorité proposant aussi une émission automatisée.

Cette liste n'est pas exhaustive et les identifiants peuvent évoluer : avant de publier, vérifiez la valeur dans la documentation de l'autorité que vous employez réellement.

Ce qui casse une émission de certificat

  • Le renouvellement automatique échoue du jour au lendemain

    Ce qui le provoque : L'hébergeur a changé d'autorité de certification, et l'enregistrement CAA posé il y a deux ans ne nomme que l'ancienne.

    Le geste qui corrige : Ajouter l'identifiant de la nouvelle autorité. Une ligne supplémentaire suffit, l'ancienne peut rester le temps de la transition.

  • Le certificat joker est refusé, le certificat simple passe

    Ce qui le provoque : Une ligne joker est présente et plus restrictive que la ligne ordinaire. Dès qu'elle existe, c'est elle seule qui décide pour les jokers.

    Le geste qui corrige : Soit ajouter l'autorité à la ligne joker, soit supprimer cette ligne pour que la règle ordinaire s'applique aux deux cas.

  • Le CAA du domaine ne s'applique pas au sous-domaine

    Ce qui le provoque : Un enregistrement existe sur le sous-domaine et masque entièrement celui du domaine, au lieu de s'y ajouter.

    Le geste qui corrige : Décider à quel niveau la règle doit vivre et n'en garder qu'un. Un CAA sur le domaine couvre tout ce qui n'en a pas.

  • Plus aucune autorité ne peut émettre

    Ce qui le provoque : Une ligne posée avec un point-virgule seul, pour bloquer l'émission pendant une migration, est restée après.

    Le geste qui corrige : Supprimer la ligne, ou la remplacer par l'identifiant de l'autorité employée. Le blocage est total et silencieux tant qu'elle est là.

Les questions qu'on se pose ensuite

CAA empêche-t-il vraiment un certificat frauduleux ?

Il empêche une autorité respectueuse des règles d'en émettre un. Il ne protège pas contre une autorité compromise, qui ne consultera rien. C'est une réduction de surface, pas un verrou absolu — et elle porte sur la quasi-totalité des autorités reconnues.

Faut-il un enregistrement sur chaque sous-domaine ?

Non. Un enregistrement sur le domaine suffit : il couvre tous les noms en dessous qui n'en publient pas. N'en poser un sur un sous-domaine que si ce sous-domaine doit obéir à une règle différente.

Que se passe-t-il si je n'ai aucun CAA ?

Toutes les autorités sont autorisées à émettre pour votre domaine. Rien ne casse et rien n'alerte : c'est simplement la protection qui n'existe pas.

Combien de temps avant qu'un changement soit pris en compte ?

Le temps du TTL de l'enregistrement. Une autorité qui vient de lire l'ancienne valeur peut encore s'y référer jusqu'à son expiration, ce qui compte quand on ajoute une autorité juste avant un renouvellement.

Un CAA juste évite un renouvellement raté

L'enregistrement ne se renouvelle pas, mais il vieillit : un changement d'hébergeur, et il bloque ce qu'il devait protéger. DomainVigil surveille le certificat de chacun de vos domaines et vous prévient avant qu'un renouvellement n'échoue.

Commencer gratuitement

Cinq domaines gratuits, pour toujours. Sans carte bancaire.

Les autres guides de référence