Da hänge ich mich mal dran, den ich habe auch Probleme mit verschiedenen CAA Parametern. Ich würde gerne Dinge wie in https://letsencrypt.org/docs/caa/ machen, also z.B.
CAA 0 issue "letsencrypt.org; validationmethods=http-01; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/<numbers>"
CAA 0 issuewild "letsencrypt.org; validationmethods=dns-01; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/<number>"
CAA 0 issuemail ";"
CAA 0 issuevmc ";"
ich nehm immer die kiss principle version
@ IN CAA 0 issue "letsencrypt.org"
@ IN CAA 0 issuewild "letsencrypt.org"
@ IN CAA 0 iodef "mailto:jemand@beispiel.de"
und gut ist.
Ja gut, aber gerade bei letsencrypt ist es schon gut es an einen Account zu pinnen.
ich nehm immer die kiss principle version
@ IN CAA 0 issue "letsencrypt.org"
@ IN CAA 0 issuewild "letsencrypt.org"
@ IN CAA 0 iodef "mailto:jemand@beispiel.de"und gut ist.
Wenn du es noch simpler halten willst, könntest du noch den @ IN CAA 0 issuewild "letsencrypt.org" entfernen. Der ist in diesem Fall überflüssig:
You only need to use issuewild records if you want different permissions for wildcard and non-wildcard issuance.
https://letsencrypt.org/docs/caa/#the-issue-and-issuewild-properties
Wenn du es noch simpler halten willst, könntest du noch den @ IN CAA 0 issuewild "letsencrypt.org" entfernen. Der ist in diesem Fall überflüssig:
Richtig. Und wenn man es noch simpler möchte, kann man auch
@ IN CAA 0 iodef "mailto:jemand@beispiel.de"
weglassen. Die meisten Authorities versenden sowieso keine Berichte, und mich interessiert es auch herzlich wenig, wenn jemand versucht bei einer Zertifizierungsstelle ein Zertifikat ausstellen zu lassen und das fehlschlägt. Macht eh keiner, kostet ja Kohle.
