Registro CAA: o que é e como configurar no DNS

Entenda o que é o registro CAA, como ler flag, tag e valor, o que acontece sem ele, como criar no painel de DNS e na Cloudflare e como conferir o resultado com dig.

Por Redação Eleven Host · @robson.direitodigital · 29 de outubro de 2026 · 8 min de leitura

O registro CAA é um registro do DNS em que o dono do domínio diz quais autoridades certificadoras (CAs) podem emitir certificado SSL/TLS para aquele nome. Ele não emite nada: só restringe quem pode emitir.

Neste guia você vê para que serve o CAA, como ler cada parte do registro, o que acontece quando ele não existe, como criar no painel de DNS e na Cloudflare, como conferir com dig e quais erros evitar. A base é a RFC 8659, a documentação da Let's Encrypt e a da Cloudflare.

Para que serve o registro CAA

Um certificado SSL/TLS é o que permite o endereço https:// do seu site. Quem emite esse certificado é uma autoridade certificadora. O CAA entra antes da emissão: segundo a Let's Encrypt, é um tipo de registro que permite aos donos de sites especificar quais CAs têm permissão para emitir certificados para o domínio.

Na RFC 8659, a CA que segue o padrão precisa consultar o CAA publicado antes de emitir e não pode emitir um certificado que contrarie o registro. Por isso o CAA funciona como uma lista de autorizadas: se a CA que você usa não está nela, a emissão é recusada.

Vale entender o que o CAA não faz. A própria RFC descreve a conformidade com o CAA como condição necessária, mas não suficiente, para a emissão: ele não prova nada sobre o site e não emite certificado. Também não é o navegador do visitante que consulta esse registro; a conferência é da CA, na hora de emitir.

Como é um registro CAA

O registro tem três partes: flag, tag e valor. O formato é flag tag "valor". Um exemplo para o seu domínio:

seudominio.com.br. CAA 0 issue "letsencrypt.org"

Esse registro diz que a Let's Encrypt está autorizada a emitir certificados para seudominio.com.br. Veja cada parte.

A flag

Na RFC 8659 a flag normalmente é 0. O valor 128 liga o bit crítico: se a CA não reconhecer uma tag marcada como crítica, ela não pode emitir. É um caso avançado; para um site comum, use 0.

A tag

• issue: autoriza a CA indicada a emitir certificados para o nome. Com o valor vazio, 0 issue ";", nenhuma CA pode emitir.
• issuewild: vale só para certificados curinga, como *.seudominio.com.br. Quando ele existe, manda no lugar do issue para o curinga.
• iodef: um endereço (mailto: ou https:) para onde a CA pode avisar sobre tentativas de emissão que violem a regra. Exemplo: 0 iodef "mailto:seguranca@seudominio.com.br".

O valor

Em issue e issuewild, o valor é o nome que identifica a CA. Para a Let's Encrypt, a documentação dela informa que o nome é letsencrypt.org. Para outra CA, use o identificador que ela publica na própria documentação.

O que acontece sem registro CAA

Segundo a RFC 8659, se não há registro CAA na árvore do domínio, o CAA não restringe nada: a CA segue as outras validações dela e pode emitir. A Let's Encrypt resume assim: se você não se importa com o CAA, em geral não precisa fazer nada. Ou seja, o CAA é uma camada opcional de controle, não um requisito para ter HTTPS.

Quem quer controlar quais CAs emitem para o domínio passa a se interessar por ele.

Como a CA procura o registro

A CA procura o CAA no nome exato. Se não achar, sobe um nível (tira o rótulo da esquerda) e repete até a raiz; vale o primeiro conjunto encontrado. Para loja.seudominio.com.br sem CAA próprio, vale o de seudominio.com.br. Por isso a Let's Encrypt recomenda criar o registro no domínio registrado: assim ele vale para o domínio e para os subdomínios abaixo dele. Um subdomínio com CAA próprio substitui o do domínio pai.

Se o nome é um CNAME para outro serviço, a consulta segue o redirecionamento, como nos outros pedidos de DNS, e vale o CAA do destino. Para entender esse tipo de registro, veja Registro CNAME: o que é e como configurar no DNS.

Registre o domínio e use o DNS gerenciado grátis na rede da Cloudflare para domínios registrados conosco (painel na área do cliente). Registrar domínio

Como criar o registro CAA

Antes de criar, confira qual CA emite os certificados do seu site hoje. Se você autorizar só uma CA e a emissão for tentada por outra, ela falha.

Passo a passo genérico

1. Entre no painel onde o DNS do domínio é editado.
2. Abra a lista de registros e escolha adicionar um novo registro.
3. No tipo, selecione CAA.
4. Preencha o nome com o domínio, a flag com 0, a tag com issue e o valor com o identificador da CA, como letsencrypt.org.
5. Salve. Para usar duas CAs, crie um registro issue para cada uma.

Os nomes e a ordem dos campos mudam de painel para painel. Alguns mostram flag, tag e valor separados; outros pedem o registro em um campo só. Siga o formato flag tag "valor" mostrado acima.

A Let's Encrypt explica que vários registros se somam: se um deles autoriza a CA, ela pode emitir. Para o curinga, crie também um issuewild:

seudominio.com.br. CAA 0 issue "letsencrypt.org"

seudominio.com.br. CAA 0 issuewild "letsencrypt.org"

Criar na Cloudflare

Segundo a documentação da Cloudflare, o caminho é este:

1. Abra a página DNS Records do painel.
2. Clique em Add record.
3. Em Type, selecione CAA.
4. Preencha Name (o domínio), Tag (o comportamento do registro) e CA domain name (por exemplo, letsencrypt.org).
5. Clique em Save e repita para cada CA que você usa.

Um detalhe da Cloudflare: segundo a documentação, ela adiciona registros CAA sozinha quando você tem o Universal SSL e cria algum registro CAA na zona. Ela acrescenta os das CAs parceiras dela para não quebrar o certificado. Esses registros automáticos não aparecem no painel, mas aparecem no dig. Com o Advanced Certificate Manager, ela não adiciona. A lista de CAs que a Cloudflare cita é não exaustiva e pode mudar.

CAA com Let's Encrypt e Certbot

O Certbot é o cliente que pede certificados à Let's Encrypt. Se o seu site usa um certificado emitido por ele, e o domínio tiver registro CAA, ele precisa autorizar letsencrypt.org. Um registro autorizando só outra CA faz o pedido falhar.

Se você ainda não tem o certificado, crie o CAA já com a CA que vai emitir, ou crie o certificado antes e o CAA depois. O que importa é que, no momento da emissão e das renovações, a CA em uso esteja na lista. Depois do certificado instalado, o próximo passo comum é mandar o tráfego HTTP para HTTPS; veja Redirecionar HTTP para HTTPS: passo a passo no Nginx.

A Let's Encrypt também aceita parâmetros extras no CAA, como accounturi (só uma conta ACME específica pode emitir) e validationmethods (limita o método de validação). São recursos avançados; consulte a documentação dela antes de usar.

Como conferir o registro CAA

Depois de salvar, consulte o DNS de fora. No Linux ou no macOS:

dig CAA seudominio.com.br +short

A saída esperada é parecida com esta:

0 issue "letsencrypt.org"

Outra opção é o nslookup:

nslookup -type=CAA seudominio.com.br

Se o domínio está na Cloudflare e você criou um CAA, o dig pode mostrar mais linhas do que o painel, por causa dos registros automáticos descritos acima. Se o resultado vier vazio logo depois de criar, confira o nome digitado e consulte de novo.

Erros comuns com o registro CAA

• Bloquear a própria CA. Criar o CAA só com uma CA e depois tentar emitir ou renovar com outra faz a emissão falhar. Confira qual CA emite hoje antes de salvar.
• Esquecer o curinga. O issuewild, quando existe, manda no lugar do issue para o curinga. Se você tem um certificado *.seudominio.com.br, confira se o issuewild autoriza a CA.
• Usar o valor vazio sem querer. 0 issue ";" significa que nenhuma CA pode emitir.
• Criar o registro num subdomínio e esperar que valha para o domínio todo. A busca sobe da folha para a raiz, e não o contrário.
• Digitar o identificador errado. Use o nome que a CA publica, como letsencrypt.org para a Let's Encrypt.

Precisa de um servidor para o seu site? A VPS Plano Bronze sai a partir de R$ 17,00/mês; confira na loja o que cada plano inclui. Ver planos de VPS

Perguntas frequentes

O que é um registro CAA?

É um registro do DNS que informa quais autoridades certificadoras podem emitir certificado SSL/TLS para o domínio. A RFC 8659 define o registro e o comportamento esperado das CAs.

O registro CAA é obrigatório?

Não. Sem CAA na árvore do domínio, ele não restringe nada. O registro serve para quem quer limitar quais CAs podem emitir.

O navegador confere o CAA?

Não. Segundo a RFC 8659, quem confere é a CA antes de emitir; quem usa o certificado não deve usar o CAA como parte da validação dele.

Como ver o CAA de um domínio?

Rode dig CAA seudominio.com.br +short ou nslookup -type=CAA seudominio.com.br.

Qual valor usar para a Let's Encrypt?

O identificador dela para o CAA é letsencrypt.org, como em 0 issue "letsencrypt.org".