Vor jeder Ausstellung muss eine CA den CAA-Eintrag prüfen. Steht dort nur letsencrypt.org, lehnt jede andere CA den Antrag ab. Gibt es keinen CAA-Eintrag, darf jede CA ausstellen.
CAA wird vom Namen aufwärts gesucht: Für cloud.example.com gilt der Eintrag von example.com, solange es keinen spezifischeren gibt. Mit issuewild steuern Sie Wildcard-Zertifikate getrennt, mit iodef eine Meldeadresse für abgelehnte Anträge.
Typisches Problem: Ein Team stellt auf einen anderen Zertifikatsanbieter um oder ein Hoster beantragt Zertifikate selbst, und die Ausstellung scheitert mit CAA record prevents issuance.
Beispiel
example.com. 3600 IN CAA 0 issue "letsencrypt.org"