Ogni CA deve controllare il CAA prima di emettere. Se il record elenca solo letsencrypt.org, tutte le altre CA rifiutano la richiesta. Senza record CAA, qualsiasi CA può emettere.
Il CAA si cerca risalendo l'albero dei nomi: per cloud.example.com vale il record di example.com se non ce n'è uno più specifico. Con issuewild gestisci a parte i certificati wildcard, con iodef un contatto per le richieste rifiutate.
Problema tipico: cambi fornitore di certificati, o una piattaforma di hosting li richiede per te, e l'emissione fallisce con CAA record prevents issuance.
Esempio
example.com. 3600 IN CAA 0 issue "letsencrypt.org"