2026-07-21 · RICERCA · Il team di Offensive Technology

Quanti dei principali domini limitano chi può rilasciare i loro certificati?

Risposta breve: Abbiamo preso i 1,000 domini più trafficati di Internet, risolto 994 di essi e letto il record CAA che ciascuno pubblica nel DNS. Solo il 32.4% pubblica un record CAA. Il restante 67.6% non impone alcun limite a livello DNS su quale autorità di certificazione possa rilasciare un certificato TLS per il proprio nome, quindi una qualsiasi delle decine di CA pubblicamente attendibili potrebbe, in linea di principio, essere ingannata o compromessa e rilasciare un certificato valido a loro nome, senza che nulla di quanto pubblicato dal dominio si sia opposto. Tra la minoranza che imposta effettivamente il record CAA, meno della metà (42.5%) richiede di essere notificata quando una CA rileva una richiesta che viola la policy, che è l'unica riga che trasforma il CAA da una recinzione silenziosa a un allarme. Ogni numero riportato proviene da query DNS pubbliche e passive che abbiamo eseguito noi stessi su un elenco pubblico dei principali siti. Nessun host è stato contattato, nulla è stato scansionato. Ecco esattamente come lo abbiamo misurato, e cosa dimostra e non dimostra.

I risultati in un grafico

Per ogni dominio ci siamo posti tre domande pubbliche. Pubblica un record CAA? In caso affermativo, specifica un contatto di segnalazione (iodef) in modo che una CA possa avvisarlo di eventuali violazioni? E controlla il rilascio di certificati wildcard separatamente dal rilascio ordinario? Ogni livello è più ridotto del precedente:

Cosa fa concretamente un record CAA

Ogni browser si fida di decine di autorità di certificazione e, per impostazione predefinita, ciascuna di esse può rilasciare un certificato TLS valido per qualsiasi dominio. Ciò è comodo, ma rappresenta anche il punto debole: se una singola CA viene ingannata tramite una verifica di convalida del dominio difettosa, costretta o compromessa, può generare un certificato per un nome che non è suo cliente, e il browser lo accetterà. L'errata emissione di certificati non è un'ipotesi teorica; è la ragione per cui il settore ha sviluppato difese stratificate attorno al processo di rilascio.

CAA (RFC 8659, che ha sostituito la precedente RFC 6844) rappresenta la componente a livello DNS di questa difesa. Un dominio pubblica un breve record che dichiara, in sostanza, "solo queste CA possono rilasciare certificati per me". Da quando una delibera del CA/Browser Forum è entrata in vigore l'8 settembre 2017, ogni CA pubblicamente attendibile è tenuta a leggere quel record al momento del rilascio e a rifiutare di emettere un certificato non autorizzato dal record. Si tratta di un controllo raro, gratuito da configurare e applicato attivamente dalla controparte.

Un set di record CAA si compone di alcuni elementi chiave:

• issue specifica una CA autorizzata a rilasciare certificati ordinari, ad esempio 0 issue "letsencrypt.org". Un tag issue ";" con un punto e virgola indica che nessuna CA può effettuare rilasci.
• issuewild disciplina i certificati wildcard (*.example.com) in modo separato, il che è fondamentale poiché un singolo certificato wildcard ha un raggio d'impatto ben maggiore rispetto a un singolo hostname.
• iodef fornisce un URL o una casella di posta a cui una CA può segnalare una richiesta che viola la policy. È ciò che distingue il blocco silenzioso di una richiesta malevola dalla consapevolezza che c'è stato un tentativo.

Due terzi dei domini più trafficati non configurano nulla

Il dato più rilevante è proprio l'assenza. Dei 994 domini che sono stati risolti, 672 (67.6%) non pubblicano alcun record CAA. Per questi domini, il DNS non specifica nulla su chi possa rilasciare i loro certificati, quindi la risposta è: chiunque sia presente nel trust store pubblico. Ciò non costituisce una violazione e non è, di per sé, una vulnerabilità. È un'opportunità persa per ridurre la superficie di attacco per una classe di minacce, utilizzando un record che richiede una sola riga e nessun costo.

Tra i 322 domini che pubblicano un record CAA, la maggior parte non si affida a un singolo provider: due terzi (66.5%) autorizzano più di un'autorità di certificazione, con una mediana di tre. Si tratta di una scelta normale e sensata per un'organizzazione che utilizza CA diverse per sistemi differenti, un provider PKI interno da una parte, una CA pubblica per il sito di marketing dall'altra. Ciò che risalta è la mancanza di segnalazione. Solo il 42.5% di chi pubblica imposta un contatto iodef, quindi la maggior parte ha costruito una recinzione ma non un allarme: una CA che riceve una richiesta contraria alla policy la rifiuterà, ma il proprietario del dominio non saprà mai che qualcuno ci ha provato. Questo si ricollega direttamente allo stesso tema del nostro studio sull' esposizione dell'autenticazione e-mail in questi domini, in cui la tendenza era la medesima: il record di base viene configurato più spesso rispetto all'impostazione che genererebbe effettivamente un allarme.

Come lo abbiamo misurato

Un osservatore scettico dovrebbe essere in grado di ricreare questa analisi da zero, quindi ecco l'intera metodologia senza nulla di nascosto.

• La popolazione. Abbiamo utilizzato la Tranco list (lista N29KW, generata il 20 luglio 2026), una classifica di siti principali orientata alla ricerca che calcola la media di diversi provider su 30 giorni per evitare manipolazioni giornaliere. È pubblicata, sottoposta a versionamento e citabile in modo permanente, il che conta di più per la riproducibilità rispetto alla lista di un singolo vendor. Si veda tranco-list.eu e il relativo articolo di NDSS 2019.
• Il campione. I primi 1,000 domini di quella lista. 994 sono stati risolti su name server attivi; 6 non sono stati risolti e sono stati scartati, quindi il denominatore è 994.
• Le query. Per ciascun dominio, una query dig CAA <domain> verso resolver ricorsivi pubblici, oltre a una query NS come verifica di operatività. Abbiamo analizzato la risposta per rilevare i tag issue, issuewild e iodef e li abbiamo letti all'apex del dominio, che rappresenta la metrica di adozione convenzionale e il record consultato da una CA per il dominio registrato.
• Cosa non abbiamo fatto. Non abbiamo mai richiesto un certificato, non ci siamo connessi a un web server né abbiamo scansionato nulla. La lettura di un record DNS pubblico è una consultazione, non una scansione intrusiva. È il medesimo confine tra una verifica e un illecito che regola ogni attività che svolgiamo.
• Cosa abbiamo conservato. Solo conteggi aggregati e percentuali. I risultati per singolo dominio sono rimasti in memoria per la durata dell'esecuzione e non sono mai stati scritti su disco. Nessun dominio viene citato per nome. Abbiamo registrato unicamente la presenza o meno del tag iodef, mai il valore del contatto, e non abbiamo raccolto dati personali; i domini e i relativi record DNS non costituiscono dati personali.

Uno sguardo neutrale su chi viene autorizzato

Vale la pena mostrare un dato aggregato poiché descrive le autorità di certificazione, non i siti oggetto della misurazione, e non cita alcun dominio. Tra i 322 domini che pubblicano record CAA, questi emittenti sono apparsi più frequentemente negli elenchi degli autorizzati. Va letto come una mappa di popolarità delle CA attendibili, non come una classifica della sicurezza dei singoli:

Cosa non dimostra questa analisi

Limiti oggettivi, perché un dato privo di contestualizzazione è solo marketing.

• È una fotografia istantanea. Il DNS cambia quotidianamente. Cifre che descrivono la situazione al 20 luglio 2026 non costituiscono un trend. Un dominio privo di CAA oggi potrebbe aggiungerne uno la prossima settimana.
• L'assenza del record CAA non è una vulnerabilità. Si tratta semplicemente di una misura di sicurezza non attivata. Molte organizzazioni ben gestite non utilizzano il record CAA e si affidano ad altri livelli di difesa. Stiamo misurando l'adozione di un passaggio di hardening, non contando falle.
• Il CAA non è un muro insuperabile. Vincola solo le CA che lo rispettano, non revoca i certificati già emessi e non offre alcuna protezione nel caso in cui una CA da voi autorizzata venga compromessa. Riduce il set di emittenti che possono operare, mentre iodef segnala i tentativi. Individuare ex post rilasci imprevisti è compito del monitoraggio tramite Certificate Transparency, che si integra in modo naturale con il CAA.
• Solo il livello Apex. Abbiamo letto il record CAA all'apex di ciascun dominio registrato. Poiché il CAA viene valutato risalendo l'albero DNS, un sottodominio può ereditare o sovrascrivere tale record; non abbiamo enumerato i sottodomini e non lo faremmo, poiché ciò somiglierebbe più alla mappatura dell'infrastruttura di un'organizzazione che alla lettura di un singolo record pubblico.
• La parte superiore della lista è eterogenea. I domini più trafficati includono CDN e infrastrutture le cui prassi relative ai certificati differiscono da quelle di un'azienda tipica. La popolazione analizzata riguarda "i nomi a maggiore traffico", non "aziende simili alla tua", pertanto le percentuali vanno considerate come una panoramica generale e non come un benchmark per il proprio livello di rischio.

Perché interessa a un attaccante, e perché dovrebbe interessare a te

Un certificato contraffatto ma valido è uno strumento potente. Consente a un attaccante che si trovi già nella posizione di intercettare il traffico, tramite un percorso di rete compromesso o un resolver avvelenato, di presentare il vostro dominio mostrando un lucchetto ritenuto attendibile dal browser, senza alcun avviso per il visitatore. I rilasci errati sono rari proprio perché le CA sono sottoposte ad audit e il record CAA viene applicato, ma la definizione di "raro" lascia il tempo che trova quando il costo per alzare l'asticella è un singolo record DNS. La pubblicazione del record CAA rimuove dall'equazione ogni CA non utilizzata, e l'aggiunta di un contatto iodef garantisce che, se qualcuno tenta di ottenere un certificato tramite una CA mai autorizzata, ne sarete informati anziché scoprirlo da un cliente.

La soluzione è essenziale e sostanzialmente gratuita: elencare le CA effettivamente utilizzate, aggiungere una voce issuewild se si rilasciano certificati wildcard e configurare una casella iodef monitorata. La parte complessa non è mai la modifica del DNS. Consiste nel conoscere ogni canale da cui l'organizzazione ottiene legittimamente i certificati, in modo che l'attivazione del CAA non interrompa in modo silenzioso un rinnovo dimenticato. È una questione di valutazione, la stessa necessaria per capire quali tra le vostre superfici esposte siano davvero rilevanti e quali siano solo rumore.

Autorizzazione dei certificati: risposte rapide

Che cos'è un record CAA?

Il CAA (Certification Authority Authorization, RFC 8659) è un record DNS che elenca quali autorità di certificazione possono rilasciare certificati TLS per un dominio. Da settembre 2017, il CA/Browser Forum richiede alle CA pubblicamente attendibili di verificarlo e di rifiutare il rilascio non autorizzato dal record. L'assenza di un record CAA equivale all'assenza di restrizioni: qualsiasi CA pubblica può effettuare il rilascio.

Quale percentuale dei principali domini pubblica un record CAA?

Nella nostra verifica di luglio 2026 sui 1,000 domini più trafficati (994 risolti), solo il 32.4% pubblicava un record CAA; il 67.6% non ne pubblicava alcuno. Tra chi lo pubblica, il 42.5% imposta anche un contatto di segnalazione iodef e il 36% controlla il rilascio wildcard in modo separato.

Un record CAA impedisce del tutto l'emissione errata di certificati?

No. Si tratta di una difesa in profondità: vincola solo le CA che lo rispettano, non revoca i certificati già emessi e non impedisce la compromissione di una CA autorizzata. Riduce chi può effettuare rilasci e, con iodef, segnala i tentativi. Va abbinato al monitoraggio di Certificate Transparency.

Come posso verificare e configurare il mio record CAA?

Leggerlo con dig CAA yourdomain.com. Per configurarne uno, autorizzare solo le CA utilizzate (ad esempio 0 issue "letsencrypt.org"), aggiungere una voce issuewild se si usano certificati wildcard e aggiungere 0 iodef "mailto:[email protected]" in modo che una CA possa segnalare le violazioni. La verifica del proprio record è una query passiva, quindi è sicura e gratuita.

Letture correlate

• Quanto sono esposti i principali domini allo spoofing e-mail?
• Cosa possono vedere concretamente gli attaccanti della tua azienda?
• Perché l'autorizzazione precede qualsiasi attività di testing