1. Inicio
  2. Herramientas gratuitas
  3. Verificador de registros CAA

Verificador de registros CAA: ¿qué autoridades de certificación pueden emitir para este dominio?

En resumen: Pega dominios o nombres de host y mira, para cada uno, el registro CAA que usaría una CA (el suyo o el de un dominio superior), las CA permitidas para certificados normales y comodín, y dónde se notifican los rechazos. Límite: Lee el DNS a través de un solo resolvedor, no evalúa los parámetros accounturi ni validationmethods (los muestra tal cual) y no revisa qué certificados existen ya.

Un verificador de registros CAA muestra qué autoridades de certificación permite un dominio para emitir sus certificados SSL. Pega un nombre de host o hasta 100 (500 tras iniciar sesión con Google): cada uno se consulta como debe hacerlo una CA, en el nombre y luego en cada dominio superior hasta encontrar un registro CAA, y recibes las CA permitidas para certificados normales y comodín, o Any CA cuando no hay ninguno.

CAA records read from DNS, walking up to the parent domain like a CA does; nothing is sent to the domain. 100 hosts a run, or 500 when you sign in.

La herramienta es la misma que en la versión en inglés: sus botones y los motivos de cada resultado aparecen en inglés. Actualizado el 5 de noviembre de 2026 · Equipo de SimpleVerifier

Cómo consultar los registros CAA de un dominio

  1. Pega dominios o nombres de host, uno por línea: hasta 100 por pasada, o 500 tras iniciar sesión gratis con Google. www.example.com y example.com se revisan por separado, porque cada uno puede tener su propio CAA.
  2. Haz clic en Check CAA records. Cada nombre se consulta en el DNS, luego su dominio superior, y así sucesivamente, parando en el primer nombre con registros CAA.
  3. Lee el resultado: Restricted (con las CA nombradas), Any CA can issue o No CA can issue, más de dónde vino el registro y los registros en bruto.
  4. ¿Vas a pedir un certificado? Comprueba que el identificador de tu CA, como letsencrypt.org o pki.goog, está en la lista issue (o issuewild) antes de hacer el pedido.

¿Qué es un registro CAA?

Un registro CAA (Certification Authority Authorization) es un registro DNS que nombra las autoridades de certificación que pueden emitir certificados para un dominio, definido en el RFC 8659. La etiqueta issue enumera las CA para certificados normales, issuewild las CA para certificados comodín, e iodef da una dirección a la que una CA puede notificar una solicitud rechazada. Un valor «;» no permite ninguna CA.

Desde septiembre de 2017, toda CA de confianza pública tiene que revisar CAA antes de emitir, según los Baseline Requirements del CA/Browser Forum (sección 3.2.2.8). Si el registro no nombra a la CA, debe negarse.

¿Por qué un subdominio muestra el registro CAA de su dominio superior?

Porque así lo lee una CA. La sección 3 del RFC 8659 dice que la CA busca CAA primero en el nombre exacto; si no hay, prueba el dominio superior, luego el superior de ese, y usa el primer conjunto de registros que encuentra. Así, un registro CAA en example.com cubre shop.example.com salvo que shop.example.com publique el suyo. El verificador sigue el mismo recorrido y muestra el nombre del que vino el registro.

Si no hay ningún registro CAA en todo el árbol, cualquier CA de confianza pública puede emitir. Es lo predeterminado, y la mayoría de los dominios no tiene ninguno.

¿Qué identificador CAA usa mi CA?

Cada CA publica en sus documentos de política los nombres de dominio que reconoce, y la CCADB de Mozilla los reúne. Los más comunes: letsencrypt.org para Let's Encrypt, pki.goog para Google Trust Services, digicert.com para DigiCert, sectigo.com para Sectigo, amazon.com para Amazon, globalsign.com para GlobalSign y ssl.com para SSL.com. El verificador nombra los que conoce y muestra cualquier otro identificador tal como está publicado.

Algunos proveedores emiten a través de más de una CA; una CDN que renueva automáticamente puede necesitar dos o tres identificadores en la lista. Revisa la documentación de tu proveedor antes de restringir CAA, o las renovaciones pueden fallar. El verificador SSL en lote muestra qué CA emitió de verdad cada certificado activo y cuándo caduca.

Preguntas frecuentes

¿Cómo consulto los registros CAA?
Pega aquí el nombre de host. El verificador lee CAA en el nombre y luego en cada dominio superior hasta encontrar un registro, como hace una CA, y enumera las CA que pueden emitir.
¿Qué pasa si un dominio no tiene registro CAA?
Cualquier CA de confianza pública puede emitir certificados para él. CAA es opcional; la mayoría de los dominios no publica ninguno.
¿Qué diferencia hay entre issue e issuewild?
issue cubre los certificados normales; issuewild cubre los certificados comodín como *.example.com. Si no hay etiqueta issuewild, la lista issue se aplica también a los comodines.
¿Por qué mi solicitud de certificado falló la comprobación CAA?
El dominio, o uno de sus dominios superiores, tiene un registro CAA que no incluye tu CA. Añade el identificador de la CA a un registro issue (o issuewild para un comodín), espera el TTL del registro antiguo y vuelve a intentarlo.
¿Un registro CAA afecta al correo?
No. CAA solo controla quién puede emitir certificados TLS. La entrega del correo depende de MX, SPF, DKIM y DMARC.
¿El verificador de CAA es gratis?
Sí. 100 nombres de host por pasada sin cuenta y 500 tras iniciar sesión gratis con Google, sin tarjeta.

¿Tienes una lista? Las primeras 100 direcciones son gratis.

Inicia sesión con Google, pega las direcciones o sube un CSV y cada una pasa por la misma comprobación SMTP del buzón, con resultados para descargar. Sin tarjeta.

Los dominios catch-all y los servidores que no responden salen como riesgosos, nunca como válidos.

Al continuar aceptas los Términos y la Política de privacidad. Terms · Privacy

Herramientas gratuitas en español

¿Listo para limpiar tus listas de correo?

Comprobación SMTP real, sin créditos ni cobro por correo.

Empezar

Cancela cuando quieras • Sin configuración