--- title: "CAA-records uitgelegd | DNSense" description: "CAA-records beperken welke certificaatautoriteiten certificaten voor je domein mogen uitgeven. De syntaxis, de tags en hoe je er een toevoegt zonder problemen." canonical_url: "https://dnsense.io/nl/learn/caa-records-explained" locale: nl meta: "og:description": "CAA-records beperken welke certificaatautoriteiten certificaten voor je domein mogen uitgeven. De syntaxis, de tags en hoe je er een toevoegt zonder problemen." "og:image": "https://dnsense.io/_nuxt/blog-records-caa.B74kpfM1.jpg" "og:image:alt": "DNSense handleiding-cover: een CAA-record dat alleen Let's Encrypt certificaten laat uitgeven" "og:title": "CAA-records uitgelegd | DNSense" --- > Index of every page on this site: [llms.txt](https://dnsense.io/llms.txt) # CAA-records uitgelegd **Dennis Postma****24 juni 2026** **Leestijd****3 minuten** **DNS-basis** CAA-records beperken welke certificaatautoriteiten certificaten voor je domein mogen uitgeven. De syntaxis, de tags en hoe je er een toevoegt zonder problemen. ![DNSense handleiding-cover: een CAA-record dat alleen Let's Encrypt certificaten laat uitgeven](https://dnsense.io/_nuxt/blog-records-caa.B74kpfM1.jpg) Met een CAA-record bepaal je welke certificaatautoriteiten (CA's) certificaten voor je domein mogen uitgeven. Voor het uitgeven moet een CA naar CAA-records zoeken en weigeren als hij er niet in staat. Het is een goedkope bescherming tegen een certificaat voor jouw naam van een CA die je nooit gebruikte. ## Geen record betekent dat iedereen mag uitgeven Dat is de standaard. Een CAA-record toevoegen draait die om: alleen de CA's die je noemt mogen uitgeven. Noem dus elke CA die je gebruikt voordat je publiceert, anders mislukt je volgende verlenging. ![Een CAA-record dat letsencrypt.org toestaat, met andere certificaatautoriteiten geblokkeerd](https://dnsense.io/_nuxt/guide-records-caa.Df3gwkcH.webp) ## Het formaat Een CAA-record heeft drie delen: flags, een tag en een waarde tussen aanhalingstekens. ``` 0 issue "letsencrypt.org" ``` - **Flags.** Bijna altijd `0`. De waarde `128` markeert het record als kritiek: een CA die de tag niet begrijpt moet weigeren uit te geven. DNSense accepteert flags tot 255. - **Tag.** `issue` staat een CA toe certificaten uit te geven. `issuewild` doet hetzelfde voor wildcardcertificaten. `iodef` geeft een adres of URL om problemen te melden. - **Waarde.** De identifier van de CA, normaal zijn domein, tussen aanhalingstekens. In DNSense vul je de drie delen in als aparte velden en een import van een zonebestand wordt tegen hetzelfde patroon gecontroleerd. ## Voorbeelden Sta Let's Encrypt toe voor gewone en wildcardcertificaten en niemand anders voor wildcards: ``` 0 issue "letsencrypt.org" 0 issuewild "letsencrypt.org" ``` Sta niemand toe iets uit te geven: ``` 0 issue ";" ``` Een meldadres voor pogingen die de CA weigerde: ``` 0 iodef "mailto:security@example.com" ``` ## Overerving Een CA controleert de naam waarvoor hij uitgeeft en loopt dan omhoog naar de root tot hij een CAA-record vindt. Een record op `example.com` dekt `www.example.com`, tenzij `www` eigen CAA-records heeft, die het dan vervangen. ## Toevoegen in DNSense Klik in de zone op **Create record** en kies **CAA**. Je typt niet de hele regel. Kies de **Tag** (bijvoorbeeld "issue - may issue certificates"), de **Flags** ("0 - Not critical" is bijna altijd wat je wilt) en vul het domein van de CA in, zoals `letsencrypt.org`. DNSense maakt daar `0 issue "letsencrypt.org"` van. Er zijn snelle invullingen voor Let's Encrypt en voor incidentmeldingen. Zoek de exacte identifier op die je CA documenteert. Een typefout geeft hier geen fout bij het publiceren. Ze geeft weken later een mislukte certificaatverlenging. ![Het dialoogvenster New record met een CAA-record dat letsencrypt.org toestaat](https://dnsense.io/_nuxt/app-records-caa-form.CuIBNi44.webp)![De zone gefilterd op CAA-records: issue, issuewild en iodef](https://dnsense.io/_nuxt/app-records-caa-list.Bn71rdFv.webp) ```json {"@context":"https://schema.org","@graph":[{"@id":"https://dnsense.io/#website","@type":"WebSite","description":"Manage every domain, DNS zone and record from one platform. Connect the registrars you already use, share zones with your team or clients, and keep a full history of every change.","inLanguage":"nl-NL","name":"DNSense","url":"https://dnsense.io/","publisher":{"@id":"https://dnsense.io/#identity"},"translationOfWork":{"@id":"https://dnsense.io/#website"}},{"@id":"https://dnsense.io/nl/learn/caa-records-explained#webpage","@type":"WebPage","datePublished":"2026-06-24","description":"CAA-records beperken welke certificaatautoriteiten certificaten voor je domein mogen uitgeven. De syntaxis, de tags en hoe je er een toevoegt zonder problemen.","name":"CAA-records uitgelegd","url":"https://dnsense.io/nl/learn/caa-records-explained","breadcrumb":{"@id":"https://dnsense.io/nl/learn/caa-records-explained#breadcrumb"},"isPartOf":{"@id":"https://dnsense.io/#website"},"potentialAction":[{"@type":"ReadAction","target":["https://dnsense.io/nl/learn/caa-records-explained"]}],"primaryImageOfPage":{"@id":"https://dnsense.io/#logo"}},{"@id":"https://dnsense.io/#identity","@type":"Organization","email":"support@dnsense.io","name":"DNSense","url":"https://dnsense.io","logo":{"@id":"https://dnsense.io/#logo"},"sameAs":["https://www.linkedin.com/showcase/dnsense","https://twitter.com/dnsense_dns","https://discord.gg/GC9p7TY9Ex"]},{"@id":"https://dnsense.io/nl/learn/caa-records-explained#article","@type":"Article","datePublished":"2026-06-24","description":"CAA-records beperken welke certificaatautoriteiten certificaten voor je domein mogen uitgeven. De syntaxis, de tags en hoe je er een toevoegt zonder problemen.","headline":"CAA-records uitgelegd","inLanguage":"nl-NL","thumbnailUrl":"https://dnsense.io/_nuxt/blog-records-caa.B74kpfM1.jpg","author":{"@id":"https://dnsense.io/#/schema/person/1"},"image":{"@id":"https://dnsense.io/#/schema/image/1"},"isPartOf":{"@id":"https://dnsense.io/nl/learn/caa-records-explained#webpage"},"mainEntityOfPage":{"@id":"https://dnsense.io/nl/learn/caa-records-explained#webpage"},"publisher":{"@id":"https://dnsense.io/#identity"}},{"@id":"https://dnsense.io/nl/learn/caa-records-explained#breadcrumb","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","name":"Home","item":"https://dnsense.io/nl","position":1},{"@type":"ListItem","name":"Kennisbank","item":"https://dnsense.io/nl/learn","position":2},{"@type":"ListItem","name":"CAA-records uitgelegd","item":"https://dnsense.io/nl/learn/caa-records-explained","position":3}]},{"@id":"https://dnsense.io/#/schema/person/1","@type":"Person","name":"Dennis Postma"},{"@id":"https://dnsense.io/#logo","@type":"ImageObject","caption":"DNSense","contentUrl":"https://dnsense.io/icon-512.png","inLanguage":"nl-NL","url":"https://dnsense.io/icon-512.png"},{"@id":"https://dnsense.io/#/schema/image/1","@type":"ImageObject","contentUrl":"https://dnsense.io/_nuxt/blog-records-caa.B74kpfM1.jpg","inLanguage":"nl-NL","url":"https://dnsense.io/_nuxt/blog-records-caa.B74kpfM1.jpg"}]} ``` ## Sitemap See the full [sitemap](https://dnsense.io/sitemap.md) for all pages.