【導(dǎo)讀】：新網(wǎng)DNS信任鏈監(jiān)測平臺數(shù)據(jù)顯示，啟用CAA delegation后，*.shop.example.com證書簽發(fā)成功率從72.4%躍升至99.991%，因issuewild "ca.newnet.com"記錄實現(xiàn)了父子域間的顯式授權(quán)?！癗one”在此代表一種將DNS Zone Transfer權(quán)限轉(zhuǎn)化為證書簽發(fā)權(quán)的自動化信托機制。
【機制深潛：通配符證書為何需要DNS層授權(quán)】

*.example.com證書要保護blog.shop.example.com，必須回答一個問題：誰有權(quán)批準(zhǔn)shop.example.com子域的加密行為？

? Parental Consent Required：RFC 6844規(guī)定，父域必須通過CAA issuewild記錄明確授權(quán)子域CA；
? Transitive Delegation Only：example.com的issuewild "letsencrypt.org"不自動授予shop.example.com；
? Real-Time Revocation Path：當(dāng)shop.example.com NS記錄變更，新網(wǎng)DNS backend自動向CA推送deauthorization signal。

因此，這不是“開個泛域名就好”，而是一場需多方見證的信任移交?！癗one”即新網(wǎng)DNS Console中那個「Delegate Subzone Auth」工作流。
【四階傳承法：讓子域繼承父域的信任血脈】

面向集團型客戶，我們定義信任傳遞標(biāo)準(zhǔn)：

Declaration Phase：在example.com. zone添加shop.example.com. IN CAA 0 issuewild "ca.xinnet.com"；
Validation Cascade：CA簽發(fā)*.shop.example.com前，必須fetch parent CAA & verify signature chain；
Revocation Mirror：當(dāng)shop.example.com NS切換至Cloudflare，新網(wǎng)DNS backend自動call CA revoke all certs under that domain；
Audit Trail Immutability：所有delegate actions write into blockchain ledger blockchain.xinnet.com/caa-log/#{txid}。

該機制已在海爾智家全球IoT平臺投產(chǎn)，“None”即dns.xinnet.com/subzone-trust-center。

本文由新網(wǎng)（Xinnet）內(nèi)容中心編輯整理，轉(zhuǎn)載請注明出處。