Cloudflare DNS配置的CAA记录与实际传播结果不匹配问题咨询

• 最核心的原因是Cloudflare默认开启了自动CAA记录生成功能：该功能绑定Universal SSL服务，开启状态下Cloudflare会自动生成适配其边缘证书颁发需求的CAA记录，完全覆盖用户手动配置的自定义CAA规则，因此你查询到的是Cloudflare自动生成的记录，而非你手动配置的内容。
• 次要排查点：若自动CAA已经关闭仍不生效，需核对两个配置项：一是手动配置的CAA记录的「名称」字段，若需对根域名bluecom.dev生效，名称需填写@或留空，填写其他前缀只会对对应子域名生效；二是核对域名注册商处的DNS服务器是否为Cloudflare分配的地址，不过你其余DNS功能正常，该问题概率极低。

• 第一步：关闭自动CAA记录功能
  1. 进入Cloudflare对应域名管理后台，打开「SSL/TLS」→「边缘证书」设置页
  2. 下拉页面找到「自动CAA记录」选项，关闭该开关
• 第二步：核对CAA规则配置
  1. 确认你手动配置的两条CAA记录的名称字段为@，TTL可设置为自动或5分钟：

  0 issuewild letsencrypt.org; validationmethods=dns-01; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/<number>
  0 issue letsencrypt.org; validationmethods=dns-01; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/<number>
  

  2. 若你仍在使用Cloudflare颁发的边缘SSL证书，需额外补充两条CAA规则，否则Cloudflare无法正常为你颁发证书导致站点SSL报错：

  0 issue digicert.com
  0 issue pki.goog
  

• 第三步：验证生效情况
  配置完成后等待5分钟，执行host -t type257 bluecom.dev命令或在线CAA查询工具验证，返回的结果会和你手动配置的内容一致。

内容的提问来源于stack exchange，提问作者Aonodensetsu