选择正确的 CAA 属性
issue 用于授权普通证书签发，issuewild 用于通配符证书。空的签发机构值可明确拒绝该属性的签发；iodef 只提供报告联系方式，并不授权证书机构。
证书变更前检查 CAA
应查询具体主机名及其父域，因为证书机构会沿 DNS 层级继承 CAA 策略。确认目标证书机构已被列出，在续期或迁移前发布变更，并等待解析器缓存到期。
立即查询真实数据
使用 IIPP 实时工具，检查你正在处理的域名或 IP 地址。
DNS 记录查询 →CAA 记录与证书签发
控制哪些证书机构可以为你的域名签发证书。