CloudFlare 也开始作恶了（破坏云服务的中立性原则）

今天一个客户找我们买 12 张域名证书，6 张成功 6 张失败，我们是跟 SSL.com 合作的，发现失败的是 SSL.com 那边因为 CAA Failure 拒绝签发。客户域名是在 CloudFlare 托管的 DNS，客户截图他完全没有添加任何 CAA 解析记录:

而我们 DIG 出来的 CAA 为：

➜  ~ dig mhribbon.com caa

; <<>> DiG 9.10.6 <<>> mhribbon.com caa
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 17679
;; flags: qr rd ra; QUERY: 1, ANSWER: 8, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;mhribbon.com.			IN	CAA

;; ANSWER SECTION:
mhribbon.com.		3600	IN	CAA	0 issuewild "comodoca.com"
mhribbon.com.		3600	IN	CAA	0 issuewild "digicert.com; cansignhttpexchanges=yes"
mhribbon.com.		3600	IN	CAA	0 issuewild "letsencrypt.org"
mhribbon.com.		3600	IN	CAA	0 issuewild "digicert.com"
mhribbon.com.		3600	IN	CAA	0 issue "letsencrypt.org"
mhribbon.com.		3600	IN	CAA	0 issue "digicert.com; cansignhttpexchanges=yes"
mhribbon.com.		3600	IN	CAA	0 issue "digicert.com"
mhribbon.com.		3600	IN	CAA	0 issue "comodoca.com"

;; Query time: 704 msec
;; SERVER: 114.114.114.114#53(114.114.114.114)
;; WHEN: Thu Jul 15 02:00:35 CST 2021
;; MSG SIZE  rcvd: 352

作为一个基础 DNS 服务，却在业务里面夹带私货为合作伙伴输送便利性利益（写死不支持竞争对手的产品），实在让人恶心。

根据我们调查，CloudFlare 从今年切换免费证书到 Let‘sEncrypt 后，就开始了 hidden CAA 的策略。而且无视 CA 厂商的申诉，继续夹带私货：

ZeroClover

2021-07-15 04:23:35 +08:00

https://support.cloudflare.com/hc/zh-cn/articles/115000310792-%E9%85%8D%E7%BD%AE-CAA-%E8%AE%B0%E5%BD%95-

使用 Universal SSL 时，请勿配置 CAA 记录
当您启用 Universal SSL 并通过 Cloudflare DNS 应用添加 CAA 记录时，Cloudflare 会为我们的每个 Universal SSL CA 提供商自动添加三个额外的 CAA DNS 记录。如果禁用 Universal SSL 或未通过 DNS 应用添加 CAA 记录，则 Cloudflare 不会添加其他 CAA 记录。

这些 CAA DNS 记录不会显示在 Cloudflare 仪表板 DNS 应用中。但是，如果使用 dig 运行命令行查询，则将显示所有现有 CAA 记录，包括 Cloudflare Universal SSL 添加的记录。

如果您不想要或不需要 Cloudflare Universal SSL，可以在 Cloudflare SSL/TLS 设置中禁用它。禁用 SSL 会自动删除上述我们的官方提供商的 CAA DNS 记录。

？

CloudFlare 也开始作恶了 (破坏云服务的中立性原则)

CloudFlare 也开始作恶了（破坏云服务的中立性原则）