Ich habe eine Domain DOMAIN.TLD im Froxlor mit LetsEncrypt angelegt. Die globale Option CAA-records anzulegen ist aktiviert, darus resultieren im zonefile:

@       172800  IN  CAA  0 issue "letsencrypt.org"
www  172800  IN  CAA  0 issue "letsencrypt.org"

Nun möchte ich für eine Subdomain, die auf einen anderen Host zeigen soll ein Zertifikat einer anderen Authority ausstellen, was am existierenden CAA scheitert.

Ich habe dazu die Domain SUB-DOMAIN.TLD mit der Option "ist Subdomiain von ..." ohne Namenserver-Häkchen angelegt und in der DOMAIN.TLD mit dem DNS-Editor

SUB  18000  IN  A           xx.xx.xx.xx
SUB  18000  IN  MX  10  mail.OTHERDOMAIN.TLD
SUB  18000  IN  TXT      "SSLvalidateSECRET"

angelegt.

Wenn ich jetzt den CAA "digicert.com" hinzufügen möchte, meldet der DNS-Editor "DNS Eintrag ungültig".

Versucht habe ich: record=SUB, type=CAA, priority=0, content=digicert.com, TTL=18000. Muss ich vielleicht den vorgegebenen CAA überschreiben und im content "letsencrypt.org, digicert.com" schreiben? Was mache ich falsch?

Content ist auch nicht nur die Domain sondern: issue "domain"

Der Trick ist:

record=SUB, type=CAA, priority=, content=0 issue "digicert.com", TTL=18000

Klar, woher soll Froxlor auch wissen on ich issue, issuewild oder iodef will.