在正确的 DNS 名称处设置策略
如果请求主机名没有更具体的策略，CAA 规则可能从父级名称继承。不要假设根域名的更改覆盖所有子域名；应检查准确主机名及相关记录。
根据颁发机构文档使用签发方标识以及 issuewild 或报告标签。拼写错误、不支持的值，或遗漏自动续期服务商，都可能导致签发失败。
在证书续期前验证变更
盘点根域名和子域名的证书服务商，包括备用恢复渠道，然后仅授权预期机构。签发方标识因服务商而异，不要未经核实就照抄示例。
更改后查询权威 DNS 并确认解析器看到的记录。通过服务商支持的流程测试签发或续期，并在证书到期前保留纠正策略的途径。