dig CAA example.com +short dig CAA www.example.com +short # 添加: example.com. CAA 0 issue "letsencrypt.org"
域名之前给别家 CA 配过 CAA，换到 Let's Encrypt 后签发一直失败，日志里只有一行 CAA record forbids issuance。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。
追下去是这么回事：CAA 记录限定只有列表里的 CA 能签发，新 CA 不在其中就被拒。这条记录不在本机解析结果里，很容易被忽略。
「CAA 记录拦截」改完先别急着全量，挑一台机器放半天，真有问题这段时间就能看出来。同一份配置存在多处的，先确认改的是被加载的那一份。
新版本先放一台机器上跑一天再全量，问题一般在这段时间暴露。备份不是备了就行，恢复一次才算数，很多备份文件打开才发现是空的。
接口问题先分清是没发出去、发出去了没收到，还是收到了处理失败。
处理上按这个顺序：用 dig 查一遍 CAA 记录，确认 issue 和 iodef 两项当前指向谁；把新 CA 的标识加进 issue，旧条目保留一段时间再删；改完等 DNS 缓存过期再重试，别立刻重复申请。
确认没问题再收工，dig 能查到新 CA 条目，重新签发返回成功。