DNS证书颁发机构授权（英语：DNS Certification Authority Authorization，简称：CAA）是一种互联网安全（英语：Internet security）政策机制，允许域名持有人指定可以为其域签发证书的证书颁发机构。该政策凭借一个新的域名系统资源记录“CAA”来实现。
这一标准由计算机科学家菲利普·哈勒姆-贝克（英语：Phillip Hallam-Baker）和罗布·斯特拉德林（Rob Stradling）起草，旨在应对公众对证书颁发机构安全性的担忧。它是由互联网工程任务组建议的一项互联网标准。
自2001年开始，曾出现一系列被错误颁发的数字证书。这在损害公开可信证书授权机构可信度的同时，也加速了各种安全机制的建设，包括证书透明度追踪不当签发，HTTP公钥固定和DANE（英语：DANE）在客户端侧（英语：client-side）阻止不当签发的证书，以及DNS证书颁发机构授权（CAA）在证书颁发机构方面阻止不当签发。
DNS证书颁发机构授权的第一稿由菲利普·哈勒姆-贝克（英语：Phillip Hallam-Baker）和罗布·斯特拉德林（Rob Stradling）起草，并于2010年10月提交为互联网工程任务组（IETF）的互联网标准（RFC）草案。PKIX工作组（英语：X.509#PKIX Working Group）对此进行了逐步改进，并于2013年1月向互联网工程指导小组（英语：Internet Engineering Steering Group）提交了名为RFC 6844的标准提案。不久后CA/浏览器论坛展开讨论，并于2017年3月形成投票，赞成于2017年9月之前强制所有证书颁发机构履行CAA。但至少有一家证书颁发机构（科摩多）未能在截止日期前实施CAA。慕尼黑工业大学于2017年的一项研究发现，证书颁发机构在很多情况下未能正确施行该标准的部分内容。
截至2018年6月 (2018-06)，Qualys（英语：Qualys）的报告显示，在最流行且支持TLS的前15万个网站中，只有3.4%使用了CAA记录。
实现CAA的证书颁发机构对CAA资源记录执行DNS查找，并检查自己是否被列为授权方，之后再颁发数字证书。每条CAA资源记录由以下三个属性组成，并以空格分隔：
当没有任何CAA记录时，颁发机构可以正常、不受限地进行颁发。而当存在一个空白的签发（issue）标签时，所有颁发被禁止。
监视证书颁发机构行为的第三方，可能会根据域名的CAA记录检查新颁发的证书，但是他们须知道域名的CAA记录有可能在证书颁发到他们检查的期间发生过更改。客户不能将CAA作为其证书验证过程的一部分。
2016年10月26日，CAA标准的首个扩展草案发布。该草案在签发（issue）属性后方提议了一个新的account-uri标识，其将一个域名绑定到一个特定的自动化证书管理环境（英语：Automated Certificate Management Environment）帐户。2017年8月30日，这一草案得到修订，再引入了validation-methods（验证方法）标识，用以将一个域与一个特定的验证方法绑定。2018年6月21日，进一步的修改删除了account-uri和validation-methods的连字符，accounturi和validationmethods取而代之。
若要表明只有标识为ca.example.net的证书颁发机构有权为example.com及所有子域名颁发证书，可以使用以下CAA记录：
若要禁止颁发任何证书，可以列出一个空的颁发者列表：
若要标识证书颁发机构应将无效的证书请求报告给指定的电子邮件地址和实时网络间防御（英语：Real-time Inter-network Defense）端点：
若要使用该协议的一个未来扩展——例如，定义了一个新的future属性，需要证书颁发机构理解该属性后才能安全地继续处理——可以设置issuer critical标签：
